探索数据分类
如果敏感数据被盗、无意中被共享或因泄露而公开，则公司将面临重大风险。 风险因素包括声誉损失、财务影响和丧失竞争优势。 保护企业管理的数据和信息是所有组织的重中之重。 但是，鉴于其维护的内容量，有些组织可能发现很难了解他们的工作是否真正有效。
除了数量，组织内容的重要性可能从高度敏感和有影响到普通和暂时性不等。 而且，还可能需要遵守各种法规合规性要求。 知道什么是优先事项以及应在哪里施加控制可能是一项挑战。
组织可通过实施数据分类来解决这些问题。 数据分类是网络安全和数据生命周期管理领域的专用术语。 它描述了根据内容的敏感度或影响级别识别、分类和保护内容的过程。 从最基本的形式来看，数据分类是一种保护组织数据免受未经授权的披露、更改或破坏的手段，其依据是数据的敏感度或影响力。
组织通过多种方式对数据进行分类，包括：
- 敏感度标签
- 保留标签
- 敏感信息类型
- 可训练的分类器
什么是数据分类框架？
组织通常会在正式的企业级政策中编纂数据分类框架（有时称为“数据分类政策”）。 数据分类框架通常由三到五个分类级别组成。 这些级别通常包括三个元素：名称、说明和真实示例。
Microsoft 建议使用不超过五个顶级父标签，每个标签最多包含 5 个子标签（总共 25 个），以确保用户界面 (UI) 便于管理。 UI 通常按从最不敏感到最敏感的顺序排列各个级别，例如：
- 公共
- 内部
- 机密
- 高度机密
你可能会遇到的其他级别名称变体包括：
- 受限
- 无限制
- 使用者保护
Microsoft 建议使用自描述性的标签名称。 它们还应该清楚地强调他们的相对敏感度。 例如，“机密”和“受限”可能会让用户猜测哪个标签合适。 相比之下，“机密”和“高度机密”则更明确地表述了哪一个更敏感。
下表显示了“高度机密”数据分类框架级别的示例：
| 分类级别 | 说明 | 示例 |
|---|---|---|
| 高度机密 | 高度机密数据是由企业存储或管理的最敏感的数据类型，如果泄露或因其他原因披露，可能需要法律通知。 受限数据需要最高级别的控制和安全性。 组织必须将访问限制在“需要知道”的基础上。 |
- 个人用户信息 - 持卡人数据 - 受保护健康信息 (PHI) - 银行帐户数据 |
提示
Microsoft 的公司数据分类框架最初使用了一个名为“内部”的类别和标签。 但是，在试点阶段，公司发现有正当理由在外部共享某些文档。 因此，公司转而使用标签“常规”，而不是“内部”。
数据分类框架的另一个重要组成部分是与每个级别关联的控制措施。 数据分类级别本身便是指示内容的价值或敏感度的标签（或标记）。 为了保护相应内容，数据分类框架定义了应为每个数据分类级别提供的控制措施。 这些控制措施可能包括以下相关要求：
- 存储类型和位置
- 加密
- 访问控制
- 数据销毁
- 数据丢失防护
- 公开披露
- 日志记录和跟踪访问
- 其他控制目标（根据需要）
组织的安全控制措施因数据分类级别而异。 例如：
- 组织框架中定义的保护措施可能会随着内容的敏感度增加而相应增加。
- 数据存储控制要求可能因使用的介质和应用于给定内容的分类级别而异。
下表显示了针对特定存储类型的数据分类控制措施示例。
| 存储类型 | 机密 | 内部 | 无限制 |
|---|---|---|---|
| 可移动存储 | 禁止 | 除非已加密，否则禁止 | 无需任何控制措施 |
在现实生活中，正确应用适当级别的数据分类可能比较复杂。 因此，它有时可能会使最终用户不堪重负。 并不是组织创建了定义所需数据分类级别的政策或标准，该过程就结束了。 相反，指导最终用户如何在日常工作中践行此框架也非常重要。 因此，我们需要用到数据分类处理规则或准则。
数据分类处理准则将为最终用户提供有关如何针对不同存储媒介在整个生命周期内适当处理每个级别的数据的具体指导。 这些准则还将帮助最终用户在实践中正确应用规则。 例如，在不同平台和组织之间共享文档、发送电子邮件或协作时。
Microsoft 客户表示，大约 50% 的信息保护项目侧重于业务，而不是技术。 因此，最终用户培训和沟通对于取得成功至关重要。
创建精心设计的数据分类框架
组织在开发、修改或优化其数据分类框架时，应考虑以下最佳做法：
不要指望一蹴而就。 Microsoft 建议使用循序渐进的方法。 对于对组织至关重要的功能，应优先处理并确定其时间线。 先完成第一步，确保其成功，然后再转到下一阶段，应用学到的经验教训。 请记住，设计数据分类框架并不能消除组织面临的风险。 因此，可以先仅使用寥寥几个分类级别，然后根据需要进行扩展。
