Strategie architektury klasyfikacji danych

Dotyczy rekomendacji listy kontrolnej zabezpieczeń platformy Azure Well-Architected Framework:

SE:03	Klasyfikowanie i spójne stosowanie etykiet wrażliwości na wszystkich danych związanych z obciążeniem i systemach używanych do przetwarzania danych. Klasyfikacja służy do wywierania wpływu na projektowanie, implementację i priorytetyzację zabezpieczeń obciążeń.

W tym przewodniku opisano zalecenia dotyczące klasyfikacji danych. Większość obciążeń przechowuje różne typy danych. Nie wszystkie dane są równie wrażliwe. Klasyfikacja danych ułatwia kategoryzowanie danych na podstawie poziomu poufności, typu informacji i zakresu zgodności, dzięki czemu można zastosować odpowiedni poziom ochrony. Ochrona obejmuje mechanizmy kontroli dostępu, zasady przechowywania dla różnych typów informacji itd. Chociaż rzeczywiste mechanizmy kontroli zabezpieczeń oparte na klasyfikacji danych są poza zakresem tego artykułu, zawiera zalecenia dotyczące kategoryzowania danych na podstawie powyższych kryteriów ustawionych przez organizację.

Terminology

Termin	Definition
Classification	Proces kategoryzowania zasobów obciążeń według poziomów poufności, typu informacji, wymagań dotyczących zgodności i innych kryteriów dostarczonych przez organizację.
Metadane	Implementacja stosowania taksonomii do zasobów.
Taxonomy	System do organizowania danych niejawnych przy użyciu uzgodnionej struktury. Zazwyczaj hierarchiczne przedstawienie klasyfikacji danych. Wymienione jednostki wskazują kryteria kategoryzacji.

Klasyfikacja danych to kluczowe ćwiczenie, które często napędza tworzenie systemu rekordów i jego funkcji. Klasyfikacja pomaga również prawidłowo dobrać gwarancje bezpieczeństwa i pomaga zespołowi ds. triage przyspieszyć wykrywanie podczas reagowania na incydenty. Warunkiem wstępnym procesu projektowania jest jasne zrozumienie, czy dane powinny być traktowane jako poufne, ograniczone, publiczne lub inne klasyfikacje poufności. Ważne jest również określenie lokalizacji, w których są przechowywane dane, ponieważ dane mogą być dystrybuowane w wielu środowiskach.

Odnajdywanie danych jest niezbędne do zlokalizowania danych. Bez tej wiedzy większość projektów stosuje podejście pośredniczące, które może lub nie spełnia wymagań dotyczących zabezpieczeń. Dane mogą być nadmiernie chronione, co powoduje nieefektywność kosztów i wydajności. Lub może nie być wystarczająco chroniony, co zwiększa powierzchnię ataku.

Klasyfikacja danych jest często uciążliwym ćwiczeniem. Dostępne są narzędzia umożliwiające odnajdywanie zasobów danych i sugerowanie klasyfikacji. Ale nie polegaj tylko na narzędziach. Należy przeprowadzić proces, w którym członkowie zespołu sumiennie wykonują ćwiczenia. Następnie użyj narzędzi, aby zautomatyzować, gdy jest to praktyczne.

Wraz z tymi najlepszymi rozwiązaniami zobacz Tworzenie dobrze zaprojektowanej struktury klasyfikacji danych.

Omówienie taksonomii zdefiniowanej przez organizację

Taksonomia jest hierarchicznym przedstawieniem klasyfikacji danych. Nazwane jednostki wskazują kryteria kategoryzacji.

Ogólnie rzecz biorąc, nie ma uniwersalnego standardu klasyfikacji ani definiowania taksonomii. Jest to spowodowane motywacją organizacji do ochrony danych. Taksonomia może przechwytywać wymagania dotyczące zgodności, obiecane funkcje dla użytkowników obciążeń lub inne kryteria oparte na potrzebach biznesowych.

Oto kilka przykładowych etykiet klasyfikacji dla poziomów poufności, typu informacji i zakresu zgodności.

