שתף באמצעות

המלצות לסיווג נתונים

  • מאמר

חל על המלצת רשימת המשימות לביצוע של Well Architected Security של Power Platform:

SE:03 ניתן לסווג ולהחיל באופן עקבי תוויות רגישות לנתוני עומס העבודה והמערכות המעורבות בעיבוד נתונים. השתמש בסיווג כדי להשפיע על התכנון, היישום ותעדוף האבטחה של עומס העבודה.

מדריך זה מספק המלצות לסיווג נתונים על סמך רגישות שלהם. לסוגים שונים של נתונים יש רמות שונות של רגישות, ורוב עומסי העבודה מאחסנים סוגים שונים של נתונים. סיווג נתונים מסייע בסיווג נתונים לפי רמת הרגישות, סוג המידע שהם מכילים וכללי התאימות שעליהם לעמוד בהם. בדרך זו, ניתן להחיל את רמת ההגנה הנכונה, כגון בקרות גישה, מדיניות שמירה עבור סוגי מידע שונים וכן הלאה.

הגדרות

מונח הגדרה
סיווג תהליך לסיווג נכסי עומס עבודה לפי רמות רגישות, סוג מידע, דרישות תאימות וקריטריונים אחרים שסופקו על ידי הארגון.
מטה-נתונים יישום להחלת טקסונומיה על נכסים.
טקסונומיה מערכת לארגון נתונים מסווגים על ידי שימוש במבנה מוסכם. בדרך כלל, תיאור היררכי של סיווג נתונים. הוא מנה ישויות עם שמות שמציינות קריטריונים לקטגוריות.

אסטרטגיות מרכזיות בתכנון

סיווג נתונים מסייע לך להגדיר נכון גודל של הבטחות אבטחה ומסייע לצוות הגדרת סדר העדיפויות לזרז את הגילוי במהלך תגובה למקרה. תנאי מוקדם לתהליך התכנון הוא להבין בבירור האם יש להתייחס לנתונים כסודיים, מוגבלים, ציבוריים או כל סיווג רגישות אחר. חיוני גם לקבוע את המיקומים שבהם מאוחסנים הנתונים, מכיוון שהנתונים עשויים להיות מופצים על פני מספר סביבות. כשמיקום האחסון של הנתונים ידוע, ניתן לתכנן אסטרטגיה המשרתת את דרישות האבטחה.

סיווג נתונים יכול להיות משימה מייגעת. ניתן להשתמש בכלים שיכולים למצוא נכסי נתונים ולהמליץ ​​על סיווגים. אבל לא כדאי להסתמך רק על כלים. יש לווודא שחברי הצוות מבצעים את התרגילים בזהירות. לאחר מכן ניתן להשתמש בכלים כדי לבצע אוטומציה שהדבר זה הגיוני.

יחד עם שיטות עבודה מומלצות אלה, מומלץ לעיין ב: יצירת מסגרת סיווג נתונים מתוכננת היטב.

הבנת הטקסונומיה המוגדרת על ידי הארגון

טקסונומיה היא תיאור היררכי של סיווג נתונים. הוא מנה ישויות עם שמות שמציינות קריטריונים לסיווג.

לארגונים שונים עשויות להיות מסגרות סיווג נתונים שונות; עם זאת, הם בדרך כלל מורכבים משלוש עד חמש רמות עם שמות, תיאורים ודוגמאות. הנה כמה דוגמאות לטקסונומיה של סיווג נתונים:

‏‏רגישות סוג המידע Description
ציבורית חומר שיווקי ציבורי, מידע הזמין באתר האינטרנט שלך מידע שנגיש באופן חופשי ואינו רגיש
פנימי מדיניות, נהלים או תקציבים הקשורים לארגון שלך מידע המתייחס לארגון ספציפי
סודי סודות מסחריים, נתוני לקוחות או רשומות סופיות מידע רגיש הדורש הגנה
סודי ביותר מידע המאפשר זיהוי אשי (PII רגיש), נתונים של בעל כרטיס, מידע בריאותי מוגן (PHI), פרטי חשבון בנק מידע רגיש ביותר ודורש רמת אבטחה גבוהה ביותר. עשוי לדרוש הודעות משפטיות אם נפרצו או נחשפו בדרך אחרת.

חשוב

כבעל עומס עבודה, עליך לעקוב אחר הטקסונומיה שהארגון שלך הקים. כל תפקידי עומס העבודה צריכים להסכים על המבנה, השמות והמשמעויות של רמות רגישות. לא ליצור מערכת סיווג משלך.

הגדרת טווח הסיווג

לרוב הארגונים יש קבוצה מגוונה של תוויות.

יש לוודא שידוע לך אילו נכסי נתונים ורכיבים שייכים לכל רמה רגישות, ואילו לא. המטרה יכולה להיות פתרון בעיות מהיר יותר, התאוששות מהירה יותר מאסון או ביקורת משפטית. הכרה טובה של המטרה תסייע בביצוע עבודת הסיווג כמו שצריך.

