Recomendações para classificação de dados
Aplica-se à recomendação da lista de verificação de segurança do Azure Well-Architected Framework:
| SE:03 | Classifique e aplique consistentemente rótulos de confidencialidade em todos os dados e sistemas de carga de trabalho envolvidos no processamento de dados. Use a classificação para influenciar o design, a implementação e a priorização de segurança da carga de trabalho. |
|---|
Este guia descreve as recomendações para classificação de dados. A maioria das cargas de trabalho armazena vários tipos de dados. Nem todos os dados são igualmente confidenciais. A classificação de dados ajuda você a categorizar dados com base em seu nível de confidencialidade, tipo de informação e escopo de conformidade para que você possa aplicar o nível correto de proteção. A proteção inclui controles de acesso, políticas de retenção para diferentes tipos de informações e assim por diante. Embora os controles de segurança reais com base na classificação de dados estejam fora do escopo deste artigo, ele fornece recomendações para categorizar dados com base nos critérios anteriores definidos pela sua organização.
Definições
| Termo | Definição |
|---|---|
| classificação | Um processo para categorizar ativos de carga de trabalho por níveis de confidencialidade, tipo de informação, requisitos de conformidade e outros critérios fornecidos pela organização. |
| Metadados | Uma implementação para aplicar taxonomia a ativos. |
| Taxonomia | Um sistema para organizar dados classificados usando uma estrutura acordada. Normalmente, uma representação hierárquica da classificação de dados. Ele nomeou entidades que indicam critérios de categorização. |
Principais estratégias de design
A classificação de dados é um exercício crucial que geralmente impulsiona a criação de um sistema de registro e sua função. A classificação também ajuda você a dimensionar corretamente as garantias de segurança e ajuda a equipe de triagem a expedir a descoberta durante a resposta a incidentes. Um pré-requisito para o processo de design é entender claramente se os dados devem ser tratados como confidenciais, restritos, públicos ou qualquer outra classificação de confidencialidade. Também é essencial determinar os locais onde os dados são armazenados, pois os dados podem ser distribuídos entre vários ambientes.
A descoberta de dados é necessária para localizar os dados. Sem esse conhecimento, a maioria dos designs adota uma abordagem intermediária, que pode ou não atender aos requisitos de segurança. Os dados podem ser superprotegidos, resultando em ineficiências de custo e desempenho. Ou pode não estar protegido o suficiente, o que aumenta a superfície de ataque.
A classificação de dados geralmente é um exercício complicado. Há ferramentas disponíveis que podem descobrir ativos de dados e sugerir classificações. Mas não confie apenas em ferramentas. Tenha um processo em vigor em que os membros da equipe realizem os exercícios diligentemente. Em seguida, use ferramentas para automatizar quando isso for prático.
Juntamente com essas práticas recomendadas, confira Create uma estrutura de classificação de dados bem projetada.
Entender a taxonomia definida pela organização
A taxonomia é uma representação hierárquica da classificação de dados. Ele nomeou entidades que indicam os critérios de categorização.
Em geral, não há um padrão universal para classificação ou para definir a taxonomia. Ela é orientada pela motivação de uma organização para proteger dados. A taxonomia pode capturar requisitos de conformidade, recursos prometidos para os usuários da carga de trabalho ou outros critérios orientados pelas necessidades de negócios.
Aqui estão alguns exemplos de rótulos de classificação para níveis de confidencialidade, tipo de informação e escopo de conformidade.
| Sensibilidade | Tipo de informação | Escopo de conformidade |
|---|---|---|
| Público, Geral, Confidencial, Altamente Confidencial, Secreto, Ultra Secreto, Confidencial | Financeiro, cartão de crédito, nome, informações de contato, credenciais, bancos, rede, SSN, campos de saúde, data de nascimento, propriedade intelectual, dados pessoais | HIPAA, PCI, CCPA, SOX, RTB |
Como proprietário da carga de trabalho, conte com sua organização para fornecer uma taxonomia bem definida. Todas as funções de carga de trabalho devem ter uma compreensão compartilhada da estrutura, da nomenclatura e da definição dos níveis de confidencialidade. Não defina seu próprio sistema de classificação.
Definir o escopo de classificação
A maioria das organizações tem um conjunto diversificado de rótulos.
Identifique claramente quais ativos e componentes de dados estão no escopo e fora do escopo para cada nível de confidencialidade. Você deve ter um objetivo claro sobre o resultado. O objetivo pode ser uma triagem mais rápida, recuperação acelerada de desastres ou auditorias regulatórias. Quando você entende claramente os objetivos, ele garante que você dimensione corretamente seus esforços de classificação.
