Empfehlungen für die Datenklassifizierung

Gilt für die Empfehlung der Sicherheitsprüfliste für Azure Well-Architected Framework:

SE:03	Klassifizieren und anwenden Sie Vertraulichkeitsbezeichnungen auf alle Workloaddaten und -systeme, die an der Datenverarbeitung beteiligt sind. Verwenden Sie die Klassifizierung, um den Entwurf, die Implementierung und die Sicherheitspriorisierung von Workloads zu beeinflussen.

In diesem Leitfaden werden die Empfehlungen für die Datenklassifizierung beschrieben. Die meisten Workloads speichern verschiedene Datentypen. Nicht alle Daten sind gleich vertraulich. Die Datenklassifizierung hilft Ihnen bei der Kategorisierung von Daten anhand der Vertraulichkeitsebene, des Informationstyps und des Umfangs der Konformität, sodass Sie das richtige Schutzniveau anwenden können. Der Schutz umfasst Zugriffssteuerungen, Aufbewahrungsrichtlinien für verschiedene Informationstypen usw. Während die tatsächlichen Sicherheitskontrollen, die auf der Datenklassifizierung basieren, für diesen Artikel nicht vorgesehen sind, werden Empfehlungen zum Kategorisieren von Daten basierend auf den vorherigen Kriterien bereitgestellt, die von Ihrem organization festgelegt wurden.

Definitionen

Begriff	Definition
Klassifizierung	Ein Prozess zum Kategorisieren von Workloadressourcen nach Vertraulichkeitsgraden, Informationstyp, Complianceanforderungen und anderen kriterien, die vom organization bereitgestellt werden.
Metadaten	Eine Implementierung zum Anwenden von Taxonomie auf Ressourcen.
Taxonomie	Ein System zum Organisieren von klassifizierten Daten mithilfe einer vereinbarten Struktur. In der Regel eine hierarchische Darstellung der Datenklassifizierung. Sie hat benannte Entitäten, die Kategorisierungskriterien angeben.

Wichtige Entwurfsstrategien

Die Datenklassifizierung ist eine wichtige Übung, die häufig den Aufbau eines Datensatzsystems und seiner Funktion vorantreibt. Die Klassifizierung hilft Ihnen auch bei der korrekten Größe von Sicherheitsgarantien und hilft dem Triageteam bei der Ermittlung der Ermittlung während der Reaktion auf Vorfälle. Eine Voraussetzung für den Entwurfsprozess ist es, klar zu verstehen, ob Daten als vertraulich, eingeschränkt, öffentlich oder eine andere Vertraulichkeitsklassifizierung behandelt werden sollten. Es ist auch wichtig, die Speicherorte zu bestimmen, an denen Daten gespeichert werden, da die Daten möglicherweise auf mehrere Umgebungen verteilt sind.

Die Datenermittlung ist erforderlich, um die Daten zu finden. Ohne dieses Wissen verfolgen die meisten Entwürfe einen Mittelwegansatz, der den Sicherheitsanforderungen entsprechen kann oder nicht. Daten können überprotektiert werden, was zu Kosten- und Leistungsineffizienzen führt. Oder es ist möglicherweise nicht ausreichend geschützt, was zur Angriffsfläche hinzufügt.

Die Datenklassifizierung ist häufig eine umständliche Übung. Es sind Tools verfügbar, die Datenressourcen ermitteln und Klassifizierungen vorschlagen können. Verlassen Sie sich jedoch nicht nur auf Tools. Verfügen Sie über einen Prozess, bei dem die Teammitglieder die Übungen gewissenhaft durchführen. Verwenden Sie dann Tools, um zu automatisieren, wenn dies praktisch ist.

Informationen zu diesen bewährten Methoden finden Sie unter Create ein gut konzipiertes Datenklassifizierungsframework.

Grundlegendes zu organization-definierter Taxonomie

Taxonomie ist eine hierarchische Darstellung der Datenklassifizierung. Sie hat benannte Entitäten, die die Kategorisierungskriterien angeben.

Im Allgemeinen gibt es keinen universellen Standard für Klassifizierungen oder zum Definieren von Taxonomie. Es wird von der Motivation eines organization zum Schutz von Daten angetrieben. Die Taxonomie kann Complianceanforderungen, zugesagte Features für die Workloadbenutzer oder andere kriterien erfassen, die von geschäftlichen Anforderungen abhängig sind.

Hier finden Sie einige Beispielklassifizierungsbezeichnungen für Vertraulichkeitsstufen, Informationstyp und Compliancebereich.