Czułość	Typ informacji	Zakres zgodności
Publiczne, Ogólne, Poufne, Ściśle poufne, Tajne, Ściśle tajne, Wrażliwe	Dane finansowe, karta kredytowa, imię i nazwisko, informacje kontaktowe, dane uwierzytelniające, bankowość, sieć, numer SSN, stan zdrowia, data urodzenia, własność intelektualna, dane osobowe	HIPAA, PCI, CCPA, SOX, RTB

Jako właściciel zasobu polegaj na swojej organizacji, aby zapewniła dobrze zdefiniowaną taksonomię. Wszystkie role związane z obciążeniem pracą muszą mieć wspólne zrozumienie struktury, nomenklatury i definicji poziomów poufności. Nie należy definiować własnego systemu klasyfikacji.

Definiowanie zakresu klasyfikacji

Większość organizacji ma zróżnicowany zestaw etykiet.

Jasno określ, które zasoby danych i składniki są w zakresie i poza zakresem dla każdego poziomu poufności. Należy mieć jasny cel w zakresie wyniku. Celem może być szybsza klasyfikacja, przyspieszone odzyskiwanie po awarii lub inspekcje regulacyjne. Gdy jasno zrozumiesz cele, zapewni to prawidłowy rozmiar wysiłków związanych z klasyfikacją.

Zacznij od tych prostych pytań i rozwiń je zgodnie z potrzebami w zależności od złożoności systemu:

Jakie jest źródło danych i typu informacji?
Jakie jest oczekiwane ograniczenie wynikające z dostępu? Czy na przykład są to publiczne dane informacyjne, przepisy lub inne oczekiwane przypadki użycia?
Jaki jest ślad danych? Gdzie są przechowywane dane? Jak długo powinny być przechowywane dane?
Które składniki architektury współdziałają z danymi?
W jaki sposób dane przechodzą przez system?
Jakie informacje są oczekiwane w raportach inspekcji?
Czy musisz sklasyfikować dane przedprodukcyjne?

Tworzenie spisu magazynów danych

Jeśli masz istniejący system, utwórz spis wszystkich magazynów danych i składników, które znajdują się w zakresie. Z drugiej strony, jeśli projektujesz nowy system, utwórz wymiar przepływu danych architektury i przygotuj początkową kategoryzację zgodnie z definicjami taksonomii. Klasyfikacja dotyczy całego systemu. Różni się wyraźnie od klasyfikowania tajnych i jawnych danych konfiguracyjnych.

Definiowanie zakresu

Podczas definiowania zakresu należy określić stopień szczegółowości i jawności. Załóżmy, że magazyn danych jest systemem tabelarycznym. Chcesz klasyfikować poziom poufności na poziomie tabeli lub kolumn w tabeli. Ponadto pamiętaj, aby rozszerzyć klasyfikację na składniki, które nie są magazynami danych, ale mogą być powiązane z przetwarzaniem danych lub mieć w tym swój udział. Czy na przykład sklasyfikowano kopię zapasową wysoce poufnego magazynu danych? Czy jeśli buforujesz dane wrażliwe użytkownika, repozytorium danych buforowania jest objęte zakresem? Jak klasyfikowane są zagregowane dane w przypadku używania magazynów danych analitycznych?

Projektowanie zgodnie z etykietami klasyfikacji

Klasyfikacja powinna mieć wpływ na decyzje dotyczące architektury. Najbardziej oczywistym obszarem jest strategia segmentacji, która powinna uwzględniać zróżnicowane etykiety klasyfikacji.

Na przykład etykiety wpływają na granice izolacji ruchu. Mogą istnieć krytyczne przepływy, w których wymagane jest kompleksowe zabezpieczenia warstwy transportu (TLS), podczas gdy inne pakiety mogą być wysyłane za pośrednictwem protokołu HTTP. Jeśli istnieją komunikaty przesyłane za pośrednictwem brokera komunikatów, może być konieczne podpisanie niektórych komunikatów.

