Rekommendationer för dataklassificering

Artikel
11/15/2023

Gäller för checklisterekommendationer för Azure Well-Architected Framework Security:

SE:03	Klassificera och konsekvent tillämpa känslighetsetiketter på alla arbetsbelastningsdata och system som ingår i databearbetningen. Använd klassificering för att påverka arbetsbelastningens design, implementering och säkerhetsprioritering.

Den här guiden beskriver rekommendationerna för dataklassificering. De flesta arbetsbelastningar lagrar olika typer av data. Alla data är inte lika känsliga. Dataklassificering hjälper dig att kategorisera data baserat på dess känslighetsnivå, informationstyp och omfång för efterlevnad så att du kan tillämpa rätt skyddsnivå. Skydd omfattar åtkomstkontroller, kvarhållningsprinciper för olika informationstyper och så vidare. Även om de faktiska säkerhetskontrollerna som baseras på dataklassificering ligger utanför omfånget för den här artikeln, ger den rekommendationer för att kategorisera data baserat på de föregående kriterierna som angetts av din organisation.

Definitioner

Period	Definition
Klassificering	En process för att kategorisera arbetsbelastningstillgångar efter känslighetsnivåer, informationstyp, efterlevnadskrav och andra kriterier som tillhandahålls av organisationen.
Metadata	En implementering för att tillämpa taxonomi på tillgångar.
Taxonomi	Ett system för att organisera klassificerade data med hjälp av en överenskommen struktur. Vanligtvis en hierarkisk beskrivning av dataklassificering. Den har namngivna entiteter som anger kategoriseringsvillkor.

Viktiga designstrategier

Dataklassificering är en viktig övning som ofta driver skapandet av ett postsystem och dess funktion. Klassificering hjälper dig också att korrekt storleksanpassa säkerhetsgarantier och hjälper sorteringsteamet att utexpediera identifiering under incidenthantering. En förutsättning för designprocessen är att tydligt förstå om data ska behandlas som konfidentiella, begränsade, offentliga eller andra känslighetsklassificeringar. Det är också viktigt att fastställa de platser där data lagras, eftersom data kan distribueras i flera miljöer.

Dataidentifiering krävs för att hitta data. Utan den vetskapen använder de flesta design en medelvägsmetod, som kanske eller kanske inte uppfyller säkerhetskrav. Data kan vara överskyddade, vilket resulterar i ineffektivitet i kostnader och prestanda. Eller så kanske den inte är tillräckligt skyddad, vilket ökar attackytan.

Dataklassificering är ofta en besvärlig övning. Det finns verktyg som kan identifiera datatillgångar och föreslå klassificeringar. Men förlita dig inte bara på verktyg. Ha en process där teammedlemmarna gör övningarna noggrant. Använd sedan verktyg för att automatisera när det är praktiskt.

Tillsammans med dessa metodtips kan du läsa Skapa ett väldesignade dataklassificeringsramverk.

Förstå organisationsdefinierad taxonomi

Taxonomi är en hierarkisk beskrivning av dataklassificering. Den har namngivna entiteter som anger kategoriseringskriterierna.

I allmänhet finns det ingen universell standard för klassificering eller för att definiera taxonomi. Den drivs av en organisations motivation för att skydda data. Taxonomi kan samla in efterlevnadskrav, utlovade funktioner för arbetsbelastningsanvändare eller andra kriterier som drivs av affärsbehov.

Här följer några exempel på klassificeringsetiketter för känslighetsnivåer, informationstyp och efterlevnadsomfång.

Känslighet	Informationstyp	Efterlevnadsomfång
Public, General, Confidential, Highly Confidential, Secret, Top Secret, Sensitive	Ekonomi, Kreditkort, Namn, Kontaktinformation, Autentiseringsuppgifter, Bank, Nätverk, SSN, Hälsofält, Födelsedatum, Immateriell egendom, personuppgifter	HIPAA, PCI, CCPA, SOX, RTB

Som arbetsbelastningsägare förlitar du dig på att din organisation ger dig en väldefinierad taxonomi. Alla arbetsbelastningsroller måste ha en delad förståelse av strukturen, nomenklaturen och definitionen av känslighetsnivåerna. Definiera inte ditt eget klassificeringssystem.

Definiera klassificeringsomfånget

De flesta organisationer har en mängd olika etiketter.

Identifiera tydligt vilka datatillgångar och komponenter som ligger inom omfånget och utanför omfånget för varje känslighetsnivå. Du bör ha ett tydligt mål för resultatet. Målet kan vara snabbare prioritering, accelererad haveriberedskap eller regelgranskningar. När du tydligt förstår målen ser det till att du har rätt storlek på klassificeringsarbetet.

