Zalecenia dotyczące klasyfikacji danych

Artykuł
11/15/2023

Dotyczy zalecenia listy kontrolnej zabezpieczeń platformy Azure Well-Architected Framework:

SE:03	Klasyfikowanie i spójne stosowanie etykiet poufności na wszystkich danych obciążeń i systemach zaangażowanych w przetwarzanie danych. Klasyfikacja służy do wywierania wpływu na projektowanie, implementację i priorytetyzację zabezpieczeń obciążeń.

W tym przewodniku opisano zalecenia dotyczące klasyfikacji danych. Większość obciążeń przechowuje różne typy danych. Nie wszystkie dane są równie poufne. Klasyfikacja danych pomaga kategoryzować dane na podstawie poziomu poufności, typu informacji i zakresu zgodności, dzięki czemu można zastosować odpowiedni poziom ochrony. Ochrona obejmuje mechanizmy kontroli dostępu, zasady przechowywania dla różnych typów informacji itd. Chociaż rzeczywiste mechanizmy kontroli zabezpieczeń oparte na klasyfikacji danych są poza zakresem tego artykułu, zawiera zalecenia dotyczące kategoryzowania danych na podstawie powyższych kryteriów ustawionych przez organizację.

Definicje

Okres	Definicja
Klasyfikacja	Proces kategoryzowania zasobów obciążeń według poziomów poufności, typu informacji, wymagań dotyczących zgodności i innych kryteriów dostarczonych przez organizację.
Metadane	Implementacja stosowania taksonomii do zasobów.
Taksonomii	System organizowania danych niejawnych przy użyciu uzgodnionej struktury. Zazwyczaj hierarchiczny obraz klasyfikacji danych. Nazwane jednostki wskazują kryteria kategoryzacji.

Kluczowe strategie projektowania

Klasyfikacja danych to kluczowe ćwiczenie, które często napędza tworzenie systemu rekordów i jego funkcji. Klasyfikacja pomaga również prawidłowo zwiększać bezpieczeństwo i pomaga zespołowi klasyfikacji przyspieszyć odnajdywanie podczas reagowania na zdarzenia. Warunkiem wstępnym procesu projektowania jest jasne zrozumienie, czy dane powinny być traktowane jako poufne, ograniczone, publiczne lub inne klasyfikacje poufności. Istotne jest również określenie lokalizacji, w których są przechowywane dane, ponieważ dane mogą być dystrybuowane w wielu środowiskach.

Odnajdywanie danych jest niezbędne do zlokalizowania danych. Bez tej wiedzy większość projektów stosuje podejście pośrednie, które może lub nie spełnia wymagań dotyczących zabezpieczeń. Dane mogą być nadmiernie chronione, co skutkuje nieefektywnością kosztów i wydajności. Może też nie być wystarczająco chroniona, co zwiększa obszar ataku.

Klasyfikacja danych jest często kłopotliwym ćwiczeniem. Dostępne są narzędzia umożliwiające odnajdywanie zasobów danych i sugerowanie klasyfikacji. Ale nie tylko polegaj na narzędziach. Należy przeprowadzić proces, w którym członkowie zespołu pilnie wykonują ćwiczenia. Następnie użyj narzędzi, aby zautomatyzować, gdy jest to praktyczne.

Wraz z tymi najlepszymi rozwiązaniami zobacz Twórca dobrze zaprojektowaną strukturę klasyfikacji danych.

Omówienie taksonomii zdefiniowanej przez organizację

Taksonomia to hierarchiczna ilustracja klasyfikacji danych. Nazwane jednostki wskazują kryteria kategoryzacji.

Ogólnie rzecz biorąc, nie ma uniwersalnego standardu klasyfikacji ani definiowania taksonomii. Jest to spowodowane motywacją organizacji do ochrony danych. Taksonomia może przechwytywać wymagania dotyczące zgodności, obiecane funkcje dla użytkowników obciążeń lub inne kryteria sterowane potrzebami biznesowymi.

