Estratégias de arquitetura para classificação de dados

Aplica-se à recomendação da lista de verificação de segurança do Azure Well-Architected Framework:

Este guia descreve as recomendações para a classificação de dados. A maioria das cargas de trabalho armazena vários tipos de dados. Nem todos os dados são igualmente sensíveis. A classificação de dados ajuda a categorizar os dados com base em seu nível de sensibilidade, tipo de informações e escopo de conformidade para que você possa aplicar o nível correto de proteção. A proteção inclui controles de acesso, políticas de retenção para diferentes tipos de informações e assim por diante. Embora os controles de segurança reais baseados na classificação de dados estejam fora do escopo deste artigo, ele fornece recomendações para categorizar dados com base nos critérios anteriores definidos pela sua organização.

Definições

A classificação de dados é um exercício crucial que muitas vezes impulsiona a construção de um sistema de registro e sua função. A classificação também ajuda a dimensionar corretamente as garantias de segurança e ajuda a equipe de triagem a agilizar a descoberta durante a resposta a incidentes. Um pré-requisito para o processo de conceção é compreender claramente se os dados devem ser tratados como confidenciais, restritos, públicos ou qualquer outra classificação de sensibilidade. Também é essencial determinar os locais onde os dados são armazenados, porque os dados podem ser distribuídos em vários ambientes.

A descoberta de dados é necessária para localizar os dados. Sem esse conhecimento, a maioria dos projetos adota uma abordagem intermediária, que pode ou não atender aos requisitos de segurança. Os dados podem ser superprotegidos, resultando em ineficiências de custo e desempenho. Ou pode não estar suficientemente protegido, o que aumenta a superfície de ataque.

A classificação dos dados é muitas vezes um exercício complicado. Existem ferramentas disponíveis que podem descobrir ativos de dados e sugerir classificações. Mas não confie apenas em ferramentas. Tenha um processo em que os membros da equipe façam diligentemente os exercícios. Em seguida, use ferramentas para automatizar quando isso for prático.

Junto com essas práticas recomendadas, consulte Criar uma estrutura de classificação de dados bem projetada.

Compreender a taxonomia definida pela organização

A taxonomia é uma representação hierárquica da classificação de dados. Ele nomeou entidades que indicam os critérios de categorização.

Em geral, não existe um padrão universal para a classificação ou para a definição de taxonomia. É impulsionado pela motivação de uma organização para proteger dados. A taxonomia pode capturar requisitos de conformidade, recursos prometidos para os usuários da carga de trabalho ou outros critérios orientados pelas necessidades de negócios.

Aqui estão alguns exemplos de rótulos de classificação para níveis de sensibilidade, tipo de informação e escopo de conformidade.

Como proprietário de uma carga de trabalho, confie na sua organização para lhe fornecer uma taxonomia bem definida. Todas as funções de carga de trabalho devem ter uma compreensão compartilhada da estrutura, nomenclatura e definição dos níveis de sensibilidade. Não defina o seu próprio sistema de classificação.

Definir o âmbito da classificação

A maioria das organizações tem um conjunto diversificado de rótulos.

Identifique claramente quais ativos e componentes de dados estão dentro e fora do escopo para cada nível de sensibilidade. Você deve ter um objetivo claro sobre o resultado. O objetivo poderia ser uma triagem mais rápida, recuperação acelerada de desastres ou auditorias regulatórias. Quando você entende claramente os objetivos, isso garante que você dimensione corretamente seus esforços de classificação.

Comece com estas perguntas simples e expanda conforme necessário com base na complexidade do seu sistema:

• Qual é a origem dos dados e do tipo de informação?
• Qual é a restrição esperada com base no acesso? Por exemplo, são dados de informação pública, regulatórios ou outros casos de uso esperados?
• Qual é a pegada de dados? Onde são armazenados os dados? Durante quanto tempo devem ser conservados os dados?
• Quais componentes da arquitetura interagem com os dados?
• Como é que os dados se movem através do sistema?
• Que informações são esperadas nos relatórios de auditoria?
• Precisa classificar os dados de pré-produção?

Faça um inventário dos seus armazenamentos de dados

Se você tiver um sistema existente, faça um inventário de todos os armazenamentos de dados e componentes que estão no escopo. Por outro lado, se você estiver projetando um novo sistema, crie uma dimensão de fluxo de dados da arquitetura e tenha uma categorização inicial por definições de taxonomia. A classificação aplica-se ao sistema no seu conjunto. É distintamente diferente de classificar segredos de configuração e não segredos.