W przypadku danych w spoczynku poziomy będą mieć wpływ na wybory dotyczące szyfrowania. Możesz wybrać ochronę wysoce poufnych danych za pomocą podwójnego szyfrowania. Różne tajemnice aplikacji mogą nawet potrzebować kontroli przy użyciu różnych poziomów ochrony. Może być możliwe uzasadnienie przechowywania wpisów tajnych w magazynie sprzętowego modułu zabezpieczeń (HSM), który oferuje wyższe ograniczenia. Etykiety zgodności określają również decyzje dotyczące odpowiednich standardów ochrony. Na przykład standard PCI-DSS nakazuje korzystanie z ochrony na poziomie FIPS 140-2 poziomu 3, która jest dostępna tylko z modułami HSM. W innych przypadkach może być dopuszczalne przechowywanie innych sekretów w zwykłym magazynie zarządzania sekretami.

Jeśli musisz chronić dane w użyciu, warto uwzględnić poufne przetwarzanie w architekturze.

Informacje o klasyfikacji powinny być przenoszone wraz z danymi w miarę przechodzenia przez system i między składnikami obciążenia. Dane oznaczone jako poufne powinny być traktowane jako poufne przez wszystkie składniki, które z nimi współdziałają. Na przykład należy chronić dane osobowe, usuwając lub zaciemniając je z dowolnego rodzaju dzienników aplikacji.

Klasyfikacja wpływa na projekt raportu w sposób, w jaki dane powinny być uwidocznione. Na przykład, czy musisz zastosować algorytm maskowania danych do zaciemniania w oparciu o etykiety typów informacji? Które role powinny mieć wgląd w nieprzetworzone dane i dane maskowane? Jeśli istnieją jakiekolwiek wymagania dotyczące zgodności do raportowania, jak dane są mapowane na przepisy i standardy? Jeśli rozumiesz tę wiedzę, łatwiej jest zademonstrować zgodność z określonymi wymaganiami i wygenerować raporty dla audytorów.

Ma to również wpływ na operacje zarządzania cyklem życia danych, takie jak zatrzymywanie danych i harmonogramy wycofywania.

Stosowanie taksonomii do wykonywania zapytań

Istnieje wiele sposobów stosowania etykiet taksonomii do zidentyfikowanych danych. Używanie schematu klasyfikacji z metadanymi jest najczęstszym sposobem wskazywania etykiet. Standaryzacja za pomocą schematu zapewnia, że raportowanie jest dokładne, minimalizuje prawdopodobieństwo odmiany i unika tworzenia zapytań niestandardowych. Budowanie automatycznych sprawdzeń, aby wykryć nieprawidłowe wpisy.

Etykiety można stosować ręcznie, programowo lub użyć kombinacji obu. Proces projektowania architektury powinien obejmować projekt schematu. Niezależnie od tego, czy masz istniejący system, czy tworzysz nowy, podczas stosowania etykiet zachowaj spójność w parach klucz/wartość.

Należy pamiętać, że nie wszystkie dane można wyraźnie sklasyfikować. Podejmowanie jawnej decyzji o tym, jak dane, których nie można sklasyfikować, powinny być reprezentowane w raportowaniu.

Rzeczywista implementacja zależy od typu zasobów. Niektóre zasoby platformy Azure mają wbudowane systemy klasyfikacji. Na przykład program Azure SQL Server ma aparat klasyfikacji, obsługuje maskowanie dynamiczne i może generować raporty na podstawie metadanych. Usługa Azure Service Bus obsługuje dołączanie schematu komunikatów, który może zawierać dołączone metadane. Podczas projektowania implementacji oceń funkcje obsługiwane przez platformę i skorzystaj z nich. Upewnij się, że metadane używane do klasyfikacji są izolowane i przechowywane oddzielnie od magazynów danych.

Istnieją również wyspecjalizowane narzędzia klasyfikacji, które mogą automatycznie wykrywać i stosować etykiety. Te narzędzia są połączone ze źródłami danych. Usługa Microsoft Purview ma możliwości automatycznego wykrywania. Istnieją również narzędzia innych firm, które oferują podobne możliwości. Proces odnajdywania należy zweryfikować za pomocą weryfikacji ręcznej.

Regularnie przeglądaj klasyfikację danych. Konserwacja klasyfikacji powinna być wbudowana w operacje. W przeciwnym razie nieaktualne metadane mogą prowadzić do błędnych wyników zidentyfikowanych celów i problemów ze zgodnością.

Kompromis: Należy pamiętać o kompromisie kosztów w zakresie narzędzi. Narzędzia klasyfikacji wymagają trenowania i mogą być złożone.