Oto kilka przykładowych etykiet klasyfikacji dla poziomów poufności, typu informacji i zakresu zgodności.

Czułość	Typ informacji	Zakres zgodności
Publiczne, ogólne, poufne, wysoce poufne, tajne, ściśle tajne, poufne, poufne	Financial, Credit Card, Name, Contact Info, Credentials, Banking, Networking, SSN, Health fields, Date of Birth, Intellectual Property, personal data	HIPAA, PCI,CACHEA, SOX, RTB

Jako właściciel obciążenia polegaj na organizacji, aby zapewnić dobrze zdefiniowaną taksonomię. Wszystkie role obciążenia muszą mieć wspólną wiedzę na temat struktury, nomenklatury i definicji poziomów poufności. Nie należy definiować własnego systemu klasyfikacji.

Definiowanie zakresu klasyfikacji

Większość organizacji ma zróżnicowany zestaw etykiet.

Jasno określ, które zasoby danych i składniki są w zakresie i poza zakresem dla każdego poziomu poufności. Należy mieć jasny cel w zakresie wyniku. Celem może być szybsze klasyfikowanie, przyspieszone odzyskiwanie po awarii lub inspekcje regulacyjne. Gdy jasno rozumiesz cele, zapewnia to prawidłowy rozmiar wysiłków związanych z klasyfikacją.

Zacznij od tych prostych pytań i rozwiń je zgodnie z potrzebami w zależności od złożoności systemu:

Jakie jest źródło danych i typu informacji?
Jakie jest oczekiwane ograniczenie na podstawie dostępu? Czy na przykład są to publiczne dane informacyjne, przepisy lub inne oczekiwane przypadki użycia?
Jaki jest ślad danych? Gdzie są przechowywane dane? Jak długo powinny być przechowywane dane?
Które składniki architektury współdziałają z danymi?
Jak dane przechodzą przez system?
Jakie informacje są oczekiwane w raportach inspekcji?
Czy musisz sklasyfikować dane przedprodukcyjne?

Tworzenie spisu magazynów danych

Jeśli masz istniejący system, utwórz spis wszystkich magazynów danych i składników, które znajdują się w zakresie. Z drugiej strony, jeśli projektujesz nowy system, utwórz wymiar przepływu danych architektury i ma początkową kategoryzacji na definicje taksonomii. Klasyfikacja ma zastosowanie do systemu jako całości. Różni się on zupełnie od klasyfikowania wpisów tajnych konfiguracji i niesekretów.

Definiowanie zakresu

Podczas definiowania zakresu należy mieć stopień szczegółowości i jawności. Załóżmy, że magazyn danych jest systemem tabelarycznym. Chcesz sklasyfikować poufność na poziomie tabeli, a nawet kolumny w tabeli. Należy również rozszerzyć klasyfikację na składniki magazynu niezwiązane z danymi lub część przetwarzania danych. Czy na przykład sklasyfikowano kopię zapasową wysoce poufnego magazynu danych? Czy w przypadku buforowania danych poufnych dla użytkownika jest buforowanie magazynu danych w zakresie? Jeśli używasz magazynów danych analitycznych, jak są klasyfikowane zagregowane dane?

Projektowanie zgodnie z etykietami klasyfikacji

Klasyfikacja powinna mieć wpływ na decyzje dotyczące architektury. Najbardziej oczywistym obszarem jest strategia segmentacji, która powinna uwzględniać zróżnicowane etykiety klasyfikacji.

Na przykład etykiety wpływają na granice izolacji ruchu. Mogą istnieć krytyczne przepływy, w których wymagane jest kompleksowe zabezpieczenia warstwy transportu (TLS), podczas gdy inne pakiety mogą być wysyłane za pośrednictwem protokołu HTTP. Jeśli istnieją komunikaty przesyłane za pośrednictwem brokera komunikatów, może być konieczne podpisanie niektórych komunikatów.

