Architekturstrategien für die Datenklassifizierung

Gilt für die Empfehlung der Azure Well-Architected Framework-Sicherheitsprüfliste:

In diesem Leitfaden werden die Empfehlungen für die Datenklassifizierung beschrieben. Die meisten Workloads speichern verschiedene Datentypen. Nicht alle Daten sind gleichermaßen vertraulich. Mithilfe der Datenklassifizierung können Sie Daten basierend auf ihrer Vertraulichkeitsstufe, dem Informationstyp und dem Umfang der Compliance kategorisieren, damit Sie das richtige Schutzniveau anwenden können. Der Schutz umfasst Zugriffssteuerungen, Aufbewahrungsrichtlinien für verschiedene Informationstypen usw. Während die tatsächlichen Sicherheitskontrollen, die auf der Datenklassifizierung basieren, außerhalb des Gültigkeitsbereichs für diesen Artikel stehen, werden Empfehlungen zum Kategorisieren von Daten basierend auf den vorstehenden Kriterien bereitgestellt, die von Ihrer Organisation festgelegt wurden.

Definitionen

Die Datenklassifizierung ist eine wichtige Übung, die häufig das Erstellen eines Datensatzsystems und seiner Funktion steuert. Die Klassifizierung hilft Ihnen auch bei der korrekten Größe von Sicherheitsüberprüfungen und hilft dem Triage-Team, die Ermittlung während der Reaktion auf Vorfälle zu beschleunigen. Voraussetzung für den Entwurfsprozess ist es, klar zu verstehen, ob Daten vertraulich, eingeschränkt, öffentlich oder sonstige Vertraulichkeitsklassifizierungen behandelt werden sollen. Es ist auch wichtig, die Speicherorte zu bestimmen, an denen Daten gespeichert werden, da die Daten möglicherweise über mehrere Umgebungen verteilt werden.

Die Datenermittlung ist erforderlich, um die Daten zu finden. Ohne dieses Wissen setzen die meisten Designs einen mittleren Ansatz ein, der möglicherweise oder nicht den Sicherheitsanforderungen entspricht. Daten können überschützt werden, was zu Kosten- und Leistungsineffizienzen führt. Oder es ist möglicherweise nicht ausreichend geschützt, was zur Angriffsfläche hinzufügt.

Die Datenklassifizierung ist häufig eine umständliche Übung. Es stehen Tools zur Verfügung, mit denen Datenressourcen ermittelt und Klassifizierungen vorgeschlagen werden können. Verlassen Sie sich aber nicht nur auf Tools. Haben Sie einen Prozess, bei dem Teammitglieder die Übungen sorgfältig durchführen. Verwenden Sie dann Tools zum Automatisieren, wenn dies praktisch ist.

Zusammen mit diesen bewährten Methoden finden Sie unter Erstellen eines gut gestalteten Datenklassifizierungsframeworks.

Grundlegendes zur durch die Organisation definierten Taxonomie

Taxonomie ist eine hierarchische Darstellung der Datenklassifizierung. Sie hat benannte Entitäten, die die Kategorisierungskriterien angeben.

Im Allgemeinen gibt es keinen universellen Standard für die Klassifizierung oder zum Definieren der Taxonomie. Sie wird durch die Motivation einer Organisation zum Schutz von Daten gesteuert. Taxonomie kann Complianceanforderungen, versprochene Features für die Workloadbenutzer oder andere Kriterien erfassen, die von geschäftlichen Anforderungen gesteuert werden.

Hier sind einige Beispielklassifizierungsbezeichnungen für Vertraulichkeitsstufen, Informationstyp und Complianceumfang.

Verlassen Sie sich als Workloadbesitzer auf Ihre Organisation, um Ihnen eine klar definierte Taxonomie bereitzustellen. Alle Arbeitsauslastungsrollen müssen ein gemeinsames Verständnis der Struktur, der Nomenklatur und der Definition der Vertraulichkeitsstufen haben. Definieren Sie kein eigenes Klassifizierungssystem.

Definieren des Klassifizierungsbereichs

Die meisten Organisationen verfügen über eine Vielzahl von Bezeichnungen.

Identifizieren Sie eindeutig, welche Datenressourcen und Komponenten für jede Vertraulichkeitsstufe im Gültigkeitsbereich und außerhalb des Gültigkeitsbereichs liegen. Sie sollten ein klares Ziel für das Ergebnis haben. Das Ziel könnte eine schnellere Triage, eine beschleunigte Notfallwiederherstellung oder behördliche Prüfungen sein. Wenn Sie die Ziele klar verstehen, wird sichergestellt, dass Sie ihre Klassifizierungsbemühungen korrekt anpassen.