Ostatecznie klasyfikacja musi być przekazywana do organizacji przez centralne zespoły. Uzyskaj dane wejściowe od nich dotyczące oczekiwanej struktury raportu. Ponadto skorzystaj ze scentralizowanych narzędzi i procesów w celu dostosowania organizacji, a także złagodzenia kosztów operacyjnych.

Ułatwienia platformy Azure

Usługa Microsoft Purview łączy rozwiązania Azure Purview i Microsoft Purview w celu zapewnienia wglądu w zasoby danych w całej organizacji. Aby uzyskać więcej informacji, zobacz Co to jest microsoft Purview?

Usługi Azure SQL Database, Azure SQL Managed Instance i Azure Synapse Analytics oferują wbudowane funkcje klasyfikacji. Te narzędzia umożliwiają odnajdywanie, klasyfikowanie, etykietowanie i zgłaszanie poufnych danych w bazach danych. Aby uzyskać więcej informacji, zobacz Odnajdywanie i klasyfikacja danych.

W przypadku danych sklasyfikowanych jako wysoce poufne lub wymagające ochrony podczas operacji przetwarzania usługa Azure Database for PostgreSQL obsługuje poufne przetwarzanie w celu zapewnienia sprzętowego szyfrowania danych w użyciu. Ta technologia umożliwia organizacjom ochronę poufnych danych podczas operacji przetwarzania przy zachowaniu wydajności bazy danych, zapewniając zgodność z rygorystycznymi wymaganiami prawnymi dotyczącymi ochrony danych w wysoce regulowanych branżach.

Example

Ten przykład opiera się na środowisku technologii informatycznych (IT) ustanowionym w punkcie odniesienia zabezpieczeń (SE:01). Na poniższym przykładowym diagramie przedstawiono magazyny danych, w których dane są klasyfikowane.

Dane przechowywane w bazach danych i dyskach powinny być dostępne tylko dla kilku użytkowników, takich jak Administratorzy, Administratorzy bazy danych. Następnie zwykle użytkownicy końcowi lub końcowi klienci mają dostęp tylko do warstw, które są dostępne w Internecie, takich jak aplikacje lub skrzynki przesiadkowe.
Aplikacje komunikują się z bazami danych lub danymi przechowywanymi na dyskach, takimi jak magazyn obiektów lub serwery plików.
W niektórych przypadkach dane mogą być przechowywane w środowisku lokalnym i w chmurze publicznej. Oba muszą być klasyfikowane spójnie.
W przypadku użycia operatora administratorzy zdalni potrzebują dostępu do pól przesiadkowych w chmurze lub maszynie wirtualnej, na którym działa obciążenie. Uprawnienia dostępu powinny być podane zgodnie z etykietami klasyfikacji danych.
Dane przechodzą przez maszyny wirtualne do baz danych zaplecza i dane powinny być traktowane z tym samym poziomem poufności w punktach przechodzenia.
Obciążenia przechowują dane bezpośrednio na dyskach maszyn wirtualnych. Te dyski znajdują się w zakresie klasyfikacji.
W środowisku hybrydowym różne osoby mogą uzyskiwać dostęp do obciążeń na miejscu za pomocą różnych mechanizmów łączenia się z różnymi technologiami magazynowania danych lub bazami danych. Dostęp musi być udzielany zgodnie z etykietami klasyfikacji.
Serwery lokalne łączą się z ważnymi danymi, które muszą być klasyfikowane i chronione, takie jak serwery plików, magazyn obiektów i różne typy baz danych, takie jak relacyjne, NoSQL i magazyn danych.
Zgodność z usługą Microsoft Purview zapewnia rozwiązanie do klasyfikowania plików i wiadomości e-mail.
Usługa Microsoft Defender for Cloud udostępnia rozwiązanie, które pomaga Twojej firmie śledzić zgodność w środowisku, w tym wiele usług używanych do przechowywania danych, wymienionych w powyższych przypadkach użycia.

Następny krok

Zapoznaj się z pełnym zestawem zaleceń.

Lista kontrolna zabezpieczeń

Opinia

Czy ta strona była pomocna?

Last updated on 2025-10-27