O que é classificação de dados?

A classificação de dados é o processo de organizar dados estruturados e não estruturados em categorias, para que possam ser usados e protegidos com mais eficiência. Ele facilita a localização e a recuperação de dados, ao mesmo tempo em que facilita um melhor gerenciamento de riscos, detecção legal e conformidade regulatória.

A classificação de dados envolve a rotulagem de dados confidenciais e informações pessoais para torná-los pesquisáveis e rastreáveis. Isso teve o benefício adicional de eliminar dados duplicados, reduzir os custos de armazenamento e backup e ajudar a minimizar o risco de segurança cibernética.

Uma política de classificação de dados por escrito geralmente descreve procedimentos e diretrizes sobre quais níveis de classificação sua organização usa para agrupar dados, bem como as funções e responsabilidades específicas dos funcionários que atuam como administradores de dados.

Depois que um esquema de classificação de dados for criado e os dados agrupados, você deverá determinar os padrões de segurança apropriados para cada categoria em seu ciclo de vida.

Embora a criação de uma política de classificação de dados possa parecer tecnicamente difícil, todos os níveis da sua organização precisam entender sua função.

Por que a classificação de dados é importante?

A classificação de dados é importante porque você tem recursos limitados que podem investir na proteção de seus dados confidenciais. Saber quais tipos de dados precisam de proteção significa que você pode definir prioridades e alocar seu orçamento e outros recursos para as áreas de maior impacto, minimizando os custos de segurança e conformidade de dados.

Além disso, a classificação de dados pode ajudá-lo a cumprir diferentes regulamentos dentro e fora dos Estados Unidos, incluindo a Lei de Privacidade e Direitos Educacionais da Família (FERPA), PCI-DSS, HIPAA, CPS 234, ITAR e muitos outros.

Quais são os fundamentos da classificação eficaz de dados?

A classificação eficaz de dados requer uma compreensão dos seguintes conceitos:

Estados de dados: os dados existem em três estados (em repouso, em andamento e em trânsito). Independentemente do estado, as informações confidenciais devem permanecer criptografadas e confidenciais.
Formato de dados: os dados podem ser estruturados e não estruturados. A classificação de dados estruturados geralmente é menos complexa, demorada e mais barata do que os dados não estruturados.
Dados estruturados: legíveis e indexáveis, como objetos de banco de dados e planilhas
Dados não estruturados: não legíveis nem indexáveis, como código-fonte, documentos e binários.
Descoberta de dados: antes que os dados possam ser classificados, você precisa saber sua localização, volume e contexto. Isso é verdade independentemente de onde esteja hospedado (no local, na nuvem, em bancos de dados legados ou com um provedor de serviços).
Sensibilidade dos dados: para ajudar na priorização, os dados geralmente são classificados em níveis de sensibilidade.
Dados de alta sensibilidade: os dados são considerados de alta sensibilidade se a exposição ou destruição resultar em um impacto catastrófico em sua organização ou clientes. Exemplos comuns de dados de alta confidencialidade são números de cartão de crédito, números de previdência social, números de carteira de motorista, informações de saúde protegidas (PHI), informações de identificação pessoal (PII), informações do titular do cartão, propriedade intelectual, processos de negócios, biometria e números de contas bancárias.
Dados de sensibilidade média: dados projetados para uso interno em que a divulgação não autorizada não teria um impacto catastrófico em sua organização ou clientes. Os exemplos incluem e-mails e documentos que não incluem dados confidenciais.
Dados de baixa sensibilidade: dados projetados para serem informações públicas. Os exemplos incluem comunicados à imprensa, material de marketing, conteúdo do site e outros dados públicos.
Requisitos regulatórios: Com o número crescente de leis de proteção de dados em todo o mundo, a classificação de dados está se tornando cada vez mais um requisito regulatório. Por exemplo, o Regulamento Geral de Proteção de Dados (GDPR) da UE exige que todos os dados pessoais sejam protegidos, assim como PIPEDA, FIPA, Lei SHIELD e LGPD.
Mandatos específicos do setor: Juntamente com a regulamentação, muitos mandatos específicos do setor agora exigem a classificação de diferentes atributos de dados. Por exemplo, a CSA (Cloud Security Alliance) exige que os dados e os objetos de dados incluam o tipo de dados, a jurisdição de origem e domicílio, o contexto, as restrições legais e a confidencialidade. Leia mais sobre a Cloud Security Alliance e o CAIQ aqui.

Qual é a finalidade da classificação de dados?

Além de facilitar a localização, recuperação, manipulação e rastreamento dos dados, um sistema de informações de classificação de dados bem planejado melhora a segurança dos dados e a conformidade regulatória.

O verdadeiro objetivo da classificação de dados é proteger dados corporativos e de clientes confidenciais. Para fazer isso, você deve ser capaz de responder às seguintes perguntas:

Quais dados confidenciais eu armazeno?
Onde residem esses dados confidenciais?
Quem pode acessá-lo, modificá-lo e excluí-lo?
Como minha empresa será afetada se esses dados vazarem, forem destruídos ou alterados?

