Strategie architektury klasyfikacji danych

Dotyczy rekomendacji listy kontrolnej zabezpieczeń platformy Azure Well-Architected Framework:

W tym przewodniku opisano zalecenia dotyczące klasyfikacji danych. Większość obciążeń przechowuje różne typy danych. Nie wszystkie dane są równie wrażliwe. Klasyfikacja danych ułatwia kategoryzowanie danych na podstawie poziomu poufności, typu informacji i zakresu zgodności, dzięki czemu można zastosować odpowiedni poziom ochrony. Ochrona obejmuje mechanizmy kontroli dostępu, zasady przechowywania dla różnych typów informacji itd. Chociaż rzeczywiste mechanizmy kontroli zabezpieczeń oparte na klasyfikacji danych są poza zakresem tego artykułu, zawiera zalecenia dotyczące kategoryzowania danych na podstawie powyższych kryteriów ustawionych przez organizację.

Definicje

Klasyfikacja danych to kluczowe ćwiczenie, które często napędza tworzenie systemu rekordów i jego funkcji. Klasyfikacja pomaga również prawidłowo dobrać gwarancje bezpieczeństwa i pomaga zespołowi ds. triage przyspieszyć wykrywanie podczas reagowania na incydenty. Warunkiem wstępnym procesu projektowania jest jasne zrozumienie, czy dane powinny być traktowane jako poufne, ograniczone, publiczne lub inne klasyfikacje poufności. Ważne jest również określenie lokalizacji, w których są przechowywane dane, ponieważ dane mogą być dystrybuowane w wielu środowiskach.

Odnajdywanie danych jest niezbędne do zlokalizowania danych. Bez tej wiedzy większość projektów stosuje podejście pośredniczące, które może lub nie spełnia wymagań dotyczących zabezpieczeń. Dane mogą być nadmiernie chronione, co powoduje nieefektywność kosztów i wydajności. Lub może nie być wystarczająco chroniony, co dodaje do powierzchni ataku.

Klasyfikacja danych jest często uciążliwym ćwiczeniem. Dostępne są narzędzia umożliwiające odnajdywanie zasobów danych i sugerowanie klasyfikacji. Ale nie tylko polegaj na narzędziach. Należy przeprowadzić proces, w którym członkowie zespołu sumiennie wykonują ćwiczenia. Następnie użyj narzędzi, aby zautomatyzować, gdy jest to praktyczne.

Wraz z tymi najlepszymi rozwiązaniami zobacz Tworzenie dobrze zaprojektowanej struktury klasyfikacji danych.

Omówienie taksonomii zdefiniowanej przez organizację

Taksonomia jest hierarchicznym przedstawieniem klasyfikacji danych. Nazwane jednostki wskazują kryteria kategoryzacji.

Ogólnie rzecz biorąc, nie ma uniwersalnego standardu klasyfikacji ani definiowania taksonomii. Jest to spowodowane motywacją organizacji do ochrony danych. Taksonomia może przechwytywać wymagania dotyczące zgodności, obiecane funkcje dla użytkowników obciążeń lub inne kryteria oparte na potrzebach biznesowych.

Oto kilka przykładowych etykiet klasyfikacji dla poziomów poufności, typu informacji i zakresu zgodności.

Jako właściciel obciążenia polegaj na organizacji, aby zapewnić dobrze zdefiniowaną taksonomię. Wszystkie role obciążeń muszą mieć wspólną wiedzę na temat struktury, nomenklatury i definicji poziomów poufności. Nie należy definiować własnego systemu klasyfikacji.

Definiowanie zakresu klasyfikacji

Większość organizacji ma zróżnicowany zestaw etykiet.

Jasno określ, które zasoby danych i składniki są w zakresie i poza zakresem dla każdego poziomu poufności. Należy mieć jasny cel w zakresie wyniku. Celem może być szybsza klasyfikacja, przyspieszone odzyskiwanie po awarii lub inspekcje regulacyjne. Gdy jasno zrozumiesz cele, zapewni to prawidłowy rozmiar wysiłków związanych z klasyfikacją.