Sensitivität	Informationstyp	Umfang der Compliance
Öffentlich, Allgemein, Vertraulich, streng vertraulich, Geheim, Streng geheim, vertraulich	Finanzen, Kreditkarte, Name, Kontaktinformationen, Anmeldeinformationen, Bankwesen, Netzwerk, SSN, Gesundheitsfelder, Geburtsdatum, Geistiges Eigentum, personenbezogene Daten	HIPAA, PCI, CCPA, SOX, RTB

Verlassen Sie sich als Workloadbesitzer auf Ihre organization, um Ihnen eine klar definierte Taxonomie bereitzustellen. Alle Workloadrollen müssen über ein gemeinsames Verständnis der Struktur, Nomenklatur und Definition der Vertraulichkeitsebenen verfügen. Definieren Sie kein eigenes Klassifizierungssystem.

Definieren des Klassifizierungsbereichs

Die meisten Organisationen verfügen über verschiedene Bezeichnungen.

Identifizieren Sie eindeutig, welche Datenressourcen und -komponenten sich für jede Vertraulichkeitsstufe außerhalb des Gültigkeitsbereichs befinden. Sie sollten ein klares Ziel für das Ergebnis haben. Das Ziel kann eine schnellere Auswertung, eine beschleunigte Notfallwiederherstellung oder behördliche Überprüfungen sein. Wenn Sie die Ziele genau verstehen, stellt dies sicher, dass Sie Ihre Klassifizierungsbemühungen richtig dimensionieren.

Beginnen Sie mit diesen einfachen Fragen und erweitern Sie je nach Bedarf basierend auf Ihrer Systemkomplexität:

• Was ist der Ursprung der Daten und des Informationstyps?
• Was ist die erwartete Einschränkung basierend auf dem Zugriff? Handelt es sich z. B. um öffentliche Informationsdaten, regulatorische oder andere erwartete Anwendungsfälle?
• Was ist der Datenbedarf? Wo werden die Daten gespeichert? Wie lange sollten die Daten aufbewahrt werden?
• Welche Komponenten der Architektur interagieren mit den Daten?
• Wie bewegen sich die Daten durch das System?
• Welche Informationen werden in den Überwachungsberichten erwartet?
• Müssen Sie Vorproduktionsdaten klassifizieren?

Bestandsaufnahme Ihrer Datenspeicher

Wenn Sie über ein vorhandenes System verfügen, sollten Sie alle Datenspeicher und Komponenten inventarisieren, die sich im Bereich befinden. Wenn Sie hingegen ein neues System entwerfen, erstellen Sie eine Datenflussdimension der Architektur und verfügen über eine anfängliche Kategorisierung nach Taxonomiedefinitionen. Die Klassifizierung gilt für das gesamte System. Es unterscheidet sich deutlich von der Klassifizierung von Konfigurationsgeheimnissen und Nichtsecrets.

Definieren des Umfangs

Beim Definieren des Bereichs präzise und explizit sein. Angenommen, Ihr Datenspeicher ist ein tabellarisches System. Sie möchten die Vertraulichkeit auf Tabellenebene oder sogar die Spalten innerhalb der Tabelle klassifizieren. Achten Sie außerdem darauf, die Klassifizierung auf Nichtdatenspeicherkomponenten zu erweitern, die möglicherweise in Beziehung stehen oder einen Teil an der Verarbeitung der Daten haben. Haben Sie beispielsweise die Sicherung Ihres hochsensiblen Datenspeichers klassifiziert? Wenn Sie benutzersensitive Daten zwischenspeichern, ist der Zwischenspeicher im Bereich? Wie werden die aggregierten Daten klassifiziert, wenn Sie analytische Datenspeicher verwenden?

Entwurf nach Klassifizierungsbezeichnungen

Die Klassifizierung sollte Ihre architekturbezogenen Entscheidungen beeinflussen. Der offensichtlichste Bereich ist Ihre Segmentierungsstrategie, die die unterschiedlichen Klassifizierungsbezeichnungen berücksichtigen sollte.

Beispielsweise beeinflussen die Bezeichnungen die Grenzen der Datenverkehrsisolation. Möglicherweise gibt es kritische Flows, bei denen tls (End-to-End-Transport Layer Security) erforderlich ist, während andere Pakete über HTTP gesendet werden können. Wenn Nachrichten über einen Nachrichtenbroker übertragen werden, müssen bestimmte Nachrichten möglicherweise signiert werden.

