Μια επιχείρηση μπορεί να διαθέτει οικονομικά στοιχεία, συμβάσεις, δεδομένα πελατών, εσωτερικές διαδικασίες, marketing υλικό και δημόσιες πληροφορίες. Δεν έχουν όμως όλα αυτά τα δεδομένα την ίδια ευαισθησία ούτε χρειάζονται ακριβώς τα ίδια μέτρα προστασίας.
Το Data Classification είναι η διαδικασία με την οποία μια επιχείρηση οργανώνει τις πληροφορίες της σε κατηγορίες ανάλογα με την ευαισθησία, την αξία, τη χρήση και τις συνέπειες που θα μπορούσε να έχει η μη εξουσιοδοτημένη αποκάλυψη, αλλοίωση ή απώλειά τους.
Ο στόχος δεν είναι να προσθέσουμε περίπλοκες ετικέτες σε κάθε αρχείο. Είναι να γνωρίζουν οι εργαζόμενοι και τα συστήματα ποια δεδομένα χρειάζονται μεγαλύτερη προστασία και πώς πρέπει να τα χειρίζονται.
Τι είναι το Data Classification;
Data Classification σημαίνει ότι οι πληροφορίες κατατάσσονται σε προκαθορισμένα επίπεδα με συγκεκριμένους κανόνες χειρισμού.
Για παράδειγμα, ένα φυλλάδιο που είναι ήδη δημοσιευμένο στο website δεν χρειάζεται να αντιμετωπίζεται όπως ένα αρχείο μισθοδοσίας ή ένα έγγραφο που περιέχει εμπιστευτικούς εμπορικούς όρους.
Η ταξινόμηση επιτρέπει στην επιχείρηση να συνδέσει την αξία και την ευαισθησία των πληροφοριών με κατάλληλα controls για:
- πρόσβαση,
- αποθήκευση,
- sharing,
- μεταφορά,
- εκτύπωση ή χρήση αφαιρούμενων μέσων όπου χρειάζεται,
- retention και ασφαλή διαγραφή,
- monitoring και Data Loss Prevention.
Γιατί χρειάζεται ταξινόμηση δεδομένων;
Χωρίς ταξινόμηση, η επιχείρηση κινδυνεύει να αντιμετωπίζει όλα τα δεδομένα με τον ίδιο τρόπο.
Αυτό μπορεί να οδηγήσει σε δύο αντίθετα προβλήματα. Από τη μία, ευαίσθητες πληροφορίες μπορεί να προστατεύονται ανεπαρκώς. Από την άλλη, συνηθισμένα ή δημόσια δεδομένα μπορεί να υποβάλλονται σε υπερβολικούς περιορισμούς που δυσκολεύουν χωρίς λόγο την καθημερινή εργασία.
Η σωστή ταξινόμηση βοηθά να εφαρμοστούν μέτρα ανάλογα με τον πραγματικό κίνδυνο.
Δεν υπάρχει μία υποχρεωτική λίστα κατηγοριών για κάθε επιχείρηση
Ένα σημαντικό σημείο είναι ότι ονόματα όπως Public, Internal, Confidential και Restricted αποτελούν ένα πρακτικό παράδειγμα μοντέλου και όχι καθολικό πρότυπο που πρέπει να αντιγράψει κάθε οργανισμός.
Η επιχείρηση πρέπει να επιλέξει επίπεδα που μπορούν να κατανοήσουν οι εργαζόμενοι και να συνδέσει κάθε επίπεδο με σαφείς κανόνες. Σε μια μικρή επιχείρηση, ένα απλό μοντέλο τριών ή τεσσάρων επιπέδων μπορεί να είναι λειτουργικότερο από ένα περίπλοκο σύστημα με πολλές παρόμοιες κατηγορίες.
Οι πραγματικές απαιτήσεις πρέπει επίσης να λαμβάνουν υπόψη συμβατικές, επιχειρησιακές, νομικές και κανονιστικές υποχρεώσεις που ισχύουν για τα συγκεκριμένα δεδομένα.
