Classification des données

La classification des données est le processus qui consiste à organiser les données en catégories pertinentes afin de simplifier leur récupération, leur tri, leur utilisation, leur stockage et leur protection.

Une politique de classification des données, correctement exécutée, facilite le processus de recherche et de récupération des données critiques. C'est important pour risk management, legal discovery and compliance réglementaire. Lors de la création de procédures et de directives écrites pour régir les politiques de classification des données, il est essentiel de définir les critères et les catégories que l'organisation utilise pour classer les données.

La classification des données peut faciliter la recherche et le suivi des données. Ceci est réalisé en étiquetant les données. Le balisage des données permet aux organisations d'étiqueter clairement les données afin qu'elles soient faciles à trouver et à identifier. Les balises vous aident également à mieux gérer les données et à identifier les risques plus facilement. UNE data label permet également de les traiter automatiquement et garantit un accès rapide et fiable aux données, comme l'exigent certaines réglementations nationales et fédérales.

La plupart des projets de classification des données contribuent à éliminer la duplication des données. En découvrant et en éliminant les données dupliquées, les entreprises peuvent réduire les coûts de stockage et de sauvegarde ainsi que le risque de divulgation de données confidentielles ou sensibles en cas de violation de données.

spécifier data management les rôles et responsabilités des employés au sein de l'organisation font partie des systèmes de classification des données. La gestion des données est la coordination tactique et la mise en œuvre des actifs de données d'une organisation, tandis que la gouvernance des données se concentre sur des politiques et procédures de données de plus haut niveau.

L'objectif de la classification des données

La classification des données améliore l'accessibilité des données et permet aux organisations de répondre réglementaires compliance requirements plus facilement, et les aide à atteindre leurs objectifs commerciaux. Les organisations doivent souvent s'assurer que les données sont consultables et récupérables dans un délai précis. Cette exigence est impossible sans des processus de classification robustes pour classer les données rapidement et avec précision.

Pour rencontrer data security objectives, la classification des données est essentielle. La classification des données facilite les réponses de sécurité appropriées pour la sécurité des données en fonction des types de données récupérées, copiées ou transmises. Sans processus de classification des données, il est difficile d'identifier et de protéger de manière appropriée les données sensibles.

La classification des données fournit une visibilité sur toutes les données au sein d'une organisation et lui permet d'utiliser, analyseur, et protégez les grandes quantités de données disponibles grâce à la collecte de données. Une classification efficace des données permet une meilleure protection de ces données et favorise le respect des politiques de sécurité.

Difficultés liées aux anciens outils de classification des données

Les outils de classification des données sont destinés à fournir des fonctionnalités de découverte de données ; cependant, ils analysent souvent les magasins de données uniquement pour métadonnées ou des identifiants connus. Dans les environnements complexes, la découverte de données est inefficace si elle ne permet de découvrir que des dates mais ne peut pas identifier s'il s'agit d'une date de naissance, d'une date de transaction ou de la ligne de date d'un article. Sans ces informations supplémentaires, ces outils de découverte ne peuvent pas déterminer si les données sont sensibles et doivent donc être protégées.

« Les meilleurs DSP seront dotés de fonctionnalités sémantiques et contextuelles pour la classification des données, permettant de juger de ce qu'est réellement quelque chose, plutôt que de s'appuyer sur des identifiants préconfigurés. » Gartner : feuille de route stratégique 2023 pour l'adoption des plateformes de sécurité des données

Les plateformes modernes de sécurité des données doivent inclure des fonctionnalités sémantiques et contextuelles pour la classification des données, afin d'identifier ce qu'est une donnée plutôt que d'utiliser des identifiants préconfigurés, moins précis et moins fiables. Parce que les organisations utilisent de plus en plus cloud services informatiques, des données plus sensibles sont désormais stockées dans le cloud. Cependant, de nombreuses données sensibles ne sont pas structurées, ce qui les rend plus difficiles à sécuriser.

Schémas de classification des données

Un schéma de classification des données vous permet d'identifier les normes de sécurité qui spécifient les pratiques de traitement appropriées pour chaque catégorie de données. Les normes de stockage qui définissent data cycle les exigences doivent également être prises en compte. Une politique de classification des données peut aider une organisation à atteindre ses objectifs de protection des données en appliquant des catégories de données de manière cohérente aux données externes et internes.

Data discovery

Les outils de découverte et d'inventaire des données aident les organisations à identifier les ressources qui contiennent high risk data and sensitive data sur les terminaux et les actifs du réseau d'entreprise. Ces outils aident les entreprises à identifier l'emplacement des données structurées sensibles et des données non structurées en analysant les hôtes, les colonnes et les lignes de base de données, les applications Web, les partages de fichiers et les réseaux de stockage.

Types de classification des données

Le fait de baliser ou d'appliquer des étiquettes aux données permet de les classer. Il s'agit d'un élément essentiel du processus de classification des données. Ces balises et étiquettes définissent le type de données, le degré de confidentialité et l'intégrité des données. Le niveau de sensibilité est généralement basé sur les niveaux d'importance ou de confidentialité, ce qui correspond aux mesures de sécurité appliquées pour protéger chaque niveau de classification. Les normes de l'industrie pour la classification des données comprennent trois types :

• Classification basée sur le contenu, qui concerne des informations sensibles (telles que des dossiers financiers et des informations personnelles identifiables).
• Classification basée sur le contexte, qui analyse les données en fonction de l'emplacement, de l'application, du créateur, etc., en tant qu'indicateurs indirects d'informations sensibles.
• Classification basée sur l'utilisateur, qui nécessite la connaissance et la discrétion de l'utilisateur pour décider s'il convient de signaler les documents sensibles lors du processus de création, de modification, des cycles de révision ou lors de la diffusion du contenu.