Bei ruhenden Daten wirken sich die Ebenen auf die Verschlüsselungsoptionen aus. Sie können sich dafür entscheiden, hochsensible Daten durch doppelte Verschlüsselung zu schützen. Verschiedene Anwendungsgeheimnisse erfordern möglicherweise sogar eine Kontrolle mit unterschiedlichen Schutzstufen. Möglicherweise können Sie das Speichern von Geheimnissen in einem HSM-Speicher (Hardware Security Module) rechtfertigen, was höhere Einschränkungen bietet. Compliance-Bezeichnungen legen auch Entscheidungen über die richtigen Schutzstandards fest. Der PCI-DSS-Standard schreibt beispielsweise die Verwendung von FIPS 140-2 Level 3-Schutz vor, der nur mit HSMs verfügbar ist. In anderen Fällen kann es akzeptabel sein, dass andere Geheimnisse in einem regulären Geheimverwaltungsspeicher gespeichert werden.

Wenn Sie verwendete Daten schützen müssen, sollten Sie vertrauliches Computing in die Architektur integrieren.

Klassifizierungsinformationen sollten mit den Daten verschoben werden, während sie durch das System und über Komponenten der Workload hinweg übergehen. Als vertraulich gekennzeichnete Daten sollten von allen Komponenten, die mit ihnen interagieren, als vertraulich behandelt werden. Achten Sie beispielsweise darauf, personenbezogene Daten zu schützen, indem Sie sie aus jeder Art von Anwendungsprotokollen entfernen oder verschleiern.

Die Klassifizierung wirkt sich auf den Entwurf Ihres Berichts in der Art und Weise aus, wie Daten verfügbar gemacht werden sollen. Müssen Sie beispielsweise basierend auf Ihren Informationstypbezeichnungen einen Datenmaskierungsalgorithmus für die Verschleierung als Ergebnis der Informationstypbezeichnung anwenden? Welche Rollen sollten Einblick in die Rohdaten im Vergleich zu maskierten Daten haben? Wenn Complianceanforderungen für die Berichterstellung bestehen, wie werden Daten den Vorschriften und Standards zugeordnet? Wenn Sie über dieses Verständnis verfügen, ist es einfacher, die Einhaltung bestimmter Anforderungen nachzuweisen und Berichte für Prüfer zu generieren.

Dies wirkt sich auch auf die Datenlebenszyklusverwaltungsvorgänge aus, z. B. Datenaufbewahrungs- und Außerbetriebnahmezeitpläne.

Anwenden der Taxonomie für Abfragen

Es gibt viele Möglichkeiten, Taxonomiebezeichnungen auf die identifizierten Daten anzuwenden. Die Verwendung eines Klassifizierungsschemas mit Metadaten ist die häufigste Möglichkeit, die Bezeichnungen anzugeben. Die Standardisierung durch Schema stellt sicher, dass die Berichterstellung genau ist, die Wahrscheinlichkeit von Variationen minimiert und die Erstellung benutzerdefinierter Abfragen vermieden wird. Erstellen Sie automatisierte Überprüfungen, um ungültige Einträge abzufangen.

Sie können Bezeichnungen manuell, programmgesteuert oder eine Kombination aus beidem anwenden. Der Architekturentwurfsprozess sollte den Entwurf des Schemas einschließen. Unabhängig davon, ob Sie über ein vorhandenes System verfügen oder ein neues System erstellen, sollten Sie beim Anwenden von Bezeichnungen die Konsistenz in den Schlüssel-Wert-Paaren beibehalten.

Beachten Sie, dass nicht alle Daten eindeutig klassifiziert werden können. Treffen Sie eine explizite Entscheidung darüber, wie die Daten, die nicht klassifiziert werden können, in der Berichterstellung dargestellt werden sollen.

Die tatsächliche Implementierung hängt von der Art der Ressourcen ab. Bestimmte Azure-Ressourcen verfügen über integrierte Klassifizierungssysteme. Beispielsweise verfügt Azure SQL Server über eine Klassifizierungs-Engine, unterstützt dynamische Maskierung und kann Berichte basierend auf Metadaten generieren. Azure Service Bus unterstützt das Einschließen eines Nachrichtenschemas, das über angefügte Metadaten verfügen kann. Wenn Sie Ihre Implementierung entwerfen, bewerten Sie die von der Plattform unterstützten Features, und nutzen Sie sie. Stellen Sie sicher, dass die für die Klassifizierung verwendeten Metadaten isoliert und getrennt von den Datenspeichern gespeichert werden.

Es gibt auch spezialisierte Klassifizierungstools, die Bezeichnungen automatisch erkennen und anwenden können. Diese Tools sind mit Ihren Datenquellen verbunden. Microsoft Purview verfügt über AutoErmittlungsfunktionen. Es gibt auch Tools von Drittanbietern, die ähnliche Funktionen bieten. Der Ermittlungsprozess sollte durch manuelle Überprüfung überprüft werden.