Παράδειγμα μοντέλου τεσσάρων επιπέδων
1. Public — Δημόσια
Πληροφορίες που έχουν εγκριθεί για δημόσια διάθεση και των οποίων η αποκάλυψη δεν δημιουργεί ουσιαστικό πρόβλημα επειδή προορίζονται ήδη για το κοινό.
Παραδείγματα μπορεί να είναι:
- περιεχόμενο του δημόσιου website,
- εγκεκριμένα δελτία τύπου,
- δημόσια brochures και marketing material,
- δημοσιευμένες πληροφορίες επικοινωνίας.
Το Public δεν σημαίνει ότι η ακεραιότητα ή η διαθεσιμότητα των πληροφοριών δεν έχουν σημασία. Ένα δημόσιο website, για παράδειγμα, εξακολουθεί να χρειάζεται προστασία από μη εξουσιοδοτημένη τροποποίηση.
2. Internal — Εσωτερική Χρήση
Πληροφορίες που δεν προορίζονται για δημόσια διάθεση αλλά των οποίων μια περιορισμένη αποκάλυψη συνήθως δεν θα είχε τον ίδιο αντίκτυπο με την έκθεση πραγματικά εμπιστευτικών δεδομένων.
Ανάλογα με την επιχείρηση, μπορεί να περιλαμβάνονται:
- εσωτερικές διαδικασίες,
- οδηγίες εργασίας,
- εσωτερικές ανακοινώσεις,
- γενικά εταιρικά έγγραφα που προορίζονται μόνο για το προσωπικό.
Η πρόσβαση μπορεί να επιτρέπεται ευρύτερα μέσα στην επιχείρηση, χωρίς αυτό να σημαίνει ότι τα δεδομένα επιτρέπεται να δημοσιεύονται ή να αποστέλλονται ανεξέλεγκτα εκτός οργανισμού.
3. Confidential — Εμπιστευτικά
Πληροφορίες των οποίων η μη εξουσιοδοτημένη αποκάλυψη μπορεί να προκαλέσει ουσιαστική επιχειρηματική, οικονομική, συμβατική ή άλλη ζημιά.
Παραδείγματα μπορεί να περιλαμβάνουν, ανάλογα με το περιβάλλον:
- εμπορικές συμφωνίες και συμβάσεις,
- μη δημόσια οικονομικά στοιχεία,
- ορισμένα δεδομένα πελατών ή εργαζομένων,
- εσωτερικές οικονομικές προβλέψεις,
- εμπιστευτικές πληροφορίες συνεργατών.
Η πρόσβαση σε τέτοια δεδομένα πρέπει να περιορίζεται σε όσους τη χρειάζονται πραγματικά για τον ρόλο τους.
4. Restricted — Αυστηρά Περιορισμένα
Το υψηλότερο επίπεδο ενός τέτοιου ενδεικτικού μοντέλου μπορεί να χρησιμοποιείται για πληροφορίες όπου η μη εξουσιοδοτημένη αποκάλυψη, αλλοίωση ή απώλεια θα μπορούσε να έχει ιδιαίτερα σοβαρές συνέπειες.
Η κατηγορία μπορεί, ανάλογα με την επιχείρηση, να χρησιμοποιείται για συγκεκριμένα εξαιρετικά ευαίσθητα δεδομένα, κρίσιμα secrets ή άλλες πληροφορίες που απαιτούν πολύ περιορισμένη πρόσβαση και αυξημένους ελέγχους.
Δεν πρέπει όμως να χαρακτηρίζεται μηχανικά κάθε προσωπικό ή οικονομικό δεδομένο ως Restricted. Η κατηγορία πρέπει να έχει συγκεκριμένο νόημα και κριτήρια.
Πώς αποφασίζουμε σε ποια κατηγορία ανήκουν τα δεδομένα;
Η ταξινόμηση δεν πρέπει να βασίζεται μόνο στο όνομα ενός αρχείου ή στο αν «φαίνεται σημαντικό».
