Klasyfikacja danych: najpierw znajdź wrażliwe dane, zanim zaczniesz je chronić
Klasyfikacja danych to oznaczanie informacji według tego, jak wrażliwe są, żeby chronić je proporcjonalnie do ryzyka. Brzmi jak biurokracja i źle zrobiona faktycznie nią jest. Zrobiona dobrze, jest fundamentem, na którym stoją wszystkie inne kontrole.
Powód jest prosty. Nie da się zastosować least privilege do danych, których nie umiesz zidentyfikować. Nie da się powiedzieć DLP, czego ma pilnować, jeśli nie zdefiniowałeś, co znaczy „wrażliwe". Nie da się spełnić obowiązków RODO wobec danych osobowych bez wiedzy, gdzie te dane leżą. I nie da się ocenić zakresu naruszenia w 72 godziny, jeśli nie wiesz, co przechowywały dotknięte systemy. Klasyfikacja to coś, co zamienia hasło „chrońmy nasze dane" w coś konkretnego. Błąd, który popełnia większość firm, to przekombinowanie: sześciopoziomowa taksonomia z rozbudowanymi zasadami postępowania, których nikt nie przestrzega. Schemat, z którego ludzie faktycznie korzystają, bije perfekcyjny schemat, który ignorują.
- Klasyfikacja danych to oznaczanie informacji według tego, jak wrażliwe są, żeby chronić je proporcjonalnie do ryzyka. Zrobiona dobrze, jest fundamentem, na którym stoją inne kontrole.
- Nie da się zastosować least privilege do danych, których nie umiesz zidentyfikować, powiedzieć DLP, czego pilnować, bez zdefiniowania „wrażliwe", ani ocenić zakresu naruszenia w 72 godziny, jeśli nie wiesz, co przechowywały dotknięte systemy.
- Błąd, który popełnia większość firm, to przekombinowanie: sześciopoziomowa taksonomia z rozbudowanymi zasadami postępowania, których nikt nie przestrzega. Schemat, z którego ludzie faktycznie korzystają, bije perfekcyjny schemat, który ignorują.
- Wrażliwe dane nie zostają tam, gdzie się ich spodziewasz. Rozlewają się po SaaS, plikach, mailu, endpointach i kontach prywatnych i to właśnie tam większość firm nie docenia skali tego, co ma.
- Schemat klasyfikacji ma sens tylko wtedy, gdy przekłada się na działanie: dostęp, DLP, retencja i reakcja na incydenty powinny zależeć od etykiety.
schemat klasyfikacji, z którego ludzie faktycznie korzystają
Trzymaj się małej liczby poziomów z jasnymi definicjami w prostym języku. Sensowny domyślny wybór to cztery:
- Public (publiczne). Informacje, które bez wahania umieściłbyś na stronie firmy. Materiały marketingowe, publiczna dokumentacja. Bez ograniczeń.
- Internal (wewnętrzne). Zwykłe informacje biznesowe, które nie powinny być publiczne, ale nie są wrażliwe. Większość codziennej pracy. Poziom domyślny.
- Confidential (poufne). Informacje, których ujawnienie realnie zaszkodzi: dane klientów, dane osobowe, umowy, finanse, kod źródłowy, dane uwierzytelniające. Dostęp ograniczony do osób, które go potrzebują.
- Restricted (zastrzeżone). Najbardziej wrażliwy podzbiór: duże wolumeny danych osobowych, dane regulowane, koronne klejnoty firmy. Najciaśniejszy dostęp, najmocniejsze kontrole, często dodatkowy monitoring.