Überprüfen Sie die Datenklassifizierung regelmäßig. Die Klassifizierungswartung sollte in Vorgänge integriert werden, da veraltete Metadaten andernfalls zu fehlerhaften Ergebnissen für die identifizierten Ziele und Complianceprobleme führen können.

Kompromiss: Achten Sie auf den Kostenkonflikt bei Tools. Klassifizierungstools erfordern Schulung und können komplex sein.

Letztendlich muss die Klassifizierung auf die organization über zentrale Teams übertragen werden. Erhalten Sie von ihnen Eingaben zur erwarteten Berichtsstruktur. Nutzen Sie außerdem zentralisierte Tools und Prozesse, um eine organisatorische Ausrichtung zu erzielen und die Betriebskosten zu senken.

Azure-Erleichterung

Microsoft Purview vereint Azure Purview- und Microsoft Purview-Lösungen, um Einblick in Datenressourcen in Ihrem organization zu bieten. Weitere Informationen finden Sie unter Was ist Microsoft Purview?

Azure SQL Datenbank, Azure SQL Managed Instance und Azure Synapse Analytics bieten integrierte Klassifizierungsfeatures. Verwenden Sie diese Tools, um die vertraulichen Daten in Ihren Datenbanken zu ermitteln, zu klassifizieren, zu kennzeichnen und zu melden. Weitere Informationen finden Sie unter Datenermittlung und -klassifizierung.

Beispiel

Dieses Beispiel baut auf der IT-Umgebung (Information Technology) auf, die in der Sicherheitsbaseline (SE:01) eingerichtet wurde. Das folgende Beispieldiagramm zeigt Datenspeicher, in denen Daten klassifiziert werden.

1. Auf Datenbanken und Datenträger gespeicherte Daten sollten nur für wenige Benutzer zugänglich sein, z. B. Administratoren, Datenbankadministratoren. Dann ist es üblich, dass allgemeine Benutzer oder kundenefinierte Clients nur Zugriff auf Ebenen haben, die für das Internet verfügbar gemacht werden, z. B. Anwendungen oder Sprungboxen.

2. Anwendungen kommunizieren mit den Datenbanken oder Daten, die auf Datenträgern gespeichert sind, z. B. Objektspeicher oder Dateiserver.

3. In einigen Fällen können Daten in einer lokalen Umgebung und in der öffentlichen Cloud gespeichert werden. Beide müssen konsistent klassifiziert werden.

4. In einem Operator-Anwendungsfall benötigen Remoteadministratoren Zugriff auf Sprungfelder in der Cloud oder auf einem virtuellen Computer, auf dem die Workload ausgeführt wird. Zugriffsberechtigungen sollten gemäß den Datenklassifizierungsbezeichnungen erteilt werden.

5. Daten werden über die virtuellen Computer zu den Back-End-Datenbanken verschoben, und Daten sollten während der gesamten Durchlaufpunkte mit dem gleichen Maß an Vertraulichkeit behandelt werden.

6. Workloads speichern Daten direkt auf Datenträgern virtueller Computer. Diese Datenträger befinden sich im Bereich der Klassifizierung.

7. In einer Hybridumgebung können verschiedene Personas über verschiedene Mechanismen auf lokale Workloads zugreifen, um eine Verbindung mit verschiedenen Datenspeichertechnologien oder Datenbanken herzustellen. Der Zugriff muss gemäß den Klassifizierungsbezeichnungen gewährt werden.

8. Die lokalen Server stellen eine Verbindung mit wichtigen Daten her, die klassifiziert und geschützt werden müssen, z. B. Dateiserver, Objektspeicher und verschiedene Arten von Datenbanken, z. B. relationale, no-SQL und Data Warehouse.

9. Microsoft Purview Compliance bietet eine Lösung zum Klassifizieren von Dateien und E-Mails.

10. Microsoft Defender für Cloud bietet eine Lösung, die Ihrem Unternehmen hilft, die Compliance in Ihrer Umgebung nachzuverfolgen, einschließlich vieler Ihrer Dienste, die zum Speichern von Daten verwendet werden. Dies wird in den oben genannten Fällen erwähnt.

Verwandte Links

• Taxonomie der Datenklassifizierung und Vertraulichkeitsbezeichnung – Microsoft Service Assurance
• Create eines gut konzipierten Datenklassifizierungsframeworks – Microsoft Service Assurance

Nächster Schritt

Weitere Informationen finden Sie im vollständigen Satz von Empfehlungen.

Checkliste für die Sicherheit