Aanbevelingen voor gegevensclassificatie

Artikel
11/15/2023

Is van toepassing op aanbeveling van de controlelijst voor beveiliging van Azure Well-Architected Framework:

SE:03	Vertrouwelijkheidslabels classificeren en consistent toepassen op alle workloadgegevens en systemen die betrokken zijn bij gegevensverwerking. Gebruik classificatie om het ontwerp, de implementatie en de prioriteitstelling van de beveiliging te beïnvloeden.

In deze handleiding worden de aanbevelingen voor gegevensclassificatie beschreven. In de meeste workloads worden verschillende typen gegevens opgeslagen. Niet alle gegevens zijn even gevoelig. Met gegevensclassificatie kunt u gegevens categoriseren op basis van het gevoeligheidsniveau, het informatietype en het nalevingsbereik, zodat u het juiste beveiligingsniveau kunt toepassen. Beveiliging omvat toegangsbeheer, bewaarbeleid voor verschillende informatietypen, enzovoort. Hoewel de werkelijke beveiligingscontroles op basis van gegevensclassificatie buiten het bereik van dit artikel vallen, biedt het aanbevelingen voor het categoriseren van gegevens op basis van de voorgaande criteria die door uw organisatie zijn ingesteld.

Definities

Termijn	Definitie
Classificatie	Een proces voor het categoriseren van workloadassets op gevoeligheidsniveaus, informatietype, nalevingsvereisten en andere criteria van de organisatie.
Metagegevens	Een implementatie voor het toepassen van taxonomie op assets.
Taxonomie	Een systeem voor het organiseren van geclassificeerde gegevens met behulp van een overeengekomen structuur. Dit is meestal een hiërarchische weergave van gegevensclassificatie. Het heeft benoemde entiteiten die categorisatiecriteria aangeven.

Belangrijke ontwerpstrategieën

Gegevensclassificatie is een cruciale oefening die vaak aanstuurt op het bouwen van een recordsysteem en de bijbehorende functie. Classificatie helpt u ook bij de juiste grootte van de beveiligingsgaranties en helpt het team bij het oplossen van detectie tijdens het reageren op incidenten. Een vereiste voor het ontwerpproces is om duidelijk te begrijpen of gegevens moeten worden behandeld als vertrouwelijk, beperkt, openbaar of een andere vertrouwelijkheidsclassificatie. Het is ook essentieel om de locaties te bepalen waar gegevens worden opgeslagen, omdat de gegevens mogelijk over meerdere omgevingen worden verdeeld.

Gegevensdetectie is nodig om de gegevens te vinden. Zonder die kennis hebben de meeste ontwerpen een midden-grond benadering, die al dan niet voldoet aan de beveiligingsvereisten. Gegevens kunnen overbeveiligd zijn, wat resulteert in inefficiënte kosten en prestaties. Of het is mogelijk niet voldoende beveiligd, waardoor de kwetsbaarheid voor aanvallen wordt uitgebreid.

Gegevensclassificatie is vaak een lastige oefening. Er zijn hulpprogramma's beschikbaar waarmee gegevensassets kunnen worden gedetecteerd en classificaties kunnen worden voorgesteld. Maar vertrouw niet alleen op hulpprogramma's. Zorg voor een proces waarbij teamleden de oefeningen ijverig uitvoeren. Gebruik vervolgens hulpprogramma's om te automatiseren wanneer dat praktisch is.

Zie Samen met deze best practices een goed ontworpen framework voor gegevensclassificatie maken.

Inzicht in door de organisatie gedefinieerde taxonomie

Taxonomie is een hiërarchische weergave van gegevensclassificatie. Het heeft benoemde entiteiten die de categorisatiecriteria aangeven.

Over het algemeen is er geen universele standaard voor classificatie of voor het definiëren van taxonomie. Het wordt aangestuurd door de motivatie van een organisatie om gegevens te beschermen. Taxonomie kan nalevingsvereisten, beloofde functies voor de workloadgebruikers of andere criteria op basis van bedrijfsbehoeften vastleggen.

Hier volgen enkele voorbeelden van classificatielabels voor gevoeligheidsniveaus, informatietype en nalevingsbereik.