Börja med dessa enkla frågor och expandera efter behov baserat på systemets komplexitet:

Vad är ursprunget till data och informationstyp?
Vilken är den förväntade begränsningen baserat på åtkomst? Är det till exempel offentliga informationsdata, regelbaserade eller andra förväntade användningsfall?
Vad är datafotavtrycket? Var lagras data? Hur länge ska data behållas?
Vilka komponenter i arkitekturen interagerar med data?
Hur flyttas data genom systemet?
Vilken information förväntas i granskningsrapporterna?
Behöver du klassificera förproduktionsdata?

Inventera dina datalager

Om du har ett befintligt system ska du inventera alla datalager och komponenter som finns i omfånget. Om du å andra sidan utformar ett nytt system skapar du en dataflödesdimension för arkitekturen och har en inledande kategorisering per taxonomidefinitioner. Klassificeringen gäller för systemet som helhet. Det skiljer sig från att klassificera konfigurationshemligheter och icke-säkerhetsklasser.

Definiera omfånget

Var detaljerad och explicit när du definierar omfånget. Anta att ditt datalager är ett tabellsystem. Du vill klassificera känslighet på tabellnivå eller till och med kolumnerna i tabellen. Se också till att utöka klassificeringen till icke-datalagringskomponenter som kan vara relaterade eller som har en del i bearbetningen av data. Har du till exempel klassificerat säkerhetskopian av ditt mycket känsliga datalager? Om du cachelagra användarkänsliga data, finns cachelagringsdatalagret i omfånget? Hur klassificeras aggregerade data om du använder analysdatalager?

Designa enligt klassificeringsetiketter

Klassificeringen bör påverka dina arkitekturbeslut. Det mest uppenbara området är din segmenteringsstrategi, som bör ta hänsyn till de olika klassificeringsetiketterna.

Etiketterna påverkar till exempel gränserna för trafikisolering. Det kan finnas kritiska flöden där TLS (End-to-End Transport Layer Security) krävs, medan andra paket kan skickas via HTTP. Om det finns meddelanden som överförs via en asynkron meddelandekö kan vissa meddelanden behöva signeras.

För vilande data påverkar nivåerna krypteringsalternativen. Du kan välja att skydda mycket känsliga data med dubbel kryptering. Olika programhemligheter kan till och med kräva kontroll med olika skyddsnivåer. Du kanske kan motivera lagring av hemligheter i ett HSM-arkiv (Hardware Security Module), som erbjuder högre begränsningar. Efterlevnadsetiketter dikterar också beslut om rätt skyddsstandarder. PCI-DSS-standarden kräver till exempel användning av FIPS 140-2 Level 3-skydd, som endast är tillgängligt med HSM:er. I andra fall kan det vara acceptabelt att andra hemligheter lagras i ett vanligt arkiv för hemlighetshantering.

Om du behöver skydda data som används kanske du vill inkludera konfidentiell databehandling i arkitekturen.

Klassificeringsinformation bör flyttas med data när de överförs genom systemet och mellan komponenterna i arbetsbelastningen. Data som är märkta som konfidentiella ska behandlas som konfidentiella av alla komponenter som interagerar med dem. Se till exempel till att skydda personliga data genom att ta bort eller dölja dem från alla typer av programloggar.

Klassificeringen påverkar rapportens design på det sätt som data ska exponeras. Behöver du till exempel, baserat på dina informationstypetiketter, tillämpa en datamaskeringsalgoritm för fördunkring som ett resultat av informationstypetiketten? Vilka roller ska ha insyn i rådata jämfört med maskerade data? Hur mappas data till regler och standarder om det finns några efterlevnadskrav för rapportering? När du har den här förståelsen är det enklare att visa efterlevnad med specifika krav och generera rapporter för granskare.

Det påverkar även åtgärder för datalivscykelhantering, till exempel datakvarhållning och inaktiveringsscheman.

Tillämpa taxonomi för frågor

Det finns många sätt att tillämpa taxonomietiketter på identifierade data. Att använda ett klassificeringsschema med metadata är det vanligaste sättet att ange etiketterna. Standardisering via schema säkerställer att rapporteringen är korrekt, minimerar risken för variation och undviker att skapa anpassade frågor. Skapa automatiserade kontroller för att fånga in ogiltiga poster.