Comece com essas perguntas simples e expanda conforme necessário com base na complexidade do sistema:
- Qual é a origem do tipo de dados e informações?
- Qual é a restrição esperada com base no acesso? Por exemplo, são dados de informações públicas, regulatórios ou outros casos de uso esperados?
- Qual é o volume de dados? Onde os dados estão armazenados? Por quanto tempo os dados devem ser retidos?
- Quais componentes da arquitetura interagem com os dados?
- Como os dados se movem pelo sistema?
- Quais informações são esperadas nos relatórios de auditoria?
- Você precisa classificar os dados de pré-produção?
Faça o inventário de seus armazenamentos de dados
Se você tiver um sistema existente, faça o inventário de todos os armazenamentos de dados e componentes que estão no escopo. Por outro lado, se você estiver projetando um novo sistema, crie uma dimensão de fluxo de dados da arquitetura e tenha uma categorização inicial por definições de taxonomia. A classificação se aplica ao sistema como um todo. É diferente da classificação de segredos de configuração e não seguros.
Definir seu escopo
Seja granular e explícito ao definir o escopo. Suponha que o armazenamento de dados seja um sistema tabular. Você deseja classificar a confidencialidade no nível da tabela ou até mesmo nas colunas dentro da tabela. Além disso, certifique-se de estender a classificação para componentes do repositório nondata que podem estar relacionados ou ter uma parte no processamento dos dados. Por exemplo, você classificou o backup de seu armazenamento de dados altamente confidencial? Se você estiver armazenando dados confidenciais do usuário em cache, o armazenamento de dados de cache está no escopo? Se você usar armazenamentos de dados analíticos, como os dados agregados são classificados?
Projetar de acordo com os rótulos de classificação
A classificação deve influenciar suas decisões arquitetônicas. A área mais óbvia é sua estratégia de segmentação, que deve considerar os rótulos de classificação variados.
Por exemplo, os rótulos influenciam os limites de isolamento de tráfego. Pode haver fluxos críticos em que a TLS (segurança da camada de transporte) de ponta a ponta é necessária, enquanto outros pacotes podem ser enviados por HTTP. Se houver mensagens transmitidas por um agente de mensagens, determinadas mensagens poderão precisar ser assinadas.
Para dados inativos, os níveis afetarão as opções de criptografia. Você pode optar por proteger dados altamente confidenciais por meio de criptografia dupla. Diferentes segredos do aplicativo podem até mesmo exigir controle com níveis variados de proteção. Você pode justificar o armazenamento de segredos em um repositório de HSM (módulo de segurança de hardware), que oferece restrições mais altas. Os rótulos de conformidade também determinam decisões sobre os padrões de proteção corretos. Por exemplo, o padrão PCI-DSS exige o uso da proteção FIPS 140-2 Nível 3, que está disponível apenas com HSMs. Em outros casos, pode ser aceitável que outros segredos sejam armazenados em um repositório de gerenciamento de segredos regular.
Se você precisar proteger os dados em uso, convém incorporar a computação confidencial na arquitetura.
As informações de classificação devem ser movidas com os dados à medida que fazem a transição pelo sistema e entre componentes da carga de trabalho. Os dados rotulados como confidenciais devem ser tratados como confidenciais por todos os componentes que interagem com eles. Por exemplo, certifique-se de proteger dados pessoais removendo-os ou ofuscando-os de qualquer tipo de logs de aplicativo.
A classificação afeta o design do relatório na forma como os dados devem ser expostos. Por exemplo, com base em seus rótulos de tipo de informação, você precisa aplicar um algoritmo de mascaramento de dados para ofuscação como resultado do rótulo de tipo de informação? Quais funções devem ter visibilidade dos dados brutos versus dados mascarados? Se houver algum requisito de conformidade para relatórios, como os dados são mapeados para regulamentos e padrões? Quando você tem esse entendimento, é mais fácil demonstrar a conformidade com requisitos específicos e gerar relatórios para auditores.
Também afeta as operações de gerenciamento do ciclo de vida de dados, como agendamentos de retenção e descomissionamento de dados.
Aplicar taxonomia para consulta
Há muitas maneiras de aplicar rótulos de taxonomia aos dados identificados. Usar um esquema de classificação com metadados é a maneira mais comum de indicar os rótulos. A padronização por meio do esquema garante que o relatório seja preciso, minimiza as chances de variação e evita a criação de consultas personalizadas. Crie verificações automatizadas para capturar entradas inválidas.
Você pode aplicar rótulos manualmente, programaticamente ou usar uma combinação de ambos. O processo de design de arquitetura deve incluir o design do esquema. Se você tiver um sistema existente ou estiver criando um novo, ao aplicar rótulos, mantenha a consistência nos pares chave/valor.
