Estratégias de arquitetura para classificação de dados

Aplica-se à recomendação da lista de verificação do Azure Well-Architected Framework Security:

Este guia descreve as recomendações para classificação de dados. A maioria das cargas de trabalho armazena vários tipos de dados. Nem todos os dados são igualmente confidenciais. A classificação de dados ajuda você a categorizar dados com base em seu nível de confidencialidade, tipo de informação e escopo de conformidade para que você possa aplicar o nível correto de proteção. A proteção inclui controles de acesso, políticas de retenção para diferentes tipos de informações e assim por diante. Embora os controles de segurança reais baseados na classificação de dados estejam fora do escopo deste artigo, ele fornece recomendações para categorizar dados com base nos critérios anteriores definidos pela sua organização.

Definições

A classificação de dados é um exercício crucial que geralmente impulsiona a criação de um sistema de registro e sua função. A classificação também ajuda você a dimensionar corretamente as garantias de segurança e ajuda a equipe de triagem a acelerar a descoberta durante a resposta a incidentes. Um pré-requisito para o processo de design é entender claramente se os dados devem ser tratados como confidenciais, restritos, públicos ou qualquer outra classificação de confidencialidade. Também é essencial determinar os locais onde os dados são armazenados, pois os dados podem ser distribuídos em vários ambientes.

A descoberta de dados é necessária para localizar os dados. Sem esse conhecimento, a maioria dos designs adota uma abordagem intermediária, que pode ou não atender aos requisitos de segurança. Os dados podem ser superprotegidos, resultando em ineficiências de custo e desempenho. Ou pode não estar protegido o suficiente, o que aumenta a superfície de ataque.

A classificação de dados geralmente é um exercício complicado. Há ferramentas disponíveis que podem descobrir ativos de dados e sugerir classificações. Mas não confie apenas em ferramentas. Tenha um processo em vigor onde os membros da equipe diligentemente fazem os exercícios. Em seguida, use ferramentas para automatizar quando isso for prático.

Junto com essas práticas recomendadas, consulte Criar uma estrutura de classificação de dados bem projetada.

Entender a taxonomia definida pela organização

Taxonomia é uma representação hierárquica da classificação de dados. Ele nomeou entidades que indicam os critérios de categorização.

Em geral, não há um padrão universal para classificação ou para definir a taxonomia. Ela é impulsionada pela motivação de uma organização para proteger dados. A taxonomia pode capturar requisitos de conformidade, recursos prometidos para os usuários da carga de trabalho ou outros critérios orientados pelas necessidades comerciais.

Aqui estão alguns exemplos de rótulos de classificação para níveis de confidencialidade, tipo de informação e escopo de conformidade.

Como proprietário de uma carga de trabalho, confie em sua organização para fornecer uma taxonomia bem definida. Todas as funções de carga de trabalho devem ter uma compreensão compartilhada da estrutura, da nomenclatura e da definição dos níveis de confidencialidade. Não defina seu próprio sistema de classificação.

Definir o escopo de classificação

A maioria das organizações tem um conjunto diversificado de rótulos.

Identifique claramente quais ativos e componentes de dados estão no escopo e fora do escopo para cada nível de confidencialidade. Você deve ter um objetivo claro sobre o resultado. O objetivo pode ser uma triagem mais rápida, recuperação acelerada de desastres ou auditorias regulatórias. Quando você entende claramente os objetivos, ele garante que você dimensione corretamente seus esforços de classificação.

Comece com essas perguntas simples e expanda conforme necessário com base na complexidade do sistema:

• Qual é a origem do tipo de dados e informações?
• Qual é a restrição esperada com base no acesso? Por exemplo, são dados de informações públicas, regulatórios ou outros casos de uso esperados?
• Qual é o volume de dados? Onde os dados são armazenados? Por quanto tempo os dados devem ser mantidos?
• Quais componentes da arquitetura interagem com os dados?
• Como os dados se movem pelo sistema?
• Quais informações são esperadas nos relatórios de auditoria?
• Você precisa classificar dados de pré-produção?

Faça o inventário de seus armazenamentos de dados

Se você tiver um sistema existente, faça o inventário de todos os armazenamentos de dados e componentes que estão no escopo. Por outro lado, se você estiver projetando um novo sistema, crie uma dimensão de fluxo de dados da arquitetura e tenha uma categorização inicial por definições de taxonomia. A classificação se aplica ao sistema como um todo. É diferente de classificar segredos de configuração e não-secretários.