W przypadku danych magazynowanych poziomy będą wpływać na opcje szyfrowania. Możesz wybrać ochronę wysoce poufnych danych za pomocą podwójnego szyfrowania. Różne wpisy tajne aplikacji mogą nawet wymagać kontroli z różnymi poziomami ochrony. Może być możliwe uzasadnienie przechowywania wpisów tajnych w magazynie sprzętowego modułu zabezpieczeń (HSM), który oferuje wyższe ograniczenia. Etykiety zgodności określają również decyzje dotyczące odpowiednich standardów ochrony. Na przykład standard PCI-DSS nakazuje korzystanie z ochrony fiPS 140-2 poziom 3, która jest dostępna tylko w przypadku modułów HSM. W innych przypadkach dopuszczalne może być przechowywanie innych wpisów tajnych w zwykłym magazynie zarządzania wpisami tajnymi.

Jeśli musisz chronić dane w użyciu, warto uwzględnić poufne przetwarzanie w architekturze.

Informacje o klasyfikacji powinny być przenoszone wraz z danymi w miarę przechodzenia przez system i między składnikami obciążenia. Dane oznaczone jako poufne powinny być traktowane jako poufne przez wszystkie składniki, które z nimi współdziałają. Na przykład należy chronić dane osobowe, usuwając lub zaciemniając je z dowolnego rodzaju dzienników aplikacji.

Klasyfikacja ma wpływ na projekt raportu w sposób, w jaki dane powinny być uwidocznione. Na przykład na podstawie etykiet typów informacji należy zastosować algorytm maskowania danych w celu zaciemnienia w wyniku etykiety typu informacji? Które role powinny mieć wgląd w nieprzetworzone dane i dane maskowane? Jeśli istnieją jakiekolwiek wymagania dotyczące zgodności do raportowania, w jaki sposób dane są mapowane na przepisy i standardy? Jeśli rozumiesz tę wiedzę, łatwiej jest zademonstrować zgodność z określonymi wymaganiami i wygenerować raporty dla audytorów.

Ma również wpływ na operacje zarządzania cyklem życia danych, takie jak przechowywanie danych i likwidowanie harmonogramów.

Stosowanie taksonomii do wykonywania zapytań

Istnieje wiele sposobów stosowania etykiet taksonomii do zidentyfikowanych danych. Używanie schematu klasyfikacji z metadanymi jest najczęstszym sposobem wskazywania etykiet. Standaryzacja za pomocą schematu zapewnia, że raportowanie jest dokładne, minimalizuje prawdopodobieństwo odmiany i unika tworzenia zapytań niestandardowych. Kompilowanie automatycznych kontroli w celu przechwycenia nieprawidłowych wpisów.

Etykiety można stosować ręcznie, programowo lub użyć kombinacji obu. Proces projektowania architektury powinien zawierać projekt schematu. Niezależnie od tego, czy masz istniejący system, czy też tworzysz nowy, podczas stosowania etykiet zachowaj spójność w parach klucz/wartość.

Należy pamiętać, że nie wszystkie dane mogą być wyraźnie sklasyfikowane. Podejmij jawną decyzję o tym, jak dane, których nie można sklasyfikować, powinny być reprezentowane w raportowaniu.

Rzeczywista implementacja zależy od typu zasobów. Niektóre zasoby platformy Azure mają wbudowane systemy klasyfikacji. Na przykład Azure SQL Server ma aparat klasyfikacji, obsługuje maskowanie dynamiczne i może generować raporty na podstawie metadanych. Azure Service Bus obsługuje dołączanie schematu komunikatów, który może zawierać dołączone metadane. Podczas projektowania implementacji oceń funkcje obsługiwane przez platformę i skorzystaj z nich. Upewnij się, że metadane używane do klasyfikacji są izolowane i przechowywane oddzielnie od magazynów danych.

Istnieją również wyspecjalizowane narzędzia klasyfikacji, które mogą automatycznie wykrywać i stosować etykiety. Te narzędzia są połączone ze źródłami danych. Usługa Microsoft Purview ma możliwości automatycznego wykrywania. Istnieją również narzędzia innych firm, które oferują podobne możliwości. Proces odnajdywania powinien zostać zweryfikowany przy użyciu weryfikacji ręcznej.