编撰的框架并非仅仅面向网络安全专业人员。 数据分类框架将面向广泛的受众。 这可能包括普通员工、法律和合规团队以及 IT 团队。 请务必为数据分类级别编写清晰、易于理解的定义， 并尽可能提供实际示例。 尽量避免使用行话，并考虑提供针对首字母缩略词和高度技术性术语的术语表。
实现数据分类框架。 对于组织而言，仅仅设计数据分类框架是不够的。 为了取得成功，组织还必须实施这些框架。 在为每个数据分类级别制定控制要求时，这一点尤其重要。 请确保明确定义要求。 你还应预测并解决在实现过程中可能出现的任何歧义。 例如，如果你制定了针对个人客户信息（例如社会保障或护照号码）的控制措施，请确保准确说明该控制措施的含义。
仅在需要时进行精细化。 数据分类框架通常包含 3-5 个数据分类级别。 能包含五个并不意味着就应该包含五个。 在确定所需的分类级别数时，请考虑以下条件：
- 你所在的行业和相关的监管义务（高度监管的行业往往需要更多的分类级别）。
- 维护更复杂的框架所需的运营开销。
- 你的用户及其遵守与更多分类级别相关的更高复杂性和细微差别的能力。
- 寻求跨多个设备类型应用手动分类时的用户体验和易用性。
让合适的人员参与其中。 让资深利益干系人参与进行对于成功至关重要。 在没有高级管理人员支持的情况下，许多项目都难以启动或将花费更长时间。 数据分类框架通常由信息技术团队负责。 但是，它们可能具有法律、合规性、隐私和变更管理方面的影响。 组织必须确保其创建的框架有助于保护其业务。 为此，必须在制定政策时包括隐私和法律利益干系人。 例如，公司的首席隐私官和法律总顾问室。 如果你的组织有合规性部门、数据生命周期管理专业人员或记录管理团队，他们可能也能提供有价值的意见。 在将框架推广到业务中时，通信部门在内部消息传送和采用方面也起着关键作用。
在安全性与便利性之间进行平衡。 一个常见的错误是起草一个安全但过于严格的数据分类框架。 虽然组织会在定义这种类型的框架时考虑安全性，但在实现此类框架时却通常会很困难。 如果用户必须遵循复杂、严格且耗时的过程来在日常生活中应用该框架，那么他们总有一天会不再相信其价值。 当发生这种情况时，用户通常会停止执行以下过程。 这种风险存在于组织的所有级别，包括组织内的高管层。 安全性与便利性之间的良好平衡以及易于使用的工具通常会导致更广泛的用户采用和使用。 如果框架中存在不足之处，不要等到一切完美之后再开始实施。 相反，请评估风险或不足之处，制定缓解计划，并继续向后推进。 请记住，信息保护是一个不断改进的过程， 欲速则不达。 你需要规划、实现某些功能，确认成功，然后随着工具的发展以及用户的成熟和经验积累迭代到下一个里程碑。
此外，请记住，数据分类框架仅定义组织应该采取哪些措施来保护敏感数据。 数据分类框架通常包括数据处理规则或准则，它们从技术角度定义了如何实施这些政策。
创建数据分类框架的难点
从本质上说，数据分类工作具有广泛的影响力。 它们涉及企业内的几乎所有业务职能。 由于这种广泛性和在现代数字环境中管理内容的复杂性，公司经常在了解以下内容方面面临挑战：
- 从何处开始。
- 如何做到成功实施。
- 如何衡量其进度。
组织经常在以下情况下遇到常见痛点：
- 设计可靠且易于理解的数据分类框架。 这样做时，组织必须确定分类级别和关联的安全控制措施。
- 制定实施计划。 组织必须确认适当的技术解决方案，使计划与现有业务流程保持一致，并确定其对员工的影响。
- 在所选技术解决方案中设置数据分类框架。
- 解决工具的技术功能与框架本身之间的任何差距。
- 建立治理结构。 此结构必须监督数据分类工作的持续维护和运行状况。
- 确定用于监视和衡量进度的特定关键绩效指标 (KPI)。
- 提高对数据分类政策的认识和理解、它们为何重要以及如何遵守它们。
- 遵循针对数据丢失和网络安全控制措施的内部审核审查。
- 培训并让用户参与进行。 用户必须意识到在日常工作中进行正确分类的必要性。 他们还必须了解何时应用正确的分类措施。
治理和维护
在组织制定并实施其数据分类框架后，后续治理和维护对其成功至关重要。 除了跟踪其用户在实践中使用敏感度标签的情况之外，组织还必须根据法规的变化、网络安全领先做法及其管理的内容的性质来更新其控制要求。
治理和维护工作可能包括：
- 建立一个专门负责数据分类的治理机构，或在现有信息安全机构的章程中增加数据分类责任。
- 为监督数据分类的用户定义角色和职责。
- 建立用于监视和衡量进度的 KPI。
- 跟踪网络安全领先做法和法规更改。
- 制定标准操作过程。 这些过程必须支持并强制实施数据分类框架。
知识检查
为以下每个问题选择最佳答案。