Tenha em mente que nem todos os dados podem ser claramente classificados. Tome uma decisão explícita sobre como os dados que não podem ser classificados devem ser representados nos relatórios.
A implementação real depende do tipo de recursos. Determinados recursos do Azure têm sistemas de classificação internos. Por exemplo, SQL do Azure Server tem um mecanismo de classificação, dá suporte a mascaramento dinâmico e pode gerar relatórios com base em metadados. Barramento de Serviço do Azure dá suporte à inclusão de um esquema de mensagem que pode ter metadados anexados. Ao projetar sua implementação, avalie os recursos compatíveis com a plataforma e aproveite-os. Verifique se os metadados usados para classificação são isolados e armazenados separadamente dos armazenamentos de dados.
Também há ferramentas de classificação especializadas que podem detectar e aplicar rótulos automaticamente. Essas ferramentas estão conectadas às fontes de dados. O Microsoft Purview tem recursos de descoberta automática. Também há ferramentas de terceiros que oferecem recursos semelhantes. O processo de descoberta deve ser validado por meio da verificação manual.
Examine a classificação de dados regularmente. A manutenção de classificação deve ser integrada a operações, caso contrário, metadados obsoletos podem levar a resultados incorretos para os objetivos identificados e problemas de conformidade.
Compensação: esteja atento à compensação de custos na ferramenta. As ferramentas de classificação exigem treinamento e podem ser complexas.
Por fim, a classificação deve ser revertida para a organização por meio de equipes centrais. Obtenha informações deles sobre a estrutura de relatório esperada. Além disso, aproveite as ferramentas e os processos centralizados para ter alinhamento organizacional e também aliviar os custos operacionais.
Facilitação do Azure
O Microsoft Purview unifica as soluções do Azure Purview e do Microsoft Purview para fornecer visibilidade dos ativos de dados em toda a sua organização. Para obter mais informações, consulte O que é o Microsoft Purview?
SQL do Azure banco de dados, Instância Gerenciada de SQL do Azure e Azure Synapse Analytics oferecem recursos de classificação internos. Use essas ferramentas para descobrir, classificar, rotular e relatar os dados confidenciais em seus bancos de dados. Para obter mais informações, consulte Descoberta e classificação de dados.
Exemplo
Este exemplo se baseia no ambiente de TI (Tecnologia da Informação) estabelecido na linha de base de segurança (SE:01). O diagrama de exemplo abaixo mostra os armazenamentos de dados em que os dados são classificados.
Os dados armazenados em bancos de dados e discos só devem ser acessíveis para alguns usuários, como administradores, administradores de banco de dados. Em seguida, é comum que usuários comuns ou clientes finais tenham acesso somente a camadas expostas à Internet, como aplicativos ou jump boxes.
Os aplicativos se comunicam com os bancos de dados ou dados armazenados em discos, como o armazenamento de objetos ou servidores de arquivos.
Em alguns casos, os dados podem ser armazenados em um ambiente local e na nuvem pública. Ambos precisam ser classificados de forma consistente.
Em um caso de uso do operador, os administradores remotos precisam acessar jump boxes na nuvem ou em uma máquina virtual executando a carga de trabalho. As permissões de acesso devem ser fornecidas de acordo com os rótulos de classificação de dados.
Os dados são movidos pelas máquinas virtuais para os bancos de dados de back-end e os dados devem ser tratados com o mesmo nível de confidencialidade em todos os pontos de passagem.
As cargas de trabalho armazenam dados diretamente em discos de máquina virtual. Esses discos estão no escopo da classificação.
Em um ambiente híbrido, diferentes personas podem acessar cargas de trabalho locais por meio de diferentes mecanismos para se conectar a diferentes tecnologias ou bancos de dados de armazenamento de dados. O acesso deve ser concedido de acordo com os rótulos de classificação.
Os servidores locais se conectam a dados importantes que precisam ser classificados e protegidos, como servidores de arquivos, armazenamento de objetos e diferentes tipos de bancos de dados, como relacional, sem SQL e data warehouse.
A Conformidade do Microsoft Purview fornece uma solução para classificar arquivos e emails.
Microsoft Defender for Cloud fornece uma solução que ajuda sua empresa a acompanhar a conformidade em seu ambiente, incluindo muitos de seus serviços usados para armazenar dados, mencionados nestes casos se acima.
Links relacionados
- Classificação de dados e taxonomia de rótulo de confidencialidade – Microsoft Service Assurance
- Create uma estrutura de classificação de dados bem projetada – Microsoft Service Assurance
Próxima etapa
Consulte o conjunto completo de recomendações.