Bien que chaque approche ait sa place dans la classification des données, la classification basée sur l'utilisateur est un processus manuel qui prend beaucoup de temps et qui est très susceptible d'être source d'erreurs. Il ne sera pas efficace pour classer les données à grande échelle et pourrait mettre en danger les données protégées et les données restreintes.

Data Sensitivity and risk

Il est important que les efforts de classification des données incluent la détermination du risque relatif à divers types de données, la manière de gérer ces données, et où et comment les stocker et les envoyer. Il existe trois grands niveaux de risque pour les données et les systèmes :

• Faible risque : Les données publiques faciles à récupérer sont un bon exemple de données à faible risque. Toute information qui peut être utilisée, réutilisée et redistribuée librement sans restrictions locales, régionales, nationales ou internationales d'accès ou d'utilisation. Au sein d'une organisation, ces données incluent des descriptions de poste, des supports marketing accessibles au public et des communiqués de presse ou des articles.
• Risque modéré : Si les données ne sont pas publiques ou sont utilisées uniquement en interne, mais ne sont pas critiques pour les opérations ou sensibles, elles peuvent être classées comme présentant un risque modéré. La documentation de l'entreprise, les présentations non sensibles et les procédures opérationnelles peuvent entrer dans cette catégorie.
• Risque élevé : Si les données ou le système sont sensé ou essentiel à la sécurité opérationnelle, il appartient à la catégorie à haut risque. De plus, toute donnée difficile à récupérer est considérée comme présentant un risque élevé. Toutes les données confidentielles, les données sensibles, les données internes uniquement et les données nécessaires entrent également dans cette catégorie. Les exemples incluent les numéros de sécurité sociale, les numéros de permis de conduire, les informations bancaires et de débit et d'autres données hautement sensibles.

Classification automatique des données

Les outils automatisés peuvent effectuer une classification qui définit les données personnelles et les données hautement sensibles en fonction des niveaux de classification des données définis. UNE plateforme qui inclut un moteur de classification peut identifier les magasins de données contenant des données sensibles dans n'importe quel fichier, table ou colonne d'un environnement. Il peut également fournir une protection continue en analysant en permanence l'environnement pour détecter les changements dans le paysage des données. Les nouvelles solutions peuvent identifier les données sensibles et leur emplacement, et appliquer la classification contextuelle nécessaire pour décider de la manière de les protéger.

Exemples de classification des données

La classification des données comme étant restreintes, privées ou publiques est un exemple de classification des données. Tout comme l'identification des niveaux de risque, les données publiques sont les données les moins sensibles et présentent les exigences de sécurité les plus faibles. Les données à accès restreint bénéficient de la classification de sécurité la plus élevée et incluent les données les plus sensibles, telles que les données de santé. Un processus de classification des données efficace inclut également des procédures d'identification et de marquage supplémentaires afin de garantir la protection des données en fonction de leur sensibilité.

Pourquoi la classification des données est importante

Les responsables de la sécurité et des risques ne peuvent protéger les données sensibles et la propriété intellectuelle que s'ils savent que les données existent, où elles se trouvent, pourquoi elles sont précieuses et qui a accès pour les utiliser. La classification des données aide à identifier et à protéger les données de l'entreprise, les données des clients et les données personnelles. L'étiquetage approprié des données aide les organisations à protéger les données et à empêcher toute divulgation non autorisée.

Le General Regulation on Data Protection (GDPR), parmi d'autres réglementations relatives à la confidentialité et à la protection des données, accroit l'importance de la classification des données pour toute organisation qui stocke, transfère ou traite des données. La classification des données permet de s'assurer que tout ce qui est couvert par le RGPD est rapidement identifié, de sorte que mesures de sécurité appropriées sont en place. Le RGPD renforce également la protection des données personnelles liées à l'origine raciale ou ethnique, aux opinions politiques et aux convictions religieuses ou philosophiques, et la classification de ces types de données peut contribuer à réduire le risque de problèmes liés à la conformité.

Les organisations doivent répondre aux exigences des cadres établis, telles que le RGPD, Loi californienne sur la protection de la vie privée des consommateurs (CCPA), Loi sur la portabilité et la responsabilité en matière d'assurance maladie (HIPAA), Norme de sécurité des données du secteur des cartes de paiement (PCI DSS), Loi Gramm-Leach-Bliley (MONDE), Technologies de l'information sanitaire pour la santé économique et clinique (HITECH), entre autres. Pour ce faire, ils doivent évaluer la position des données sensibles structurées et non structurées dans les environnements d'infrastructure en tant que service (IaaS), de plateforme en tant que service (PaaS) et de logiciel en tant que service (SaaS) et contextualiser les risques en termes de sécurité, de confidentialité et d'autres cadres réglementaires.

‍

‍