Defina seu escopo

Seja granular e explícito ao definir o escopo. Suponha que seu armazenamento de dados seja um sistema tabular. Você deseja classificar a sensibilidade no nível da tabela ou até mesmo nas colunas dentro da tabela. Além disso, certifique-se de estender a classificação para componentes que não sejam de armazenamento de dados que possam estar relacionados ou ter uma parte no processamento dos dados. Por exemplo, você classificou o backup do seu armazenamento de dados altamente confidenciais? Se você estiver armazenando dados confidenciais do usuário em cache, o armazenamento de dados de cache está no escopo? Se você usar armazenamentos de dados analíticos, como os dados agregados serão classificados?

Design de acordo com rótulos de classificação

A classificação deve influenciar suas decisões arquitetônicas. A área mais óbvia é a sua estratégia de segmentação, que deve considerar os rótulos de classificação variados.

Por exemplo, os rótulos influenciam os limites de isolamento de tráfego. Pode haver fluxos críticos em que a segurança da camada de transporte (TLS) de ponta a ponta é necessária, enquanto outros pacotes podem ser enviados por HTTP. Se houver mensagens transmitidas por um agente de mensagens, algumas mensagens talvez precisem ser assinadas.

Para dados em repouso, os níveis afetarão as opções de criptografia. Pode optar por proteger dados altamente confidenciais através de encriptação dupla. Diferentes segredos de aplicação podem até exigir controle com níveis variados de proteção. Você pode justificar o armazenamento de segredos em um armazenamento de módulo de segurança de hardware (HSM), que oferece restrições mais altas. Os rótulos de conformidade também ditam as decisões sobre os padrões de proteção corretos. Por exemplo, o padrão PCI-DSS exige o uso da proteção FIPS 140-2 Nível 3, que está disponível apenas com HSMs. Em outros casos, pode ser aceitável que outros segredos sejam armazenados em um armazenamento de gerenciamento secreto regular.

Se você precisar proteger os dados em uso, convém incorporar computação confidencial na arquitetura.

As informações de classificação devem ser movidas com os dados à medida que transitam pelo sistema e entre os componentes da carga de trabalho. Os dados rotulados como confidenciais devem ser tratados como confidenciais por todos os componentes que interagem com eles. Por exemplo, certifique-se de proteger os dados pessoais removendo-os ou ofuscando-os de qualquer tipo de logs de aplicativos.

A classificação afeta o design do relatório na forma como os dados devem ser expostos. Por exemplo, com base em seus rótulos de tipo de informação, você precisa aplicar um algoritmo de mascaramento de dados para ofuscação como resultado do rótulo de tipo de informação? Quais funções devem ter visibilidade dos dados brutos versus dados mascarados? Se houver algum requisito de conformidade para relatórios, como os dados são mapeados para regulamentos e normas? Quando você tem esse entendimento, é mais fácil demonstrar a conformidade com requisitos específicos e gerar relatórios para auditores.

Isso também afeta as operações de gerenciamento do ciclo de vida dos dados, como a retenção de dados e os cronogramas de descomissionamento.

Aplicar taxonomia para consultas

Há muitas maneiras de aplicar rótulos de taxonomia aos dados identificados. Usar um esquema de classificação com metadados é a maneira mais comum de indicar os rótulos. A padronização por meio do esquema garante que os relatórios sejam precisos, minimiza as chances de variação e evita a criação de consultas personalizadas. Crie verificações automatizadas para detetar entradas inválidas.

Você pode aplicar rótulos manualmente, programaticamente ou usar uma combinação de ambos. O processo de design da arquitetura deve incluir o design do esquema. Quer tenha um sistema existente ou esteja a criar um novo, ao aplicar etiquetas, mantenha a consistência nos pares chave/valor.

Tenha em mente que nem todos os dados podem ser claramente classificados. Tome uma decisão explícita sobre como os dados que não podem ser classificados devem ser representados no relatório.

A implementação efetiva depende do tipo de recursos. Determinados recursos do Azure têm sistemas de classificação internos. Por exemplo, o SQL Server do Azure tem um mecanismo de classificação, dá suporte ao mascaramento dinâmico e pode gerar relatórios com base em metadados. O Barramento de Serviço do Azure dá suporte à inclusão de um esquema de mensagem que pode ter metadados anexados. Ao projetar sua implementação, avalie os recursos suportados pela plataforma e aproveite-os. Verifique se os metadados usados para classificação estão isolados e armazenados separadamente dos armazenamentos de dados.

