Stratégies d’architecture pour la classification des données

S’applique à la recommandation de liste de contrôle de sécurité d’Azure Well-Architected Framework :

Ce guide décrit les recommandations relatives à la classification des données. La plupart des charges de travail stockent différents types de données. Toutes les données ne sont pas tout aussi sensibles. La classification des données vous aide à classer les données en fonction de son niveau de confidentialité, de son type d’informations et de son étendue de conformité afin de pouvoir appliquer le niveau de protection approprié. La protection inclut des contrôles d’accès, des stratégies de rétention pour différents types d’informations, et ainsi de suite. Bien que les contrôles de sécurité réels basés sur la classification des données soient hors de portée pour cet article, il fournit des recommandations pour catégoriser les données en fonction des critères précédents définis par votre organisation.

Définitions

La classification des données est un exercice crucial qui conduit souvent à la création d’un système d’enregistrement et de sa fonction. La classification vous aide également à dimensionner correctement les garanties de sécurité et aide l’équipe de triage à accélérer la découverte lors de la réponse aux incidents. Une condition préalable au processus de conception consiste à comprendre clairement si les données doivent être traitées comme confidentielles, restreintes, publiques ou toute autre classification de confidentialité. Il est également essentiel de déterminer les emplacements où les données sont stockées, car les données peuvent être distribuées dans plusieurs environnements.

La découverte de données est nécessaire pour localiser les données. Sans cette connaissance, la plupart des conceptions adoptent une approche intermédiaire, qui peut ou non répondre aux exigences de sécurité. Les données peuvent être surprotégées, ce qui entraîne des inefficacités de coût et de performances. Ou il peut ne pas être suffisamment protégé, ce qui ajoute à la surface d’attaque.

La classification des données est souvent un exercice fastidieux. Il existe des outils qui peuvent découvrir des ressources de données et suggérer des classifications. Mais ne vous fiez pas seulement à des outils. Avoir un processus en place où les membres de l’équipe effectuent avec diligence les exercices. Utilisez ensuite des outils pour automatiser quand cela est pratique.

En plus de ces bonnes pratiques, consultez Créer une infrastructure de classification des données bien conçue.

Comprendre la taxonomie définie par l’organisation

La taxonomie est une représentation hiérarchique de la classification des données. Il a nommé des entités qui indiquent les critères de catégorisation.

En général, il n’existe pas de norme universelle pour la classification ou pour la définition de la taxonomie. Elle est pilotée par la motivation d’une organisation pour protéger les données. La taxonomie peut capturer les exigences de conformité, les fonctionnalités promises pour les utilisateurs de la charge de travail ou d’autres critères pilotés par les besoins de l’entreprise.

Voici quelques exemples d’étiquettes de classification pour les niveaux de confidentialité, le type d’informations et l’étendue de la conformité.

En tant que propriétaire de charge de travail, utilisez votre organisation pour vous fournir une taxonomie bien définie. Tous les rôles de charge de travail doivent avoir une compréhension partagée de la structure, de la nomenclature et de la définition des niveaux de confidentialité. Ne définissez pas votre propre système de classification.

Définir l’étendue de classification

La plupart des organisations ont un ensemble diversifié d’étiquettes.

Identifiez clairement les ressources de données et les composants dans l’étendue et hors portée pour chaque niveau de confidentialité. Vous devez avoir un objectif clair sur le résultat. L’objectif peut être plus rapide de triage, de récupération d’urgence accélérée ou d’audits réglementaires. Lorsque vous comprenez clairement les objectifs, il vous garantit de dimensionner correctement vos efforts de classification.

Commencez par ces questions simples et développez si nécessaire en fonction de la complexité de votre système :

• Quelle est l’origine des données et du type d’informations ?
• Quelle est la restriction attendue basée sur l’accès ? Par exemple, les données d’information publique, la réglementation ou d’autres cas d’usage attendus sont-elles publiques ?
• Quelle est l’empreinte des données ? Où sont stockées les données ? Combien de temps les données doivent-elles être conservées ?
• Quels composants de l’architecture interagissent avec les données ?
• Comment les données transitent-elles par le système ?
• Quelles informations sont attendues dans les rapports d’audit ?
• Avez-vous besoin de classifier les données de préproduction ?

Effectuer l’inventaire de vos magasins de données

Si vous disposez d’un système existant, effectuez l’inventaire de tous les magasins de données et composants qui sont dans l’étendue. En revanche, si vous concevez un nouveau système, créez une dimension de flux de données de l’architecture et disposez d’une catégorisation initiale par définitions de taxonomie. La classification s’applique au système dans son ensemble. Il diffère de la classification des secrets de configuration et des non-secrets.