Μια πρακτική αξιολόγηση μπορεί να εξετάζει ερωτήσεις όπως:
- Τι θα συμβεί αν οι πληροφορίες γίνουν δημόσιες;
- Τι θα συμβεί αν τροποποιηθούν χωρίς εξουσιοδότηση;
- Τι θα συμβεί αν δεν είναι διαθέσιμες όταν τις χρειάζεται η επιχείρηση;
- Περιέχουν προσωπικά, οικονομικά, συμβατικά ή άλλα ευαίσθητα στοιχεία;
- Υπάρχει συμβατική ή κανονιστική απαίτηση για τον χειρισμό τους;
- Ποιοι πραγματικά χρειάζονται πρόσβαση;
- Μπορούν να κοινοποιηθούν σε συνεργάτες και, αν ναι, υπό ποιες προϋποθέσεις;
Το NIST FIPS 199 χρησιμοποιεί μια risk-based λογική εξετάζοντας τον πιθανό αντίκτυπο από απώλεια confidentiality, integrity και availability. Παρότι το συγκεκριμένο πρότυπο αφορά ομοσπονδιακά συστήματα των ΗΠΑ, η βασική ιδέα ότι η προστασία πρέπει να σχετίζεται με τις συνέπειες ενός συμβάντος είναι χρήσιμη και για τον σχεδιασμό μιας επιχειρηματικής μεθοδολογίας ταξινόμησης.
Η ταξινόμηση πρέπει να οδηγεί σε συγκεκριμένους κανόνες
Μια ετικέτα «Confidential» δεν προσφέρει από μόνη της προστασία. Κάθε κατηγορία πρέπει να συνδέεται με πρακτικούς κανόνες χειρισμού.
Για παράδειγμα, η πολιτική μπορεί να καθορίζει για κάθε επίπεδο:
- ποιος επιτρέπεται να έχει πρόσβαση,
- σε ποιες εγκεκριμένες υπηρεσίες επιτρέπεται η αποθήκευση,
- αν επιτρέπεται external sharing και υπό ποιες προϋποθέσεις,
- πότε απαιτείται κρυπτογράφηση,
- αν επιτρέπεται αποθήκευση σε unmanaged συσκευές ή removable media,
- ποιες απαιτήσεις ισχύουν για μεταφορά και αποστολή,
- ποια logs ή monitoring χρειάζονται,
- πότε και πώς πρέπει να διαγράφονται ή να καταστρέφονται με ασφάλεια.
Το NIST SP 800-53 περιλαμβάνει οικογένειες controls για access control και media protection, συμπεριλαμβανομένων θεμάτων όπως access, marking, storage, transport και sanitization. Αυτό αναδεικνύει μια βασική αρχή: η κατηγορία των πληροφοριών πρέπει να μεταφράζεται σε πραγματικούς κανόνες προστασίας και χειρισμού.
Παράδειγμα απλού Handling Matrix
Μια μικρή επιχείρηση μπορεί να δημιουργήσει έναν απλό πίνακα που εξηγεί τι σημαίνει κάθε classification στην πράξη.
- Public: επιτρέπεται δημόσια κοινοποίηση μετά την προβλεπόμενη έγκριση.
- Internal: χρήση μέσα στην επιχείρηση και εξωτερική κοινοποίηση μόνο όταν υπάρχει επιχειρηματική ανάγκη και κατάλληλη έγκριση.
- Confidential: πρόσβαση μόνο σε εξουσιοδοτημένα άτομα, αποθήκευση σε εγκεκριμένα συστήματα και ελεγχόμενο external sharing.
- Restricted: αυστηρό need-to-know, ιδιαίτερα περιορισμένη πρόσβαση και πρόσθετα τεχνικά ή οργανωτικά controls σύμφωνα με τον κίνδυνο.