יש להתחיל עם השאלות הפשוטות האלה ולהרחיב לפי הצורך בהתבסס על מורכבות המערכת שלך:

  1. מה מקור הנתונים וסוג המידע?
  2. מהי ההגבלה הצפויה על סמך גישה? לדוגמה, האם מדובר בנתוני מידע ציבוריים, רגולטוריים או מקרי שימוש צפויים אחרים?
  3. מה טביעת הרגל של הנתונים? היכן מאוחסנים הנתונים? כמה זמן צריך לשמור את הנתונים?
  4. אילו מרכיבים של הארכיטקטורה מקיימים אינטראקציה עם הנתונים?
  5. כיצד עוברים הנתונים במערכת?
  6. איזה מידע צפוי בדוחות הביקורת?
  7. האם יש צורך לסווג נתוני טרום ייצור?

ערוך מלאי של מאגרי הנתונים שלך

סיווג הנתונים חל על המערכת כולה. ערוך מלאי של כל מאגרי הנתונים והרכיבים שנמצאים בטווח. בעיצוב של מערכת חדשה, יש להקפיד לקבל סיווג ראשוני לפי הגדרות טקסונומיה. צריך לחשוב כיצד הנתונים יזרמו במערכת בין הרכיבים, ולהבטיח שהנתונים אינם חוצים את גבולות סיווג הנתונים.

יש לקחת בחשבון את אופן ההתחברות לנתונים:

  • מידע חדש : אם עומס העבודה שלך מייצר נתונים חדשים שלא אוחסנו בעבר בשום מקום, כמו בעת מעבר מתהליך מבוסס נייר, אנו מציעים לאחסן נתונים אלה ב- Microsoft Dataverse. פעולה זו מאפשר התחבורת לנתיני Microsoft Dataverse וניהולם באמצעות Microsoft Purview.

  • קריאה/כתיבה ממערכת קיימת: אם עומס העבודה שלך צריך להתחבר לנתונים שכבר קיימים, יש לתכנן כיצד לקרוא ולכתוב במסד הנתונים קיים או במערכת הקיימת. ניתן להשתמש בטבלאות וירטואליות, להתחבר לנתונים באמצעות מחברים, זרימות נתונים, או להשתמש בשער מקומי עבור נתונים המאוחסנים אופן מקומי.

הגדרת הטווח

יש להגדיר את הטווח באופן מפורט ומפורש. נניח שמאגר נתונים שלך הוא מערכת טבלאית. מומלץ לסווג רגישות ברמת הטבלה או אפילו ברמת העמודות בתוך הטבלה. כמו כן, יש להקפיד להרחיב את הסיווג לרכיבים שאינם מאחסנים נתונים שעשויים להיות קשורים או שיש להם חלק בעיבוד הנתונים. לדוגמה, האם סיווגת את הגיבוי של מאגר נתונים הרגיש ביותר שלך? אם אתה מאחסן נתונים רגישים של משתמשים במטמון, האם מאגר נתונים של המטמון בטווח? אם משמשים אותך מאגרי נתונים אנליטיים, כיצד מסווגים הנתונים המצטברים?

תכנון לפי תוויות סיווג

הסיווג צריך להשפיע על ההחלטות האדריכליות שלך. האזור הברור ביותר הוא אסטרטגיית הפילוח שלך, שאמורה לקחת בחשבון את תוויות הסיווג המגוונות.

מידע על הסיווג צריך לעבור עם הנתונים בזמן שהם עוברים במערכת ועל פני מרכיבי עומס העבודה. יש להתייחס לנתונים המסומנים כסודיים כחסוים על ידי כל הרכיבים המקיימים איתם אינטראקציה. לדוגמה, יש להקפיד להגן על נתונים אישיים על ידי הסרה או ערפול מכל סוג של יומני אפליקציה.

הסיווג משפיע על עיצוב הדוח שלך באופן שבו הנתונים צריכים להיחשף. לדוגמה, בהתבסס על תוויות סוג המידע שלך, האם צריך להחיל אלגוריתם מיסוך נתונים לצורך ערפול כתוצאה מתווית סוג המידע? לאילו תפקידים צריכה להיות נראות לנתונים הגולמיים לעומת נתונים ממוסכים? אם יש דרישות תאימות כלשהן לדיווח, כיצד ממופים נתונים לתקנות ולתקנים? לאחר שהבנת את הדברים הללו, קל יותר להוכיח עמידה בדרישות ספציפיות ולהפיק דוחות למבקרים.

דבר זה משפיע גם על פעולות ניהול מחזור החיים של הנתונים, כגון שימור נתונים ולוחות זמנים להוצאה משימוש.