Définir votre étendue

Soyez granulaire et explicite lors de la définition de l’étendue. Supposons que votre magasin de données soit un système tabulaire. Vous souhaitez classifier la sensibilité au niveau de la table ou même les colonnes de la table. En outre, veillez à étendre la classification aux composants de magasin de données qui peuvent être liés ou avoir une partie dans le traitement des données. Par exemple, avez-vous classé la sauvegarde de votre magasin de données hautement sensible ? Si vous mettant en cache des données sensibles à l’utilisateur, le magasin de données de mise en cache est-il dans l’étendue ? Si vous utilisez des magasins de données analytiques, comment les données agrégées sont-elles classées ?

Concevoir en fonction des étiquettes de classification

La classification doit influencer vos décisions architecturales. La zone la plus évidente est votre stratégie de segmentation, qui doit prendre en compte les étiquettes de classification variées.

Par exemple, les étiquettes influencent les limites d’isolation du trafic. Il peut y avoir des flux critiques où la sécurité de la couche de transport de bout en bout (TLS) est requise, tandis que d’autres paquets peuvent être envoyés via HTTP. S’il existe des messages transmis via un répartiteur de messages, certains messages peuvent être signés.

Pour les données au repos, les niveaux affectent les choix de chiffrement. Vous pouvez choisir de protéger des données hautement sensibles par le biais d’un double chiffrement. Différents secrets d’application peuvent même nécessiter un contrôle avec différents niveaux de protection. Vous pouvez peut-être justifier le stockage des secrets dans un magasin de modules de sécurité matériel (HSM), ce qui offre des restrictions plus élevées. Les étiquettes de conformité déterminent également les décisions relatives aux bonnes normes de protection. Par exemple, la norme PCI-DSS impose l’utilisation de la protection FIPS 140-2 de niveau 3, qui est disponible uniquement avec les modules HSM. Dans d’autres cas, il peut être acceptable que d’autres secrets soient stockés dans un magasin de gestion des secrets standard.

Si vous avez besoin de protéger les données en cours d’utilisation, vous souhaiterez peut-être incorporer l’informatique confidentielle dans l’architecture.

Les informations de classification doivent être déplacées avec les données au fur et à mesure qu’elles transitent par le système et entre les composants de la charge de travail. Les données étiquetées comme confidentielles doivent être traitées comme confidentielles par tous les composants qui interagissent avec lui. Par exemple, veillez à protéger les données personnelles en supprimant ou en les obfusquant de n’importe quel type de journaux d’application.

La classification a un impact sur la conception de votre rapport de la façon dont les données doivent être exposées. Par exemple, en fonction de vos étiquettes de type d’informations, devez-vous appliquer un algorithme de masquage des données pour l’obfuscation à la suite de l’étiquette de type d’informations ? Quels rôles doivent avoir une visibilité sur les données brutes et les données masquées ? S’il existe des exigences de conformité pour la création de rapports, comment les données sont-elles mappées aux réglementations et normes ? Lorsque vous avez cette compréhension, il est plus facile de démontrer la conformité avec des exigences spécifiques et de générer des rapports pour les auditeurs.

Elle a également un impact sur les opérations de gestion du cycle de vie des données, telles que la rétention des données et les planifications de désaffectation.

Appliquer la taxonomie pour l’interrogation

Il existe de nombreuses façons d’appliquer des étiquettes de taxonomie aux données identifiées. L’utilisation d’un schéma de classification avec des métadonnées est la méthode la plus courante pour indiquer les étiquettes. La normalisation par le biais du schéma garantit que la création de rapports est précise, réduit les chances de variation et évite la création de requêtes personnalisées. Générer des vérifications automatisées pour intercepter les entrées non valides.

Vous pouvez appliquer des étiquettes manuellement, par programmation ou utiliser une combinaison des deux. Le processus de conception d’architecture doit inclure la conception du schéma. Que vous disposiez d’un système existant ou que vous en construisiez un nouveau, lors de l’application d’étiquettes, maintenez la cohérence dans les paires clé/valeur.

N’oubliez pas que toutes les données ne peuvent pas être clairement classifiées. Prenez une décision explicite sur la façon dont les données qui ne peuvent pas être classifiées doivent être représentées dans la création de rapports.

L’implémentation réelle dépend du type de ressources. Certaines ressources Azure ont des systèmes de classification intégrés. Par exemple, Azure SQL Server dispose d’un moteur de classification, prend en charge le masquage dynamique et peut générer des rapports en fonction des métadonnées. Azure Service Bus prend en charge l’inclusion d’un schéma de message pouvant avoir des métadonnées jointes. Lorsque vous concevez votre implémentation, évaluez les fonctionnalités prises en charge par la plateforme et tirez parti de celles-ci. Assurez-vous que les métadonnées utilisées pour la classification sont isolées et stockées séparément des magasins de données.