Gevoeligheid	Gegevenstype	Bereik van naleving
Openbaar, Algemeen, Vertrouwelijk, Zeer vertrouwelijk, Geheim, Topgeheim, Gevoelig	Financieel, Creditcard, Naam, Contactgegevens, Referenties, Bankieren, Netwerken, SSN, Gezondheidsvelden, Geboortedatum, Intellectueel Eigendom, persoonsgegevens	HIPAA, PCI, CCPA, SOX, RTB

Als eigenaar van een workload kunt u vertrouwen op uw organisatie om u een goed gedefinieerde taxonomie te bieden. Alle workloadrollen moeten een gedeeld begrip hebben van de structuur, nomenclatuur en definitie van de gevoeligheidsniveaus. Definieer niet uw eigen classificatiesysteem.

Het classificatiebereik definiëren

De meeste organisaties hebben een gevarieerde set labels.

Identificeer duidelijk welke gegevensassets en onderdelen binnen en buiten het bereik vallen voor elk gevoeligheidsniveau. U moet een duidelijk doel hebben met betrekking tot het resultaat. Het doel kan zijn snellere sortering, versneld herstel na noodgevallen of wettelijke controles. Wanneer u de doelstellingen duidelijk begrijpt, zorgt dit ervoor dat u de juiste grootte van uw classificatie-inspanningen hebt.

Begin met deze eenvoudige vragen en breid zo nodig uit op basis van de complexiteit van uw systeem:

Wat is de oorsprong van gegevens en informatietype?
Wat is de verwachte beperking op basis van toegang? Zijn het bijvoorbeeld openbare informatiegegevens, regelgeving of andere verwachte gebruiksvoorbeelden?
Wat is de gegevensvoetafdruk? Waar worden gegevens opgeslagen? Hoe lang moeten de gegevens worden bewaard?
Welke onderdelen van de architectuur communiceren met de gegevens?
Hoe worden de gegevens door het systeem verplaatst?
Welke informatie wordt verwacht in de controlerapporten?
Moet u preproductiegegevens classificeren?

Inventariseren van uw gegevensarchieven

Als u een bestaand systeem hebt, inventariseer dan alle gegevensarchieven en onderdelen die binnen het bereik vallen. Als u daarentegen een nieuw systeem ontwerpt, maakt u een gegevensstroomdimensie van de architectuur en beschikt u over een eerste categorisatie per taxonomiedefinities. Classificatie is van toepassing op het systeem als geheel. Het is duidelijk anders dan het classificeren van configuratiegeheimen en niet-geheimen.

Uw bereik definiëren

Wees gedetailleerd en expliciet bij het definiëren van het bereik. Stel dat uw gegevensarchief een tabellair systeem is. U wilt gevoeligheid classificeren op tabelniveau of zelfs op de kolommen in de tabel. Zorg er ook voor dat u de classificatie uitbreidt naar niet-gegevensopslagonderdelen die mogelijk gerelateerd zijn aan of een rol kunnen hebben bij het verwerken van de gegevens. Hebt u bijvoorbeeld de back-up van uw zeer gevoelige gegevensopslag geclassificeerd? Als u gebruikersgevoelige gegevens in de cache opslaat, valt het cachegegevensarchief dan binnen het bereik? Als u analytische gegevensarchieven gebruikt, hoe worden de geaggregeerde gegevens dan geclassificeerd?

Ontwerpen volgens classificatielabels

Classificatie moet van invloed zijn op uw beslissingen over de architectuur. Het meest voor de hand liggende gebied is uw segmentatiestrategie, waarbij rekening moet worden gehouden met de verschillende classificatielabels.

De labels zijn bijvoorbeeld van invloed op de grenzen van de verkeersisolatie. Er kunnen kritieke stromen zijn waarbij end-to-end TLS (Transport Layer Security) is vereist, terwijl andere pakketten via HTTP kunnen worden verzonden. Als er berichten worden verzonden via een berichtenbroker, moeten bepaalde berichten mogelijk worden ondertekend.