Zacznij od tych prostych pytań i rozwiń je zgodnie z potrzebami w zależności od złożoności systemu:

• Jakie jest źródło danych i typu informacji?
• Jakie jest oczekiwane ograniczenie na podstawie dostępu? Czy na przykład są to publiczne dane informacyjne, przepisy lub inne oczekiwane przypadki użycia?
• Jaki jest ślad danych? Gdzie są przechowywane dane? Jak długo powinny być przechowywane dane?
• Które składniki architektury współdziałają z danymi?
• W jaki sposób dane przechodzą przez system?
• Jakie informacje są oczekiwane w raportach inspekcji?
• Czy musisz sklasyfikować dane przedprodukcyjne?

Tworzenie spisu magazynów danych

Jeśli masz istniejący system, utwórz spis wszystkich magazynów danych i składników, które znajdują się w zakresie. Z drugiej strony, jeśli projektujesz nowy system, utwórz wymiar przepływu danych architektury i ma początkową kategoryzacji na definicje taksonomii. Klasyfikacja dotyczy całego systemu. Różni się ona od klasyfikowania wpisów tajnych konfiguracji i niesekretów.

Definiowanie zakresu

Podczas definiowania zakresu należy określić stopień szczegółowości i jawności. Załóżmy, że magazyn danych jest systemem tabelarycznym. Chcesz sklasyfikować poufność na poziomie tabeli, a nawet kolumn w tabeli. Ponadto pamiętaj, aby rozszerzyć klasyfikację na składniki magazynu niezwiązanego z danymi lub część przetwarzania danych. Czy na przykład sklasyfikowano kopię zapasową wysoce poufnego magazynu danych? Jeśli buforujesz dane poufne dla użytkownika, czy magazyn danych buforowania jest w zakresie? Jak klasyfikowane są zagregowane dane w przypadku używania magazynów danych analitycznych?

Projektowanie zgodnie z etykietami klasyfikacji

Klasyfikacja powinna mieć wpływ na decyzje dotyczące architektury. Najbardziej oczywistym obszarem jest strategia segmentacji, która powinna uwzględniać zróżnicowane etykiety klasyfikacji.

Na przykład etykiety wpływają na granice izolacji ruchu. Mogą istnieć krytyczne przepływy, w których wymagane jest kompleksowe zabezpieczenia warstwy transportu (TLS), podczas gdy inne pakiety mogą być wysyłane za pośrednictwem protokołu HTTP. Jeśli istnieją komunikaty przesyłane za pośrednictwem brokera komunikatów, może być konieczne podpisanie niektórych komunikatów.

W przypadku danych magazynowanych poziomy będą mieć wpływ na opcje szyfrowania. Możesz wybrać ochronę wysoce poufnych danych za pomocą podwójnego szyfrowania. Różne wpisy tajne aplikacji mogą nawet wymagać kontroli z różnymi poziomami ochrony. Może być możliwe uzasadnienie przechowywania wpisów tajnych w magazynie sprzętowego modułu zabezpieczeń (HSM), który oferuje wyższe ograniczenia. Etykiety zgodności określają również decyzje dotyczące odpowiednich standardów ochrony. Na przykład standard PCI-DSS nakazuje korzystanie z ochrony na poziomie 140-2 FIPS 140–2, która jest dostępna tylko w przypadku modułów HSM. W innych przypadkach może być dopuszczalne przechowywanie innych wpisów tajnych w zwykłym magazynie zarządzania wpisami tajnymi.

Jeśli musisz chronić dane w użyciu, warto uwzględnić poufne przetwarzanie w architekturze.