Além de responder a essas perguntas, você também precisa entender seus requisitos regulatórios e quais dados específicos você deve proteger. Os exemplos incluem dados do titular do cartão (PCI DSS), registros de saúde (HIPAA), dados financeiros (SOX) ou dados pessoais (GDPR, LGPD, PIPEDA, The SHIELD Act e FIPA).

Além dessas perguntas, muitas ferramentas de classificação de dados ajudam a proteger a confidencialidade, integridade e disponibilidade (tríade CIA) de conjuntos de dados confidenciais ou importantes:

Confidencialidade: A classificação de dados pode ajudá-lo a entender o tipo de dados que precisam ser protegidos e um nível de segurança adequado para cada categoria.
Integridade: ao facilitar o rastreamento de elementos de dados individuais, a classificação de dados pode garantir que a integridade seja mantida e que quaisquer alterações não autorizadas sejam detectadas.
Disponibilidade: para dados importantes, mas não classificados, a classificação de dados pode ajudá-lo a se concentrar em garantir que sejam facilmente acessíveis a usuários finais, clientes e provedores de serviços.

Quais são os tipos típicos de categorias de classificação de dados?

A classificação de dados geralmente envolve uma infinidade de tags e rótulos que definem o tipo de dados, sua confidencialidade, bem como os requisitos de confidencialidade, integridade e disponibilidade exclusivos da sua organização.

Isso significa que suas categorias de classificação de dados dependerão em grande parte de sua política de segurança da informação, requisitos regulatórios e apetite ao risco.

Como ponto de partida, considere usar uma abordagem simples de três camadas:

Dados públicos: dados que são divulgados livremente ao público, como endereços de e-mail e números de telefone do atendimento ao cliente.
Dados internos: dados que têm requisitos mínimos de segurança, mas não se destinam à divulgação pública. Os exemplos incluem pesquisa de marketing, informações de diretório e scripts de telefone de vendas.
Dados restritos: dados internos altamente confidenciais cuja divulgação pode afetar negativamente as operações ou colocar você ou seus clientes em risco financeiro ou legal. Isso requer o mais alto nível de proteção de segurança.

O que é o Processo de Classificação de Dados?

Não existe uma abordagem única para a classificação de dados. Nem todos os dados precisam ser classificados, alguns podem até ser melhor destruídos. Dito isso, podemos detalhar um processo geral que você pode adaptar às suas necessidades, desejos e requisitos regulatórios exclusivos.

A primeira etapa é definir uma política de classificação de dados. A política deve ser comunicada a todos os funcionários que têm acesso a dados confidenciais e incluir os seguintes elementos:

Objetivos: Os motivos pelos quais a classificação de dados foi implementada e os objetivos que você espera alcançar com ela.
Processos: descreve como o processo de classificação de dados será organizado e como isso afetará os funcionários que usam diferentes tipos de dados confidenciais.
Esquema de classificação de dados: as categorias em que os dados serão colocados.
Proprietários de dados: descreve quem é diretamente responsável por quais tipos de dados, incluindo como eles são classificados e quem tem acesso a eles.
Instruções de manuseio: Padrões de segurança que especificam como os dados confidenciais serão protegidos para cada categoria de dados, quem terá acesso a eles, como serão compartilhados e por quanto tempo serão retidos.

Depois que a política for finalizada, você precisará executar um processo de descoberta de dados para determinar o local, o volume e o contexto dos dados hospedados localmente, na nuvem, em bancos de dados herdados e com fornecedores terceirizados.

Você pode optar por ignorar esta etapa e classificar apenas os novos dados. No entanto, isso deixaria os dados críticos ou confidenciais atuais para os negócios insuficientemente protegidos.

O processo de descoberta de dados pode ser um processo manual de pesquisa de bancos de dados, compartilhamentos de arquivos e outros sistemas que podem conter informações confidenciais ou por meio de um aplicativo de descoberta de dados que pesquisa informações confidenciais por meio de metadados e outras marcas que agrupam informações em diferentes grupos rapidamente.

Independentemente de você descobrir dados manualmente ou com software, o próximo passo é categorizá-los. O método de categorização geralmente pode ser dividido em três grupos:

Classificação baseada em conteúdo: inspeciona e interpreta arquivos para determinar se eles contêm informações confidenciais.
Classificação baseada em contexto: analisa o aplicativo, a localização ou o criador, entre outras variáveis, como indicadores indiretos de informações confidenciais.
Classificação baseada no usuário: Depende de um processo manual de seleção do usuário final para cada documento. Isso depende do conhecimento e discrição do usuário nos estágios de criação, edição, revisão e disseminação.

Após o processo de descoberta de dados, os dados confidenciais devem ser rotulados seguindo seu esquema de classificação de dados.

Depois que todos os dados forem rotulados, é hora de implementar controles de segurança apropriados para proteger os dados confidenciais com base no que sua política de classificação de dados descreve. Isso pode incluir criptografia, controle de acesso, o princípio do privilégio mínimo, ferramentas de detecção de vazamento de dados, monitoramento de usuários, separação de tarefas e muitos outros controles de segurança.