Voor data-at-rest zijn de niveaus van invloed op de versleutelingskeuzes. U kunt ervoor kiezen om zeer gevoelige gegevens te beveiligen met dubbele versleuteling. Verschillende toepassingsgeheimen vereisen mogelijk zelfs beheer met verschillende beveiligingsniveaus. Mogelijk kunt u het opslaan van geheimen in een HSM-archief (Hardware Security Module) rechtvaardigen, wat hogere beperkingen biedt. Nalevingslabels bepalen ook beslissingen over de juiste beveiligingsstandaarden. De PCI-DSS-standaard verplicht bijvoorbeeld het gebruik van FIPS 140-2 Level 3-beveiliging, die alleen beschikbaar is met HSM's. In andere gevallen kan het acceptabel zijn dat andere geheimen worden opgeslagen in een normaal archief voor geheimbeheer.

Als u gegevens in gebruik wilt beveiligen, kunt u confidential computing opnemen in de architectuur.

Classificatie-informatie moet met de gegevens worden verplaatst wanneer deze door het systeem en tussen onderdelen van de workload worden verplaatst. Gegevens die als vertrouwelijk zijn gelabeld, moeten als vertrouwelijk worden behandeld door alle onderdelen die ermee communiceren. Zorg er bijvoorbeeld voor dat u persoonlijke gegevens beveiligt door deze te verwijderen of te verdoezelen uit elk soort toepassingslogboeken.

Classificatie is van invloed op het ontwerp van uw rapport in de manier waarop gegevens moeten worden weergegeven. Moet u bijvoorbeeld op basis van uw informatietypelabels een algoritme voor gegevensmaskering toepassen voor het verbergen van gegevens als gevolg van het informatietypelabel? Welke rollen moeten inzicht hebben in de onbewerkte gegevens versus gemaskeerde gegevens? Als er nalevingsvereisten zijn voor rapportage, hoe worden gegevens dan toegewezen aan regelgeving en standaarden? Wanneer u dit inzicht hebt, is het eenvoudiger om naleving van specifieke vereisten aan te tonen en rapporten voor auditors te genereren.

Dit is ook van invloed op de beheerbewerkingen voor de levenscyclus van gegevens, zoals planningen voor gegevensretentie en buiten gebruik stellen.

Taxonomie toepassen voor het uitvoeren van query's

Er zijn veel manieren om taxonomielabels toe te passen op de geïdentificeerde gegevens. Het gebruik van een classificatieschema met metagegevens is de meest voorkomende manier om de labels aan te geven. Standaardisatie via schema zorgt ervoor dat de rapportage nauwkeurig is, de kans op variatie minimaliseert en het maken van aangepaste query's voorkomt. Bouw geautomatiseerde controles om ongeldige vermeldingen te ondervangen.

U kunt labels handmatig, programmatisch toepassen of een combinatie van beide gebruiken. Het architectuurontwerpproces moet het ontwerp van het schema omvatten. Of u nu een bestaand systeem hebt of een nieuw systeem bouwt, houd bij het toepassen van labels de consistentie in de sleutel-waardeparen.

Houd er rekening mee dat niet alle gegevens duidelijk kunnen worden geclassificeerd. Maak een expliciete beslissing over de wijze waarop de gegevens die niet kunnen worden geclassificeerd, moeten worden weergegeven in de rapportage.

De werkelijke implementatie is afhankelijk van het type resources. Bepaalde Azure-resources hebben ingebouwde classificatiesystemen. Azure SQL Server heeft bijvoorbeeld een classificatie-engine, ondersteunt dynamische maskering en kan rapporten genereren op basis van metagegevens. Azure Service Bus ondersteunt het opnemen van een berichtschema dat metagegevens kan bevatten. Wanneer u uw implementatie ontwerpt, evalueert u de functies die door het platform worden ondersteund en profiteert u hiervan. Zorg ervoor dat metagegevens die voor classificatie worden gebruikt, worden geïsoleerd en afzonderlijk van de gegevensarchieven worden opgeslagen.

Er zijn ook gespecialiseerde classificatiehulpprogramma's waarmee labels automatisch kunnen worden gedetecteerd en toegepast. Deze hulpprogramma's zijn verbonden met uw gegevensbronnen. Microsoft Purview heeft mogelijkheden voor automatisch opsporen. Er zijn ook hulpprogramma's van derden die vergelijkbare mogelijkheden bieden. Het detectieproces moet worden gevalideerd via handmatige verificatie.