Regularnie przeglądaj klasyfikację danych. Konserwacja klasyfikacji powinna być wbudowana w operacje, w przeciwnym razie nieaktualne metadane mogą prowadzić do błędnych wyników zidentyfikowanych celów i problemów ze zgodnością.

Kompromis: Należy pamiętać o kompromisie kosztów na narzędzia. Narzędzia klasyfikacji wymagają szkolenia i mogą być złożone.

Ostatecznie klasyfikacja musi być rolą w organizacji za pośrednictwem zespołów centralnych. Pobierz dane wejściowe z nich dotyczące oczekiwanej struktury raportu. Ponadto skorzystaj ze scentralizowanych narzędzi i procesów, aby dostosować organizację, a także zmniejszyć koszty operacyjne.

Ułatwienia platformy Azure

Usługa Microsoft Purview łączy rozwiązania Azure Purview i Microsoft Purview w celu zapewnienia wglądu w zasoby danych w całej organizacji. Aby uzyskać więcej informacji, zobacz Co to jest usługa Microsoft Purview?

Azure SQL Database, Azure SQL Managed Instance i Azure Synapse Analytics oferują wbudowane funkcje klasyfikacji. Użyj tych narzędzi do odnajdywania, klasyfikowania, etykietowania i zgłaszania poufnych danych w bazach danych. Aby uzyskać więcej informacji, zobacz Odnajdywanie i klasyfikacja danych.

Przykład

W tym przykładzie opiera się na środowisku technologii informacyjnej (IT) określonym w punkcie odniesienia zabezpieczeń (SE:01). Na poniższym przykładowym diagramie przedstawiono magazyny danych, w których dane są klasyfikowane.

Dane przechowywane na bazach danych i dyskach powinny być dostępne tylko dla kilku użytkowników, takich jak Administratorzy, Administratorzy bazy danych. Następnie zwykle użytkownicy końcowi lub końcowi klienci mają dostęp tylko do warstw, które są narażone w Internecie, takich jak aplikacje lub skrzynki przesiadkowe.
Aplikacje komunikują się z bazami danych lub danymi przechowywanymi na dyskach, takich jak magazyn obiektów lub serwery plików.
W niektórych przypadkach dane mogą być przechowywane w środowisku lokalnym i w chmurze publicznej. Oba muszą być klasyfikowane spójnie.
W przypadku użycia operatora administratorzy zdalni potrzebują pól przesiadkowych dostępu w chmurze lub maszynie wirtualnej z uruchomionym obciążeniem. Uprawnienia dostępu powinny być podane zgodnie z etykietami klasyfikacji danych.
Dane przechodzą przez maszyny wirtualne do baz danych zaplecza i dane powinny być traktowane z tym samym poziomem poufności w punktach przechodzenia.
Obciążenia przechowują dane bezpośrednio na dyskach maszyn wirtualnych. Te dyski znajdują się w zakresie klasyfikacji.
W środowisku hybrydowym różne osoby mogą uzyskiwać dostęp do obciążeń lokalnych za pośrednictwem różnych mechanizmów łączenia się z różnymi technologiami magazynu danych lub bazami danych. Dostęp musi być udzielany zgodnie z etykietami klasyfikacji.
Serwery lokalne łączą się z ważnymi danymi, które muszą być klasyfikowane i chronione, takie jak serwery plików, magazyn obiektów i różne typy baz danych, takie jak relacyjne, no-SQL i magazyn danych.
Zgodność usługi Microsoft Purview udostępnia rozwiązanie do klasyfikowania plików i wiadomości e-mail.
Microsoft Defender for Cloud to rozwiązanie, które pomaga firmie śledzić zgodność w środowisku, w tym wiele usług używanych do przechowywania danych, wymienionych w powyższych przypadkach.

Następny krok

Zapoznaj się z pełnym zestawem zaleceń.

Lista kontrolna zabezpieczeń

Zalecenia dotyczące klasyfikacji danych

Kluczowe strategie projektowania