Du kan använda etiketter manuellt, programmatiskt eller använda en kombination av båda. Arkitekturdesignprocessen bör innehålla schemadesign. Oavsett om du har ett befintligt system eller skapar ett nytt ska du, när du tillämpar etiketter, upprätthålla konsekvens i nyckel/värde-paren.

Tänk på att inte alla data kan klassificeras tydligt. Fatta ett explicit beslut om hur data som inte kan klassificeras ska representeras i rapporteringen.

Den faktiska implementeringen beror på typen av resurser. Vissa Azure-resurser har inbyggda klassificeringssystem. Till exempel har Azure SQL Server en klassificeringsmotor, stöder dynamisk maskering och kan generera rapporter baserat på metadata. Azure Service Bus har stöd för att inkludera ett meddelandeschema som kan ha kopplade metadata. När du utformar implementeringen utvärderar du de funktioner som stöds av plattformen och drar nytta av dem. Kontrollera att metadata som används för klassificering är isolerade och lagras separat från datalagren.

Det finns också specialiserade klassificeringsverktyg som kan identifiera och tillämpa etiketter automatiskt. Dessa verktyg är anslutna till dina datakällor. Microsoft Purview har funktioner för automatisk upptäckt. Det finns också verktyg från tredje part som erbjuder liknande funktioner. Identifieringsprocessen bör verifieras genom manuell verifiering.

Granska dataklassificering regelbundet. Klassificeringsunderhåll bör vara inbyggt i åtgärder, annars kan inaktuella metadata leda till felaktiga resultat för identifierade mål och efterlevnadsproblem.

Kompromiss: Tänk på kostnadsavvägningen för verktyg. Klassificeringsverktyg kräver träning och kan vara komplexa.

I slutändan måste klassificeringen ackumuleras till organisationen via centrala team. Hämta indata från dem om den förväntade rapportstrukturen. Dra även nytta av centraliserade verktyg och processer för att anpassa organisationen och minska driftskostnaderna.

Azure-underlättande

Microsoft Purview förenar Azure Purview- och Microsoft Purview-lösningar för att ge insyn i datatillgångar i hela organisationen. Mer information finns i Vad är Microsoft Purview?

Azure SQL Database, Azure SQL Managed Instance och Azure Synapse Analytics har inbyggda klassificeringsfunktioner. Använd dessa verktyg för att identifiera, klassificera, märka och rapportera känsliga data i dina databaser. Mer information finns i Dataidentifiering och -klassificering.

Exempel

Det här exemplet bygger på it-miljön (Information Technology) som upprättats i säkerhetsbaslinjen (SE:01). Exempeldiagrammet nedan visar datalager där data klassificeras.

Data som lagras på databaser och diskar bör endast vara tillgängliga för ett fåtal användare, till exempel administratörer, databasadministratörer. Sedan är det vanligt att vanliga användare eller kunders sista klienter endast har åtkomst till lager som exponeras för Internet, till exempel program eller hopprutor.
Program kommunicerar med databaser eller data som lagras på diskar, till exempel objektlagring eller filservrar.
I vissa fall kan data lagras i en lokal miljö och i det offentliga molnet. Båda måste klassificeras konsekvent.
I ett operatörsanvändningsfall behöver fjärradministratörer åtkomst till hopprutor i molnet eller en virtuell dator som kör arbetsbelastningen. Åtkomstbehörigheter ska anges enligt dataklassificeringsetiketterna.
Data flyttas genom de virtuella datorerna till serverdelsdatabaserna och data ska behandlas med samma sekretessnivå i hela blädreringspunkterna.
Arbetsbelastningar lagrar data direkt på virtuella datordiskar. Dessa diskar är inom omfånget för klassificering.
I en hybridmiljö kan olika personer komma åt arbetsbelastningar lokalt via olika mekanismer för att ansluta till olika datalagringstekniker eller databaser. Åtkomst måste beviljas enligt klassificeringsetiketterna.
De lokala servrarna ansluter till viktiga data som måste klassificeras och skyddas, till exempel filservrar, objektlagring och olika typer av databaser, till exempel relationsdatabaser, no-SQL och informationslager.
Microsoft Purview Compliance tillhandahåller en lösning för att klassificera filer och e-postmeddelanden.
Microsoft Defender för molnet är en lösning som hjälper ditt företag att spåra efterlevnad i din miljö, inklusive många av dina tjänster som används för att lagra data, som nämns i dessa fall ovan.

Nästa steg

Se den fullständiga uppsättningen rekommendationer.

Säkerhetskontrollista

Rekommendationer för dataklassificering