Controleer de gegevensclassificatie regelmatig. Classificatieonderhoud moet worden ingebouwd in bewerkingen, anders kunnen verouderde metagegevens leiden tot onjuiste resultaten voor de geïdentificeerde doelstellingen en nalevingsproblemen.

Afweging: houd rekening met de kosten van hulpprogramma's. Classificatiehulpprogramma's vereisen training en kunnen complex zijn.

Uiteindelijk moet classificatie worden doorgevoerd in de organisatie via centrale teams. Krijg input van hen over de verwachte rapportstructuur. Profiteer ook van gecentraliseerde hulpprogramma's en processen om organisatie-afstemming te hebben en ook operationele kosten te verlagen.

Azure-facilitering

Microsoft Purview verenigt Azure Purview- en Microsoft Purview-oplossingen om inzicht te bieden in gegevensassets in uw organisatie. Zie Wat is Microsoft Purview? voor meer informatie.

Azure SQL Database, Azure SQL Managed Instance en Azure Synapse Analytics bieden ingebouwde classificatiefuncties. Gebruik deze hulpprogramma's om gevoelige gegevens in uw databases te detecteren, classificeren, labelen en rapporteren. Zie Gegevensdetectie en -classificatie voor meer informatie.

Voorbeeld

Dit voorbeeld is gebaseerd op de IT-omgeving (Information Technology) die is vastgesteld in de beveiligingsbasislijn (SE:01). In het onderstaande voorbeelddiagram ziet u gegevensarchieven waar gegevens zijn geclassificeerd.

Gegevens die zijn opgeslagen op databases en schijven, mogen slechts toegankelijk zijn voor een paar gebruikers, zoals Beheerders en Databasebeheerders. Vervolgens is het gebruikelijk dat gewone gebruikers of de uiteindelijke clients van klanten alleen toegang hebben tot lagen die worden blootgesteld aan internet, zoals toepassingen of jumpboxs.
Toepassingen communiceren met de databases of gegevens die zijn opgeslagen op schijven, zoals objectopslag of bestandsservers.
In sommige gevallen kunnen gegevens worden opgeslagen in een on-premises omgeving en de openbare cloud. Beide moeten consistent worden geclassificeerd.
In een operatorgebruiksscenario hebben externe beheerders toegangs jumpboxs nodig in de cloud of een virtuele machine waarop de workload wordt uitgevoerd. Toegangsmachtigingen moeten worden opgegeven volgens de labels voor gegevensclassificatie.
Gegevens worden via de virtuele machines naar de back-enddatabases verplaatst en gegevens moeten met dezelfde mate van vertrouwelijkheid worden behandeld tijdens de doorkruisingspunten.
Bij workloads worden gegevens rechtstreeks op virtuele-machineschijven opgeslagen. Deze schijven vallen binnen het bereik voor classificatie.
In een hybride omgeving kunnen verschillende persona's on-premises toegang krijgen tot workloads via verschillende mechanismen om verbinding te maken met verschillende technologieën of databases voor gegevensopslag. Toegang moet worden verleend op basis van de classificatielabels.
De on-premises servers maken verbinding met belangrijke gegevens die moeten worden geclassificeerd en beveiligd, zoals bestandsservers, objectopslag en verschillende typen databases, zoals relationele, no-SQL en datawarehouse.
Microsoft Purview Compliance biedt een oplossing voor het classificeren van bestanden en e-mailberichten.
Microsoft Defender for Cloud biedt een oplossing waarmee uw bedrijf de naleving in uw omgeving kan bijhouden, inclusief veel van uw services die worden gebruikt voor het opslaan van gegevens, zoals vermeld in deze bovenstaande gevallen.

Uitlijning van de organisatie

Cloud Adoption Framework biedt richtlijnen voor centrale teams over het classificeren van gegevens, zodat workloadteams de taxonomie van de organisatie kunnen volgen.

Zie Wat is gegevensclassificatie? - Cloud Adoption Framework voor meer informatie.

Volgende stap

Raadpleeg de volledige set aanbevelingen.

Controlelijst voor beveiliging

Aanbevelingen voor gegevensclassificatie

Belangrijke ontwerpstrategieën