Existem também ferramentas de classificação especializadas que podem detetar e aplicar etiquetas automaticamente. Essas ferramentas estão conectadas às suas fontes de dados. O Microsoft Purview tem recursos de descoberta automática. Há também ferramentas de terceiros que oferecem recursos semelhantes. O processo de descoberta deve ser validado através de verificação manual.

Revise a classificação dos dados regularmente. A manutenção da classificação deve ser incorporada nas operações, caso contrário, metadados obsoletos podem levar a resultados errados para os objetivos identificados e problemas de conformidade.

Tradeoff: Esteja atento ao tradeoff de custo em ferramentas. As ferramentas de classificação requerem formação e podem ser complexas.

Em última análise, a classificação deve chegar à organização através de equipas centrais. Obtenha informações deles sobre a estrutura de relatório esperada. Além disso, aproveite ferramentas e processos centralizados para ter alinhamento organizacional e também aliviar custos operacionais.

Facilitação do Azure

O Microsoft Purview unifica as soluções Azure Purview e Microsoft Purview para fornecer visibilidade dos ativos de dados em toda a sua organização. Para obter mais informações, consulte O que é o Microsoft Purview?

O Banco de Dados SQL do Azure, a Instância Gerenciada do SQL do Azure e o Azure Synapse Analytics oferecem recursos internos de classificação. Use essas ferramentas para descobrir, classificar, rotular e relatar os dados confidenciais em seus bancos de dados. Para obter mais informações, consulte Descoberta e classificação de dados.

Para dados classificados como altamente confidenciais ou que requerem proteção durante operações de processamento, o Banco de Dados do Azure para PostgreSQL dá suporte à computação confidencial para fornecer criptografia baseada em hardware para dados em uso. Essa tecnologia permite que as organizações protejam dados confidenciais durante as operações de processamento, mantendo o desempenho do banco de dados, apoiando a conformidade com requisitos regulatórios rigorosos para proteção de dados em setores altamente regulamentados.

Example

Este exemplo baseia-se no ambiente de Tecnologia da Informação (TI) estabelecido na linha de base de segurança (SE:01). O diagrama de exemplo abaixo mostra armazenamentos de dados onde os dados são classificados.

1. Os dados armazenados em bancos de dados e discos só devem ser acessíveis a alguns usuários, como administradores, administradores de banco de dados. Então, é comum que usuários comuns ou clientes finais de clientes tenham acesso apenas a camadas que estão expostas à internet, como aplicativos ou caixas de salto.

2. Os aplicativos se comunicam com os bancos de dados ou dados armazenados em discos, como armazenamento de objetos ou servidores de arquivos.

3. Em alguns casos, os dados podem ser armazenados em um ambiente local e na nuvem pública. Ambos precisam ser classificados de forma consistente.

4. Em um caso de uso de operador, os administradores remotos precisam acessar caixas de salto na nuvem ou em uma máquina virtual executando a carga de trabalho. As permissões de acesso devem ser dadas de acordo com os rótulos de classificação de dados.

5. Os dados são movidos pelas máquinas virtuais para os bancos de dados de back-end e os dados devem ser tratados com o mesmo nível de confidencialidade em todos os pontos de travessia.

6. As cargas de trabalho armazenam dados diretamente em discos de máquinas virtuais. Esses discos são passíveis de classificação.

7. Em um ambiente híbrido, diferentes personas podem acessar cargas de trabalho no local por meio de diferentes mecanismos para se conectar a diferentes tecnologias de armazenamento de dados ou bancos de dados. O acesso deve ser concedido de acordo com os rótulos de classificação.

8. Os servidores locais se conectam a dados importantes que precisam ser classificados e protegidos, como servidores de arquivos, armazenamento de objetos e diferentes tipos de bancos de dados, como relacional, NoSQL e data warehouse.

9. Microsoft Purview Compliance fornece uma solução para classificar arquivos e e-mails.

10. O Microsoft Defender for Cloud fornece uma solução que ajuda sua empresa a acompanhar a conformidade em seu ambiente, incluindo muitos dos seus serviços usados para armazenar dados, mencionados nesses casos de uso acima.

Ligações relacionadas

• Classificação de dados e taxonomia de rótulos de sensibilidade - Microsoft Service Assurance
• Criar uma estrutura de classificação de dados bem projetada - Microsoft Service Assurance

Próximo passo

Consulte o conjunto completo de recomendações.