Beginnen Sie mit diesen einfachen Fragen, und erweitern Sie sie nach Bedarf basierend auf Ihrer Systemkomplexität:

• Was ist der Ursprung von Daten und Informationstyp?
• Was ist die erwartete Einschränkung basierend auf dem Zugriff? Ist es z. B. öffentliche Informationsdaten, behördliche oder andere erwartete Anwendungsfälle?
• Was ist der Datenbedarf? Wo werden Daten gespeichert? Wie lange sollten die Daten aufbewahrt werden?
• Welche Komponenten der Architektur interagieren mit den Daten?
• Wie werden die Daten durch das System verschoben?
• Welche Informationen werden in den Überwachungsberichten erwartet?
• Müssen Sie Vorproduktionsdaten klassifizieren?

Inventarisieren Ihrer Datenspeicher

Wenn Sie über ein vorhandenes System verfügen, erfassen Sie alle Datenspeicher und Komponenten, die im Gültigkeitsbereich enthalten sind. Wenn Sie ein neues System entwerfen, erstellen Sie dagegen eine Datenflussdimension der Architektur und weisen eine anfängliche Kategorisierung pro Taxonomiedefinition auf. Die Klassifizierung gilt für das gesamte System. Es unterscheidet sich von der Klassifizierung geheimer Konfigurationsschlüssel und Nichtsecrets.It's distinctly different from klassing configuration secrets and nonsecrets.

Definieren des Bereichs

Seien Sie präzise und explizit, wenn Sie den Bereich definieren. Angenommen, Ihr Datenspeicher ist ein tabellarisches System. Sie möchten die Vertraulichkeit auf Tabellenebene oder sogar die Spalten in der Tabelle klassifizieren. Achten Sie außerdem darauf, die Klassifizierung auf Nichtdatenspeicherkomponenten zu erweitern, die möglicherweise in Beziehung stehen oder einen Teil bei der Verarbeitung der Daten haben. Haben Sie beispielsweise die Sicherung Ihres streng vertraulichen Datenspeichers klassifiziert? Wenn Sie vom Benutzer vertrauliche Daten zwischenspeichern, ist der Datenspeicher für die Zwischenspeicherung im Gültigkeitsbereich enthalten? Wenn Sie analytische Datenspeicher verwenden, wie werden die aggregierten Daten klassifiziert?

Design gemäß Klassifizierungsbezeichnungen

Die Klassifizierung sollte Ihre Architekturentscheidungen beeinflussen. Der offensichtlichste Bereich ist Ihre Segmentierungsstrategie, die die unterschiedlichen Klassifizierungsbezeichnungen berücksichtigen sollte.

Beispielsweise beeinflussen die Bezeichnungen die Begrenzungen der Datenverkehrsisolation. Möglicherweise gibt es kritische Flüsse, bei denen end-to-End Transport Layer Security (TLS) erforderlich ist, während andere Pakete über HTTP gesendet werden können. Wenn Nachrichten über einen Nachrichtenbroker übertragen werden, müssen möglicherweise bestimmte Nachrichten signiert werden.

Bei ruhenden Daten wirken sich die Ebenen auf die Verschlüsselungsoptionen aus. Sie können sich für den Schutz streng vertraulicher Daten durch doppelte Verschlüsselung entscheiden. Verschiedene Anwendungsgeheimnisse erfordern möglicherweise sogar die Kontrolle mit unterschiedlichen Schutzebenen. Möglicherweise können Sie das Speichern von geheimen Schlüsseln in einem HSM-Speicher (Hardware Security Module) rechtfertigen, der höhere Einschränkungen bietet. Compliancebezeichnungen diktieren auch Entscheidungen über die richtigen Schutzstandards. Die PCI-DSS Standard schreibt beispielsweise die Verwendung des FIPS 140-2 Level 3-Schutzes vor, der nur für HSMs verfügbar ist. In anderen Fällen kann es akzeptabel sein, dass andere geheime Schlüssel in einem regulären Geheimverwaltungsspeicher gespeichert werden.

Wenn Sie Daten schützen müssen, die verwendet werden, sollten Sie vertrauliche Computer in die Architektur integrieren.