Αυτά είναι παραδείγματα και όχι καθολικοί κανόνες. Η τελική πολιτική πρέπει να προσαρμοστεί στα δεδομένα, στις υπηρεσίες και στις υποχρεώσεις της συγκεκριμένης επιχείρησης.
Data Classification και Access Control
Η ταξινόμηση βοηθά να απαντήσουμε πόσο προστατευμένη πρέπει να είναι μια πληροφορία. Το access control απαντά ποιος μπορεί να τη χρησιμοποιήσει.
Για Confidential ή Restricted πληροφορίες, η πρόσβαση δεν πρέπει να δίνεται σε όλους μόνο επειδή εργάζονται στην ίδια εταιρεία. Πρέπει να εφαρμόζεται η αρχή του least privilege και να παρέχεται πρόσβαση σύμφωνα με τον πραγματικό ρόλο και την επιχειρηματική ανάγκη.
Τα permissions χρειάζονται επίσης επανεξέταση όταν ένας εργαζόμενος αλλάζει ρόλο ή αποχωρεί.
Data Classification και DLP
Η ταξινόμηση και το Data Loss Prevention είναι στενά συνδεδεμένα, αλλά δεν είναι το ίδιο πράγμα.
Το Data Classification καθορίζει τι είδους πληροφορία έχουμε και ποιο επίπεδο προστασίας χρειάζεται. Το DLP χρησιμοποιεί κανόνες και τεχνικούς μηχανισμούς για να εντοπίζει και να ελέγχει συγκεκριμένους τρόπους χρήσης ή μεταφοράς ευαίσθητων πληροφοριών.
Για παράδειγμα, μια επιχείρηση μπορεί να αποφασίσει ότι συγκεκριμένες πληροφορίες θεωρούνται Confidential και στη συνέχεια να χρησιμοποιήσει DLP controls για να περιορίσει μη εγκεκριμένη αποστολή ή αντιγραφή τους.
Για την τεχνική πλευρά αυτών των ελέγχων, δείτε τον οδηγό της DataShield για το Data Loss Prevention και την προστασία ευαίσθητων δεδομένων.
Τι γίνεται με προσωπικά δεδομένα και GDPR;
Η εσωτερική ταξινόμηση μιας επιχείρησης και οι νομικοί χαρακτηρισμοί δεν είναι το ίδιο πράγμα.
Ένα classification label δεν καθορίζει από μόνο του αν μια πληροφορία αποτελεί προσωπικό δεδομένο ούτε αντικαθιστά τις υποχρεώσεις που μπορεί να ισχύουν για την επεξεργασία της.
Η ταξινόμηση μπορεί όμως να βοηθήσει επιχειρησιακά ώστε οι πληροφορίες που υπόκεινται σε συγκεκριμένες απαιτήσεις να συνδέονται με κατάλληλους κανόνες πρόσβασης, sharing, retention και προστασίας.
Data Classification και AI
Η ταξινόμηση αποκτά ιδιαίτερη σημασία όταν οι εργαζόμενοι χρησιμοποιούν AI εργαλεία.
Αν η επιχείρηση δεν έχει αποφασίσει ποια δεδομένα είναι Public, Internal ή Confidential, είναι δύσκολο να δώσει σαφή απάντηση στο ερώτημα «ποια δεδομένα επιτρέπεται να εισάγω σε αυτό το AI εργαλείο;».
Η classification policy μπορεί να συνδεθεί με κανόνες που ορίζουν ποιες κατηγορίες πληροφοριών επιτρέπεται να χρησιμοποιούνται σε εγκεκριμένες AI υπηρεσίες και ποιες απαιτούν πρόσθετη αξιολόγηση ή δεν επιτρέπεται να εισάγονται.
Για αυτόν τον ειδικό κίνδυνο υπάρχει ξεχωριστός οδηγός για το AI Data Leakage και την έκθεση επιχειρησιακών δεδομένων μέσω AI εργαλείων.