Informacje o klasyfikacji powinny być przenoszone wraz z danymi w miarę przechodzenia przez system i między składnikami obciążenia. Dane oznaczone jako poufne powinny być traktowane jako poufne przez wszystkie składniki, które z nimi współdziałają. Na przykład należy chronić dane osobowe, usuwając lub zaciemniając je z dowolnego rodzaju dzienników aplikacji.

Klasyfikacja wpływa na projekt raportu w sposób, w jaki dane powinny być uwidocznione. Na przykład na podstawie etykiet typów informacji, czy musisz zastosować algorytm maskowania danych do zaciemnienia w wyniku etykiety typu informacji? Które role powinny mieć wgląd w nieprzetworzone dane i dane maskowane? Jeśli istnieją jakiekolwiek wymagania dotyczące zgodności do raportowania, jak dane są mapowane na przepisy i standardy? Jeśli rozumiesz tę wiedzę, łatwiej jest zademonstrować zgodność z określonymi wymaganiami i wygenerować raporty dla audytorów.

Ma to również wpływ na operacje zarządzania cyklem życia danych, takie jak przechowywanie danych i likwidowanie harmonogramów.

Stosowanie taksonomii do wykonywania zapytań

Istnieje wiele sposobów stosowania etykiet taksonomii do zidentyfikowanych danych. Używanie schematu klasyfikacji z metadanymi jest najczęstszym sposobem wskazywania etykiet. Standaryzacja za pomocą schematu zapewnia, że raportowanie jest dokładne, minimalizuje prawdopodobieństwo odmiany i unika tworzenia zapytań niestandardowych. Kompilowanie automatycznych kontroli w celu przechwycenia nieprawidłowych wpisów.

Etykiety można stosować ręcznie, programowo lub użyć kombinacji obu. Proces projektowania architektury powinien obejmować projekt schematu. Niezależnie od tego, czy masz istniejący system, czy tworzysz nowy, podczas stosowania etykiet zachowaj spójność w parach klucz/wartość.

Należy pamiętać, że nie wszystkie dane można wyraźnie sklasyfikować. Podejmowanie jawnej decyzji o tym, jak dane, których nie można sklasyfikować, powinny być reprezentowane w raportowaniu.

Rzeczywista implementacja zależy od typu zasobów. Niektóre zasoby platformy Azure mają wbudowane systemy klasyfikacji. Na przykład program Azure SQL Server ma aparat klasyfikacji, obsługuje maskowanie dynamiczne i może generować raporty na podstawie metadanych. Usługa Azure Service Bus obsługuje dołączanie schematu komunikatów, który może zawierać dołączone metadane. Podczas projektowania implementacji oceń funkcje obsługiwane przez platformę i skorzystaj z nich. Upewnij się, że metadane używane do klasyfikacji są izolowane i przechowywane oddzielnie od magazynów danych.

Istnieją również wyspecjalizowane narzędzia klasyfikacji, które mogą automatycznie wykrywać i stosować etykiety. Te narzędzia są połączone ze źródłami danych. Usługa Microsoft Purview ma możliwości automatycznego wykrywania. Istnieją również narzędzia innych firm, które oferują podobne możliwości. Proces odnajdywania należy zweryfikować za pomocą weryfikacji ręcznej.

Regularnie przeglądaj klasyfikację danych. Konserwacja klasyfikacji powinna być wbudowana w operacje. W przeciwnym razie nieaktualne metadane mogą prowadzić do błędnych wyników zidentyfikowanych celów i problemów ze zgodnością.

Kompromis: Należy pamiętać o kompromisie kosztów w zakresie narzędzi. Narzędzia klasyfikacji wymagają trenowania i mogą być złożone.

Ostatecznie klasyfikacja musi zostać zbiorcza w organizacji za pośrednictwem zespołów centralnych. Uzyskaj dane wejściowe od nich dotyczące oczekiwanej struktury raportu. Ponadto skorzystaj ze scentralizowanych narzędzi i procesów w celu dostosowania organizacji, a także złagodzenia kosztów operacyjnych.