Klassifizierungsinformationen sollten mit den Daten verschoben werden, während sie über das System und über Komponenten der Workload hinweg wechselt. Als vertraulich bezeichnete Daten sollten von allen Komponenten, die damit interagieren, als vertraulich behandelt werden. Achten Sie beispielsweise darauf, personenbezogene Daten zu schützen, indem Sie sie aus jeder Art von Anwendungsprotokollen entfernen oder verschleiern.

Die Klassifizierung wirkt sich auf den Entwurf Ihres Berichts auf die Art und Weise aus, wie Daten verfügbar gemacht werden sollen. Müssen Sie z. B. basierend auf Ihren Informationstypbeschriftungen einen Datenformatierungsalgorithmus als Ergebnis der Informationstypbeschriftung anwenden? Welche Rollen sollten Einblicke in die Rohdaten im Vergleich zu maskierten Daten haben? Wenn Complianceanforderungen für die Berichterstellung vorliegen, wie werden Daten vorschriften und Standards zugeordnet? Wenn Sie dieses Verständnis haben, ist es einfacher, die Einhaltung spezifischer Anforderungen zu demonstrieren und Berichte für Auditoren zu generieren.

Sie wirkt sich auch auf die Datenlebenszyklusverwaltungsvorgänge aus, z. B. Datenaufbewahrungs- und Außerbetriebsetzungszeitpläne.

Anwenden einer Taxonomie für Abfragen

Es gibt viele Möglichkeiten, Taxonomiebeschriftungen auf die identifizierten Daten anzuwenden. Die Verwendung eines Klassifizierungsschemas mit Metadaten ist die am häufigsten verwendete Methode, um die Bezeichnungen anzugeben. Durch die Standardisierung über das Schema wird sichergestellt, dass die Berichterstellung korrekt ist, die Variationschancen minimiert und die Erstellung von benutzerdefinierten Abfragen vermieden. Erstellen Sie automatisierte Prüfungen, um ungültige Einträge abzufangen.

Sie können Bezeichnungen manuell, programmgesteuert anwenden oder eine Kombination aus beiden verwenden. Der Architekturentwurfsprozess sollte den Entwurf des Schemas enthalten. Unabhängig davon, ob Sie über ein vorhandenes System verfügen oder ein neues System erstellen, behalten Sie beim Anwenden von Bezeichnungen die Konsistenz in den Schlüssel-Wert-Paaren bei.

Denken Sie daran, dass nicht alle Daten eindeutig klassifiziert werden können. Treffen Sie eine explizite Entscheidung darüber, wie die daten, die nicht klassifiziert werden können, in der Berichterstellung dargestellt werden sollen.

Die tatsächliche Implementierung hängt von der Art der Ressourcen ab. Bestimmte Azure-Ressourcen verfügen über integrierte Klassifizierungssysteme. Azure SQL Server verfügt beispielsweise über ein Klassifizierungsmodul, unterstützt die dynamische Maskierung und kann Berichte basierend auf Metadaten generieren. Azure Service Bus unterstützt das Einschließen eines Nachrichtenschemas, das angefügte Metadaten enthalten kann. Wenn Sie Ihre Implementierung entwerfen, bewerten Sie die von der Plattform unterstützten Features, und nutzen Sie sie. Stellen Sie sicher, dass die für die Klassifizierung verwendeten Metadaten isoliert und getrennt von den Datenspeichern gespeichert werden.

Es gibt auch spezielle Klassifizierungstools, mit denen Bezeichnungen automatisch erkannt und angewendet werden können. Diese Tools sind mit Ihren Datenquellen verbunden. Microsoft Purview verfügt über AutoErmittlungsfunktionen. Es gibt auch Tools von Drittanbietern, die ähnliche Funktionen bieten. Der Ermittlungsprozess sollte durch manuelle Überprüfung überprüft werden.

Überprüfen Sie die Datenklassifizierung regelmäßig. Die Klassifizierungswartung sollte in Vorgänge integriert werden, andernfalls können veraltete Metadaten zu fehlerhaften Ergebnissen für die identifizierten Ziele und Complianceprobleme führen.

Kompromiss: Achten Sie auf den Kostenkonflikt bei der Werkzeugerstellung. Klassifizierungstools erfordern Schulungen und können komplex sein.

Letztendlich muss die Klassifizierung über zentrale Teams für die Organisation eingerichtet werden. Abrufen von Eingaben über die erwartete Berichtsstruktur. Nutzen Sie außerdem zentrale Tools und Prozesse, um die Organisationsausrichtung zu haben, und verringern Sie auch die Betriebskosten.