Dwie zasady utrzymują ten schemat w użyciu. Po pierwsze, domyślnie wszystko trafia do Internal, więc decyzję trzeba podjąć tylko dla rzeczy bardziej wrażliwych. Po drugie, każdy poziom wiąże się z konkretnymi zasadami postępowania, zwłaszcza dostępem: kto może sięgnąć po dane Confidential i Restricted i w jaki sposób. Etykieta bez konsekwencji to tylko dekoracja.
gdzie faktycznie leżą wrażliwe dane
Klasyfikacja na papierze jest łatwa. Trudność w tym, że wrażliwe dane nie zostają tam, gdzie się ich spodziewasz. Rozlewają się. Żeby je znaleźć, trzeba spojrzeć w miejsca, gdzie się gromadzą:
Systemy strukturalne. Bazy danych, CRM, system HR, platforma billingowa, hurtownia danych. Oczywiste miejsca i zwykle najłatwiejsze do ogarnięcia.
Aplikacje SaaS. Wrażliwe dane trafiają do systemów supportu, narzędzi projektowych, dysków współdzielonych i długiego ogona SaaS, który zespoły wdrożyły same. To tu się ukrywają i to tu większość firm nie docenia skali tego, co ma.
Pliki i narzędzia do współpracy. Arkusze z danymi klientów, wyeksportowane raporty, umowy w folderach współdzielonych. Dane niestrukturalne najtrudniej śledzić i często są najbardziej narażone.
Mail i komunikatory. Dane osobowe i poufne załączniki nieustannie przepływają przez skrzynki i czaty i zwykle tam zostają.
Endpointy i konta prywatne. Dane skopiowane na laptopy, prywatne dyski w chmurze i prywatne narzędzia AI. Najtrudniej je zobaczyć i to właśnie dlatego liczy się bezpieczeństwo przeglądarki oraz wykrywanie shadow IT.
Nie musisz zmapować każdego pliku pierwszego dnia. Zacznij od systemów, które najprawdopodobniej trzymają dane Confidential i Restricted, oraz od dostępu do nich, a potem poszerzaj zakres.
od klasyfikacji do kontroli
Schemat klasyfikacji ma sens tylko wtedy, gdy przekłada się na działanie. Gdy już wiesz, co masz i gdzie to leży, etykiety powinny zmieniać sposób traktowania danych:
Dostęp. To podstawowa kontrola. Dane Confidential i Restricted powinny być dostępne tylko dla osób, które ich potrzebują, z egzekwowanym least privilege i regularnymi przeglądami dostępów. Klasyfikacja mówi ci, które dane zasługują na najciaśniejszy dostęp.
Data-loss prevention. Teraz możesz powiedzieć DLP, czego ma pilnować: klasyfikacja definiuje, co znaczy „wrażliwe", więc narzędzie może wychwycić moment, gdy dane wyciekają.
Retencja i minimalizacja. Dane, których nie przechowujesz, nie mogą wyciec. Klasyfikacja pokazuje, co trzymasz, choć tego nie potrzebujesz, co jednocześnie ogranicza ryzyko i spełnia oczekiwania RODO.
Reakcja na incydenty. Gdy coś się wydarzy, znajomość klasyfikacji systemu od razu mówi ci, jak poważna jest sytuacja i jakie obowiązki się z nią wiążą.
jak utrzymać to przy życiu
Klasyfikacja traci aktualność wraz z pojawianiem się nowych danych i systemów, więc wbuduj ją w bieżący proces zamiast traktować jako jednorazowy projekt. Ustal poziom domyślny, żeby większość danych była obsługiwana bez konieczności podejmowania decyzji. Wpleć pytanie „jakie dane to zawiera" w proces wdrażania nowych narzędzi. I regularnie wracaj do systemów o wysokiej wrażliwości, bo to tam koncentruje się ryzyko. Celem jest żywy obraz, który utrzymujesz na bieżąco, a nie jednorazowy audyt powtarzany od zera.
let's start with a conversation
Most first conversations start with not quite knowing what you have or where to begin. That's normal, and it's exactly where we're useful.
Tell us what prompted this. An upcoming audit, an incident, a client's security questionnaire, or just a sense that things have gotten messy.
We'll take it from there
+48 783 762 997
julian@unshadowit.com