החל טקסונומיה עבור שאילתות

ישנן דרכים רבות להחיל תוויות טקסונומיה על הנתונים המזוהים. שימוש בסכימת סיווג עם מטה נתונים היא הדרך הנפוצה ביותר לציון התוויות. תהליך תכנון הארכיטקטורה צריך לכלול את עיצוב הסכימה.

צריך לזכור שלא ניתן לסווג בבירור את כל הנתונים. יש לקבל החלטה מפורשת לגבי האופן שבו הנתונים שלא ניתן לסווג צריכים להיות מיוצגים בדיווח.

היישום בפועל תלוי בסוג המשאבים. הנתונים הנצרכים על ידי עובד העבודה שלך ב- Power Platform עשויים להגיע ממקורות נתונים מחוץ ל- Power Platform. הסכימה שלך צריכה לכלול פרטים על האופן שבו נתונים ממקורות נתונים שונים עוברים בעומס העבודה, או מועברים באופן פוטנציאלי ממאגר נתונים אחד לשני, תוך שמירה על שלמות הסיווג.

למשאבי Azure מסוימים יש מערכות סיווג מובנות. לדוגמה, ל- Azure SQL Server יש מנוע סיווג, תומך במיסוך דינמי ויכול להפיק דוחות על סמך מטה נתונים. Microsoft Teams, Microsoft 365 קבוצות ואתרי SharePoint יכולים להחיל תוויות רגישות ברמת גורם המכיל. Microsoft Dataverse משתלב עם Microsoft Purview כדי להחיל תוויות נתונים.

בעת תכנון ההטמעה שלך, יש להעריך את התכונות הנתמכות על ידי הפלטפורמה ונצל אותן. ודא שמטא נתונים המשמשים לסיווג מבודדים ומאוחסנים בנפרד ממאגרי הנתונים.

ישנם גם כלי סיווג מיוחדים שיכולים לזהות ולהחיל תוויות באופן אוטומטי. כלים אלה מחוברים למקורות הנתונים שלך. ל- Microsoft Purview יש יכולות גילוי אוטומטי. יש גם כלים של צד שלישי המציעים יכולות דומות. יש לאמת את תהליך הגילוי באמצעות אימות ידני.

בדוק את סיווג הנתונים באופן קבוע. תחזוקת סיווג צריכה להיות מובנית בתוך הפעולות, אחרת מטא נתונים מיושנים עלולים להוביל לתוצאות שגויות עבור המטרות שזוהו ובעיות תאימות.

פשרה: יש לשים לב לעלות הפשרה בכלים. כלי סיווג דורשים הכשרה ויכולים להיות מורכבים.

בסופו של דבר, הסיווג חייב להתגלגל לארגון באמצעות צוותים מרכזיים. יש לקבל מהם מידע לגבי מבנה הדוחות הצפוי. כמו כן, מומלץ לנצל את היתרונות של כלים ותהליכים מרכזיים כדי לקבל התאמה ארגונית וגם להפחית את עלויות התפעול.

סיוע של Power Platform

הסיווג צריך להשפיע על ההחלטות האדריכליות שלך.

Microsoft Purview מספקת נראות לנכסי נתונים בכל הארגון שלך. למידע נוסף, יש לעיין במאמר מידע על Microsoft Purview.

מפת הנתונים של Microsoft Purview מאפשרת גילוי אוטומטי של נתונים וסיווג נתונים רגישים. השילוב בין Microsoft Purview ו- Microsoft Dataverse יעזור לך להבין ולנהל טוב יותר את נכס הנתונים של האפליקציות העסקיות שלך, להגן על הנתונים הללו ולשפר את מצב הסיכונים והתאימות שלהם.

באמצעות שילוב זה, ניתן:

  • ליצור מפת נתונים הוליסטית ועדכנית ב- Microsoft Dynamics 365, ב- Power Platform ובמקורות אחרים הנתמכים על ידי Microsoft Purview.
  • סיווג אוטומטית של נכסי נתונים בהתבסס על סיווגי מערכת מובנים או סיווגים מותאמים אישית המוגדרים על ידי המשתמש, כדי לסייע בזיהוי והבנת נתונים רגישים.
  • ניתן לאפשר לצרכני הנתונים לגלות נתונים יקרי ערך ומהימנים.
  • ניתן לאפשר לאוצרי נתונים ומנהלי אבטחה לנהל ולשמור על אבטחת נכס הנתונים, להפחית את חשיפת הנתונים ולהגן טוב יותר על נתונים רגישים.

מידע נוסף: התחברות ל- Microsoft Dataverse וניהולו ב- Microsoft Purview.

יישור ארגוני

Cloud Adoption Framework מספק הדרכה לצוותים מרכזיים כיצד לסווג נתונים כך שצוותי עומס עבודה יוכלו לעקוב אחר הטקסונומיה הארגונית.

מידע נוסף: מהו סיווג נתונים?

למידע נוסף

רשימת תיוג של אבטחה

עיין במכלול ההמלצות המלא.

רשימת התיוג של אבטחה