Χειροκίνητη ή αυτοματοποιημένη ταξινόμηση;
Η ταξινόμηση μπορεί να βασίζεται σε ανθρώπινη απόφαση, σε τεχνικούς μηχανισμούς ή σε συνδυασμό των δύο.
Σε ένα απλό περιβάλλον, ο ιδιοκτήτης ή ο δημιουργός ενός εγγράφου μπορεί να επιλέγει την κατάλληλη κατηγορία σύμφωνα με σαφείς οδηγίες. Σε μεγαλύτερα περιβάλλοντα, τεχνολογίες data discovery και classification μπορούν να βοηθούν στον εντοπισμό και στην επισήμανση πληροφοριών.
Το NIST SP 1800-39, Data Classification Practices, το οποίο κατά τη σύνταξη αυτού του οδηγού βρίσκεται σε μορφή Initial Public Draft, παρουσιάζει πρακτικές για discovery, identification και labeling μη δομημένων δεδομένων.
Η αυτοματοποίηση όμως δεν καταργεί την ανάγκη για σαφή classification policy. Ένα εργαλείο μπορεί να βοηθήσει να αναγνωριστεί ένα μοτίβο ή ένα είδος πληροφορίας, αλλά η επιχείρηση πρέπει πρώτα να έχει αποφασίσει τι σημαίνει κάθε κατηγορία και ποιοι κανόνες συνδέονται με αυτή.
Ποιος πρέπει να αποφασίζει την ταξινόμηση;
Η ταξινόμηση δεν πρέπει να είναι αποκλειστική ευθύνη του IT.
Το IT μπορεί να εφαρμόζει τεχνικά controls, αλλά οι υπεύθυνοι των επιχειρηματικών λειτουργιών γνωρίζουν καλύτερα τη σημασία των δεδομένων που χρησιμοποιούν. Ανάλογα με την επιχείρηση, μπορεί επίσης να χρειάζεται συμμετοχή διοίκησης, security, privacy ή νομικών υπευθύνων.
Για κάθε σημαντικό σύνολο δεδομένων είναι χρήσιμο να υπάρχει σαφής owner που μπορεί να απαντήσει ποιος χρειάζεται πρόσβαση, πώς επιτρέπεται να χρησιμοποιούνται οι πληροφορίες και ποια classification είναι κατάλληλη.
Πώς να ξεκινήσει μια ΜΜΕ
Δεν χρειάζεται να ταξινομηθούν όλα τα αρχεία της επιχείρησης μέσα σε μία ημέρα.
- Εντοπίστε τα σημαντικά δεδομένα: καταγράψτε ποια είδη πληροφοριών χρησιμοποιεί η επιχείρηση και πού βρίσκονται.
- Ορίστε λίγα και κατανοητά επίπεδα: αποφύγετε πολλές κατηγορίες με δυσδιάκριτες διαφορές.
- Γράψτε σαφή κριτήρια: εξηγήστε πότε μια πληροφορία ανήκει σε κάθε επίπεδο.
- Δημιουργήστε handling rules: καθορίστε τι επιτρέπεται για access, storage, sharing, transmission και disposal.
- Ορίστε data owners: ξεκαθαρίστε ποιος αποφασίζει για σημαντικά datasets και εξαιρέσεις.
- Ξεκινήστε από τις κρίσιμες περιοχές: δώστε προτεραιότητα στα δεδομένα όπου η λανθασμένη κοινοποίηση ή απώλεια θα είχε τον μεγαλύτερο αντίκτυπο.
- Εκπαιδεύστε τους εργαζομένους: οι κατηγορίες πρέπει να είναι αρκετά απλές ώστε να μπορούν να εφαρμοστούν στην καθημερινή εργασία.
- Συνδέστε την πολιτική με τεχνικά controls: εφαρμόστε permissions, DLP, encryption ή άλλους κατάλληλους μηχανισμούς όπου χρειάζονται.
- Επανεξετάζετε το μοντέλο: νέα συστήματα, διαδικασίες και τύποι δεδομένων μπορεί να απαιτούν αλλαγές.