Ułatwienia platformy Azure

Usługa Microsoft Purview łączy rozwiązania Azure Purview i Microsoft Purview w celu zapewnienia wglądu w zasoby danych w całej organizacji. Aby uzyskać więcej informacji, zobacz Co to jest microsoft Purview?

Usługi Azure SQL Database, Azure SQL Managed Instance i Azure Synapse Analytics oferują wbudowane funkcje klasyfikacji. Te narzędzia umożliwiają odnajdywanie, klasyfikowanie, etykietowanie i zgłaszanie poufnych danych w bazach danych. Aby uzyskać więcej informacji, zobacz Odnajdywanie i klasyfikacja danych.

W przypadku danych sklasyfikowanych jako wysoce poufne lub wymagające ochrony podczas operacji przetwarzania usługa Azure Database for PostgreSQL obsługuje poufne przetwarzanie w celu zapewnienia sprzętowego szyfrowania danych w użyciu. Ta technologia umożliwia organizacjom ochronę poufnych danych podczas operacji przetwarzania przy zachowaniu wydajności bazy danych, zapewniając zgodność z rygorystycznymi wymaganiami prawnymi dotyczącymi ochrony danych w wysoce regulowanych branżach.

Example

Ten przykład opiera się na środowisku technologii informatycznych (IT) ustanowionym w punkcie odniesienia zabezpieczeń (SE:01). Na poniższym przykładowym diagramie przedstawiono magazyny danych, w których dane są klasyfikowane.

1. Dane przechowywane w bazach danych i dyskach powinny być dostępne tylko dla kilku użytkowników, takich jak Administratorzy, Administratorzy bazy danych. Następnie zwykle użytkownicy końcowi lub końcowi klienci mają dostęp tylko do warstw, które są dostępne w Internecie, takich jak aplikacje lub skrzynki przesiadkowe.

2. Aplikacje komunikują się z bazami danych lub danymi przechowywanymi na dyskach, takimi jak magazyn obiektów lub serwery plików.

3. W niektórych przypadkach dane mogą być przechowywane w środowisku lokalnym i w chmurze publicznej. Oba muszą być klasyfikowane spójnie.

4. W przypadku użycia operatora administratorzy zdalni potrzebują dostępu do pól przesiadkowych w chmurze lub maszynie wirtualnej, na którym działa obciążenie. Uprawnienia dostępu powinny być podane zgodnie z etykietami klasyfikacji danych.

5. Dane przechodzą przez maszyny wirtualne do baz danych zaplecza i dane powinny być traktowane z tym samym poziomem poufności w punktach przechodzenia.

6. Obciążenia przechowują dane bezpośrednio na dyskach maszyn wirtualnych. Te dyski znajdują się w zakresie klasyfikacji.

7. W środowisku hybrydowym różne osoby mogą uzyskiwać dostęp do obciążeń lokalnych za pomocą różnych mechanizmów łączenia się z różnymi technologiami lub bazami danych magazynu danych. Dostęp musi być udzielany zgodnie z etykietami klasyfikacji.

8. Serwery lokalne łączą się z ważnymi danymi, które muszą być klasyfikowane i chronione, takie jak serwery plików, magazyn obiektów i różne typy baz danych, takie jak relacyjne, NoSQL i magazyn danych.

9. Zgodność z usługą Microsoft Purview zapewnia rozwiązanie do klasyfikowania plików i wiadomości e-mail.

10. Usługa Microsoft Defender for Cloud udostępnia rozwiązanie, które pomaga Twojej firmie śledzić zgodność w środowisku, w tym wiele usług używanych do przechowywania danych, wymienionych w powyższych przypadkach użycia.

Powiązane linki

• Taksonomia etykiet poufności i klasyfikacji danych — Microsoft Service Assurance
• Tworzenie dobrze zaprojektowanej struktury klasyfikacji danych — Microsoft Service Assurance

Następny krok

Zapoznaj się z pełnym zestawem zaleceń.