Azure-Erleichterung

Microsoft Purview vereint Azure Purview- und Microsoft Purview-Lösungen, um Einblicke in Datenressourcen in Ihrer gesamten Organisation zu bieten. Weitere Informationen finden Sie unter Was ist Microsoft Purview?

Azure SQL-Datenbank, Azure SQL Managed Instance und Azure Synapse Analytics bieten integrierte Klassifizierungsfunktionen. Verwenden Sie diese Tools, um die vertraulichen Daten in Ihren Datenbanken zu ermitteln, zu klassifizieren, zu kennzeichnen und zu melden. Weitere Informationen finden Sie unter Data Discovery und Klassifizierung.

Für Daten, die bei Verarbeitungsvorgängen als streng vertraulich klassifiziert wurden oder während der Verarbeitung geschützt werden müssen, unterstützt die Azure-Datenbank für PostgreSQL Vertrauliches Rechnen, um hardwarebasierte Verschlüsselung für Daten in der Ausführung bereitzustellen. Diese Technologie ermöglicht Es Organisationen, vertrauliche Daten während der Verarbeitung zu schützen und gleichzeitig die Datenbankleistung aufrechtzuerhalten und die Einhaltung strenger gesetzlicher Anforderungen für den Datenschutz in stark regulierten Branchen zu unterstützen.

Example

Dieses Beispiel baut auf der IT-Umgebung (Information Technology) auf, die in der Sicherheitsgrundlinie (SE:01) eingerichtet wurde. Das folgende Beispieldiagramm zeigt Datenspeicher, in denen Daten klassifiziert werden.

1. Daten, die auf Datenbanken und Datenträgern gespeichert sind, sollten nur für einige Benutzer zugänglich sein, z. B. Administratoren, Datenbankadministratoren. Dann ist es üblich, dass allgemeine Benutzer oder Kunden finalen Clients nur Zugriff auf Ebenen haben, die im Internet verfügbar gemacht werden, z. B. Anwendungen oder Sprungfelder.

2. Anwendungen kommunizieren mit den Datenbanken oder Daten, die auf Datenträgern gespeichert sind, z. B. Objektspeicher oder Dateiserver.

3. In einigen Fällen können Daten in einer lokalen Umgebung und in der öffentlichen Cloud gespeichert werden. Beide müssen konsistent klassifiziert werden.

4. In einem Operatoranwendungsfall benötigen Remoteadministratoren Zugriffsspringfelder in der Cloud oder auf einem virtuellen Computer, auf dem die Workload ausgeführt wird. Zugriffsberechtigungen sollten gemäß den Datenklassifizierungsbezeichnungen erteilt werden.

5. Daten, die durch die virtuellen Computer in die Back-End-Datenbanken verschoben werden, und Daten sollten in den gesamten Durchlaufpunkten mit der gleichen Vertraulichkeitsstufe behandelt werden.

6. Workloads speichern Daten direkt auf Datenträgern virtueller Computer. Diese Datenträger sind für die Klassifizierung vorgesehen.

7. In einer Hybridumgebung können unterschiedliche Personas lokal über verschiedene Mechanismen auf Workloads zugreifen, um eine Verbindung mit verschiedenen Datenspeichertechnologien oder Datenbanken herzustellen. Der Zugriff muss gemäß den Klassifizierungsbezeichnungen gewährt werden.

8. Die lokalen Server stellen eine Verbindung mit wichtigen Daten her, die klassifiziert und geschützt werden müssen, z. B. Dateiserver, Objektspeicher und verschiedene Datenbanktypen, z. B. relational, NoSQL und Data Warehouse.

9. Microsoft Purview Compliance bietet eine Lösung zum Klassifizieren von Dateien und E-Mails.

10. Microsoft Defender für Cloud bietet eine Lösung, die Ihrem Unternehmen hilft, die Compliance in Ihrer Umgebung nachzuverfolgen, einschließlich vieler Ihrer Dienste, die zum Speichern von Daten verwendet werden, wie in diesen Anwendungsfällen oben erwähnt.

Verwandte Links

• Datenklassifizierung und Vertraulichkeitsbezeichnungstaxonomie – Microsoft Service Assurance
• Erstellen eines gut gestalteten Datenklassifizierungsframeworks – Microsoft Service Assurance

Nächster Schritt

Lesen Sie den vollständigen Satz von Empfehlungen.