Συχνά λάθη στο Data Classification
Πάρα πολλές κατηγορίες
Αν οι εργαζόμενοι δυσκολεύονται να καταλάβουν τη διαφορά μεταξύ των labels, η εφαρμογή τους θα είναι ασυνεπής.
Όλα χαρακτηρίζονται Confidential
Αν σχεδόν κάθε πληροφορία μπει στην ίδια υψηλή κατηγορία, η ταξινόμηση παύει να βοηθά στην προτεραιοποίηση των πραγματικά ευαίσθητων δεδομένων.
Υπάρχουν labels αλλά όχι κανόνες
Η ετικέτα πρέπει να αλλάζει τον τρόπο με τον οποίο χειριζόμαστε την πληροφορία. Διαφορετικά είναι απλώς μια ονομασία χωρίς ουσιαστικό security αποτέλεσμα.
Η πολιτική σχεδιάζεται μόνο από το IT
Η τεχνική ομάδα δεν μπορεί από μόνη της να γνωρίζει τον επιχειρηματικό αντίκτυπο κάθε σύμβασης, οικονομικού αρχείου ή άλλου dataset.
Η ταξινόμηση δεν ακολουθεί τα δεδομένα στην πράξη
Η πολιτική πρέπει να λαμβάνει υπόψη τον πραγματικό κύκλο ζωής των πληροφοριών: δημιουργία, αποθήκευση, sharing, χρήση, αρχειοθέτηση και τελική διαγραφή.
Πρακτικό Checklist
- Έχουμε ορίσει λίγα και σαφή classification levels;
- Υπάρχουν συγκεκριμένα κριτήρια για κάθε επίπεδο;
- Ξέρουμε πού βρίσκονται τα σημαντικότερα ευαίσθητα δεδομένα;
- Υπάρχει owner για τα κρίσιμα datasets;
- Κάθε classification συνδέεται με συγκεκριμένους handling rules;
- Τα permissions ανταποκρίνονται στην ευαισθησία των δεδομένων;
- Υπάρχουν κανόνες για external sharing;
- Έχουν καθοριστεί απαιτήσεις για storage, transmission και disposal;
- Οι εργαζόμενοι γνωρίζουν πώς να ταξινομούν και να χειρίζονται τις πληροφορίες;
- Τα τεχνικά controls υποστηρίζουν την classification policy όπου χρειάζεται;
Πώς μπορεί να βοηθήσει η DataShield
Ένα πρακτικό data-classification πρόγραμμα πρέπει να συνδέει τις επιχειρηματικές ανάγκες με τα πραγματικά συστήματα στα οποία αποθηκεύονται και χρησιμοποιούνται οι πληροφορίες.
Η DataShield μπορεί να βοηθήσει μια επιχείρηση να χαρτογραφήσει τα σημαντικά δεδομένα της, να αξιολογήσει permissions και σημεία sharing και να σχεδιάσει κατάλληλους τεχνικούς ελέγχους για την προστασία των διαφορετικών κατηγοριών πληροφοριών.
Συμπέρασμα
Το Data Classification δίνει στην επιχείρηση έναν πρακτικό τρόπο να απαντήσει σε μια βασική ερώτηση: ποια δεδομένα χρειάζονται ποιο επίπεδο προστασίας;
Ένα αποτελεσματικό μοντέλο δεν χρειάζεται να είναι περίπλοκο. Χρειάζεται σαφείς κατηγορίες, κατανοητά κριτήρια, υπεύθυνους ιδιοκτήτες δεδομένων και συγκεκριμένους κανόνες για access, storage, sharing και disposal.
Όταν η ταξινόμηση συνδέεται με πραγματικά permissions, DLP, encryption και άλλους κατάλληλους ελέγχους, μετατρέπεται από μια απλή ετικέτα σε χρήσιμο μέρος της συνολικής στρατηγικής προστασίας δεδομένων.