Definir seu escopo

Seja granular e explícito ao definir o escopo. Suponha que o armazenamento de dados seja um sistema tabular. Você deseja classificar a confidencialidade no nível da tabela ou até mesmo nas colunas dentro da tabela. Além disso, certifique-se de estender a classificação para componentes do repositório nondata que podem estar relacionados ou ter uma parte no processamento dos dados. Por exemplo, você classificou o backup do armazenamento de dados altamente confidencial? Se você estiver armazenando dados confidenciais do usuário em cache, o armazenamento de dados em cache está no escopo? Se você usar armazenamentos de dados analíticos, como os dados agregados são classificados?

Projetar de acordo com os rótulos de classificação

A classificação deve influenciar suas decisões de arquitetura. A área mais óbvia é sua estratégia de segmentação, que deve considerar os rótulos de classificação variados.

Por exemplo, os rótulos influenciam os limites de isolamento de tráfego. Pode haver fluxos críticos em que a TLS (segurança de camada de transporte de ponta a ponta) é necessária, enquanto outros pacotes podem ser enviados por HTTP. Se houver mensagens transmitidas por um agente de mensagens, determinadas mensagens poderão precisar ser assinadas.

Para dados em repouso, os níveis afetarão as opções de criptografia. Você pode optar por proteger dados altamente confidenciais por meio de criptografia dupla. Segredos de aplicativo diferentes podem até mesmo exigir controle com níveis variados de proteção. Você pode justificar o armazenamento de segredos em um repositório HSM (módulo de segurança de hardware), que oferece restrições mais altas. Os rótulos de conformidade também determinam decisões sobre os padrões de proteção corretos. Por exemplo, o padrão PCI-DSS determina o uso da proteção fips 140-2 nível 3, que está disponível apenas com HSMs. Em outros casos, pode ser aceitável que outros segredos sejam armazenados em um repositório de gerenciamento de segredos regular.

Se você precisar proteger os dados em uso, convém incorporar a computação confidencial na arquitetura.

As informações de classificação devem ser movidas com os dados à medida que fazem a transição pelo sistema e entre componentes da carga de trabalho. Os dados rotulados como confidenciais devem ser tratados como confidenciais por todos os componentes que interagem com ele. Por exemplo, certifique-se de proteger dados pessoais removendo-os ou ofuscando-os de qualquer tipo de logs de aplicativo.

A classificação afeta o design do relatório na forma como os dados devem ser expostos. Por exemplo, com base em seus rótulos de tipo de informação, você precisa aplicar um algoritmo de mascaramento de dados para ofuscação como resultado do rótulo de tipo de informação? Quais funções devem ter visibilidade dos dados brutos versus dados mascarados? Se houver requisitos de conformidade para relatórios, como os dados são mapeados para regulamentos e padrões? Quando você tem esse entendimento, é mais fácil demonstrar a conformidade com requisitos específicos e gerar relatórios para auditores.

Também afeta as operações de gerenciamento do ciclo de vida de dados, como retenção de dados e agendamentos de descomissionamento.

Aplicar taxonomia para consulta

Há muitas maneiras de aplicar rótulos de taxonomia aos dados identificados. Usar um esquema de classificação com metadados é a maneira mais comum de indicar os rótulos. A padronização por meio do esquema garante que os relatórios sejam precisos, minimizem as chances de variação e evitem a criação de consultas personalizadas. Crie verificações automatizadas para capturar entradas inválidas.

Você pode aplicar rótulos manualmente, programaticamente ou usar uma combinação de ambos. O processo de design de arquitetura deve incluir o design do esquema. Se você tiver um sistema existente ou estiver criando um novo, ao aplicar rótulos, mantenha a consistência nos pares chave/valor.

Tenha em mente que nem todos os dados podem ser claramente classificados. Tome uma decisão explícita sobre como os dados que não podem ser classificados devem ser representados nos relatórios.

A implementação real depende do tipo de recursos. Determinados recursos do Azure têm sistemas de classificação internos. Por exemplo, o SQL Server do Azure tem um mecanismo de classificação, dá suporte ao mascaramento dinâmico e pode gerar relatórios com base em metadados. O Barramento de Serviço do Azure dá suporte à inclusão de um esquema de mensagens que pode ter metadados anexados. Ao projetar sua implementação, avalie os recursos compatíveis com a plataforma e aproveite-os. Verifique se os metadados usados para classificação são isolados e armazenados separadamente dos armazenamentos de dados.