Il existe également des outils de classification spécialisés qui peuvent détecter et appliquer automatiquement des étiquettes. Ces outils sont connectés à vos sources de données. Microsoft Purview dispose de fonctionnalités de découverte automatique. Il existe également des outils tiers qui offrent des fonctionnalités similaires. Le processus de découverte doit être validé par le biais de la vérification manuelle.

Passez régulièrement en revue la classification des données. La maintenance de classification doit être intégrée aux opérations, sinon les métadonnées obsolètes peuvent entraîner des résultats erronés pour les objectifs identifiés et les problèmes de conformité.

Compromis : Tenez compte du compromis des coûts sur les outils. Les outils de classification nécessitent une formation et peuvent être complexes.

En fin de compte, la classification doit être déployée au sein de l’organisation par le biais d’équipes centrales. Obtenez des informations sur la structure de rapport attendue. En outre, tirez parti des outils et processus centralisés pour avoir un alignement organisationnel et réduire également les coûts opérationnels.

Facilitation Azure

Microsoft Purview unifie les solutions Azure Purview et Microsoft Purview pour fournir une visibilité sur les ressources de données au sein de votre organisation. Pour plus d’informations, consultez Qu’est-ce que Microsoft Purview ?

Azure SQL Database, Azure SQL Managed Instance et Azure Synapse Analytics offrent des fonctionnalités de classification intégrées. Utilisez ces outils pour découvrir, classifier, étiqueter et signaler les données sensibles dans vos bases de données. Pour plus d’informations, consultez Découverte et classification des données.

Pour les données classifiées comme hautement confidentielles ou nécessitant une protection pendant les opérations de traitement, Azure Database pour PostgreSQL prend en charge l’informatique confidentielle pour fournir un chiffrement basé sur le matériel pour les données en cours d’utilisation. Cette technologie permet aux organisations de protéger les données sensibles pendant les opérations de traitement tout en conservant les performances de la base de données, en prenant en charge la conformité aux exigences réglementaires strictes pour la protection des données dans les secteurs hautement réglementés.

Example

Cet exemple s’appuie sur l’environnement informatique (Information Technology) établi dans la base de référence de sécurité (SE :01). L’exemple de diagramme ci-dessous montre les magasins de données où les données sont classées.

1. Les données stockées sur des bases de données et des disques ne doivent être accessibles qu’à quelques utilisateurs, tels que les administrateurs, les administrateurs de base de données. Ensuite, il est habituel que les utilisateurs courants ou les clients finaux aient accès uniquement aux couches exposées à Internet, telles que les applications ou les zones de rebond.

2. Les applications communiquent avec les bases de données ou les données stockées sur des disques, telles que le stockage d’objets ou les serveurs de fichiers.

3. Dans certains cas, les données peuvent être stockées dans un environnement local et dans le cloud public. Les deux doivent être classés de façon cohérente.

4. Dans un cas d’usage d’opérateur, les administrateurs distants ont besoin d’accéder aux zones de saut sur le cloud ou sur une machine virtuelle exécutant la charge de travail. Les autorisations d’accès doivent être accordées en fonction des étiquettes de classification des données.

5. Les données passent par les machines virtuelles vers les bases de données principales et les données doivent être traitées avec le même niveau de confidentialité tout au long des points de traversée.

6. Les charges de travail stockent des données directement dans des disques de machine virtuelle. Ces disques sont dans l’étendue de la classification.

7. Dans un environnement hybride, différents personnages peuvent accéder aux charges de travail locales via différents mécanismes pour se connecter à différentes technologies ou bases de données de stockage de données. L’accès doit être accordé conformément aux étiquettes de classification.

8. Les serveurs locaux se connectent à des données importantes qui doivent être classifiées et protégées, telles que les serveurs de fichiers, le stockage d’objets et différents types de bases de données, tels que relationnel, NoSQL et entrepôt de données.

9. Microsoft Purview Compliance fournit une solution pour classifier les fichiers et les e-mails.

10. Microsoft Defender pour Cloud fournit une solution qui aide votre entreprise à suivre la conformité dans votre environnement, y compris la plupart de vos services utilisés pour stocker des données, mentionnées dans ces cas d’usage ci-dessus.

Liens connexes

• Classification des données et taxonomie des étiquettes de confidentialité - Microsoft Service Assurance
• Créer une infrastructure de classification des données bien conçue - Microsoft Service Assurance

Étape suivante

Reportez-vous à l’ensemble complet de recommandations.