Também há ferramentas de classificação especializadas que podem detectar e aplicar rótulos automaticamente. Essas ferramentas estão conectadas às fontes de dados. O Microsoft Purview tem recursos de descoberta automática. Também há ferramentas de terceiros que oferecem funcionalidades semelhantes. O processo de descoberta deve ser validado por meio da verificação manual.

Examine a classificação de dados regularmente. A manutenção de classificação deve ser integrada em operações, caso contrário, metadados obsoletos podem levar a resultados incorretos para os objetivos identificados e problemas de conformidade.

Compensação: esteja atento à compensação de custos na ferramenta. As ferramentas de classificação exigem treinamento e podem ser complexas.

Por fim, a classificação deve ser revertida para a organização por meio de equipes centrais. Obtenha informações deles sobre a estrutura de relatório esperada. Além disso, aproveite as ferramentas e os processos centralizados para ter alinhamento organizacional e também aliviar os custos operacionais.

Facilitação do Azure

O Microsoft Purview unifica as soluções do Azure Purview e do Microsoft Purview para fornecer visibilidade dos ativos de dados em toda a sua organização. Para obter mais informações, consulte o que é o Microsoft Purview?

O Banco de Dados SQL do Azure, a Instância Gerenciada de SQL do Azure e o Azure Synapse Analytics oferecem recursos de classificação internos. Use essas ferramentas para descobrir, classificar, rotular e relatar os dados confidenciais em seus bancos de dados. Para obter mais informações, consulte Descoberta e classificação de dados.

Para dados classificados como altamente confidenciais ou que exigem proteção durante operações de processamento, o Banco de Dados do Azure para PostgreSQL dá suporte à computação confidencial para fornecer criptografia baseada em hardware para dados em uso. Essa tecnologia permite que as organizações protejam dados confidenciais durante operações de processamento, mantendo o desempenho do banco de dados, dando suporte à conformidade com requisitos regulatórios rigorosos para proteção de dados em setores altamente regulamentados.

Example

Este exemplo baseia-se no ambiente de TI (Tecnologia da Informação) estabelecido na linha de base de segurança (SE:01). O diagrama de exemplo abaixo mostra armazenamentos de dados em que os dados são classificados.

1. Os dados armazenados em bancos de dados e discos só devem ser acessíveis para alguns usuários, como administradores, administradores de banco de dados. Em seguida, é comum que usuários comuns ou clientes finais tenham acesso apenas a camadas expostas à Internet, como aplicativos ou jump boxes.

2. Os aplicativos se comunicam com os bancos de dados ou dados armazenados em discos, como armazenamento de objetos ou servidores de arquivos.

3. Em alguns casos, os dados podem ser armazenados em um ambiente local e na nuvem pública. Ambos precisam ser classificados de forma consistente.

4. Em um caso de uso do operador, os administradores remotos precisam acessar jump boxes na nuvem ou em uma máquina virtual executando a carga de trabalho. As permissões de acesso devem ser fornecidas de acordo com os rótulos de classificação de dados.

5. Os dados passam pelas máquinas virtuais para os bancos de dados de back-end e os dados devem ser tratados com o mesmo nível de confidencialidade em todos os pontos de passagem.

6. As cargas de trabalho armazenam dados diretamente em discos de máquina virtual. Esses discos estão no escopo da classificação.

7. Em um ambiente híbrido, diferentes personas podem acessar cargas de trabalho locais por meio de diferentes mecanismos para se conectar a diferentes tecnologias de armazenamento de dados ou bancos de dados. O acesso deve ser concedido de acordo com os rótulos de classificação.

8. Os servidores locais se conectam a dados importantes que precisam ser classificados e protegidos, como servidores de arquivos, armazenamento de objetos e diferentes tipos de bancos de dados, como relacional, NoSQL e data warehouse.

9. A Conformidade do Microsoft Purview fornece uma solução para classificar arquivos e emails.

10. O Microsoft Defender para Nuvem fornece uma solução que ajuda sua empresa a acompanhar a conformidade em seu ambiente, incluindo muitos de seus serviços usados para armazenar dados, mencionados nesses casos de uso acima.

Links relacionados

• Classificação de dados e taxonomia de rótulo de confidencialidade – Microsoft Service Assurance
• Criar uma estrutura de classificação de dados bem projetada – Microsoft Service Assurance

Próxima etapa

Consulte o conjunto completo de recomendações.