資料分類的建議
適用於 Power Platform Well-Architected Security 檢查清單建議：
| 東南：03 | 對資料處理中涉及的所有工作負載資料和系統進行分類，並統一套用敏感度標籤。 使用分類來影響工作負載設計、實作和安全性優先順序。 |
|---|
本指南提供根據資料敏感度對其進行分類的建議。 不同類型的資料具有不同的敏感度，大多數工作負載會儲存各種類型的資料。 資料分類可協助您您按資料的敏感程度、包含的資訊類型以及需要遵循的合規性規則，對資料進行分類。 這樣的話，您就可以套用適當的保護等級，例如存取控制、不同資訊類型的保留原則等。
定義
| 詞彙 | 定義 |
|---|---|
| 分類 | 按敏感度等級、資訊類型、合規性要求和組織提供的其他條件對工作負載資產進行分類的過程。 |
| 中繼資料 | 實施將分類套用至資產。 |
| 分類 | 使用商定的結構組織來分類資料的系統。 一般來說，資料分類會有階層式描述。 它已命名能指出分類標準的實體。 |
關鍵設計原則
資料分類可協助你正確地確定安全性保證的規模，並幫助分類團隊在事件回應期間加快發現速度。 設計過程的先決條件是清楚地了解資料是否應被視為機密、受限、公用或任何其他敏感度分類標準。 確定儲存資料的位置也很重要，因為資料可能分發在多個環境中。 了解資料的儲存位置後，您便可以設計符合安全性要求的原則。
對資料進行分類可能是一項繁瑣的工作。 您可以使用可查找資料資產並推薦分類的工具。 但不要僅依賴工具。 請確保您的團隊成員仔細進行練習。 然後在有意義的情況下使用工具實現自動化。
除了這些最佳做法外，請參閱建立設計良好的資料分類框架。
了解組織定義的分類
分類法 是數據分類的分層描述。 它已命名能指出分類標準的實體。
不同的組織可能會有不同的資料分類框架；但是，它們通常由三到五個等級組成，其中包含名稱、描述和範例。 下面是一些資料類別分類範例：
| 敏感度 | 資訊類型 | Description |
|---|---|---|
| 公開 | 公用行銷材料、在您網站上提供的資訊 | 可自由存取且不敏感的資訊 |
| 內部 | 與您的組織相關的原則、程序或預算 | 與特定組織相關的資訊 |
| 機密 | 營業秘密、客戶資料或最終記錄 | 敏感且需要保護的資訊 |
| 高度機密 | 敏感性個人識別資訊 (敏感 PII)、持卡人資料、受保護的健康資訊 (PHI)、銀行賬戶資料 | 高度敏感且需要最高等級安全性的資訊。 如果外洩或以其他方式披露，可能會要求法律通知。 |
重要
作為工作負載負責人，應遵循組織已建立的分類。 所有工作負載角色都應同意敏感度等級的結構、名稱和含義。 不要建立自己的分類系統。
定義分類範圍
大多數的組織都有一組不同的標籤。
請確認您知道哪些資料資產和元件屬於 (或不屬於) 各敏感度等級。 目標可能是更快速的故障排除、災害恢復或法律稽核。 當您非常了解自己的目標時，它可以協助您正確完成分類工作。
從這些簡單的問題開始，然後根據您的系統複雜性視需要進行擴展：
- 資料和資訊類型的起源是什麼？
- 基於存取權的預期限制是什麼？ 例如，是公用資訊資料、監管還是其他預期用例？
- 什麼是資料磁碟使用量？ 資料儲存在何處？ 資料應保留多長時間？
- 體系結構的哪些元件與資料互動？
- 資料如何在系統中移動？
- 稽核報告中應包含哪些資訊？
- 是否需要對預生產資料進行分類？
清點資料存放區
資料分類適用於整個系統。 清點範圍內的所有資料存放區和元件。 如果要設計新系統，請務必對每個分類定義進行初始分類。 考慮資料如何在您系統中的元件間流通，並確定資料不會跨越資料分類界線。
請思考如何連接到資料：
新數據：如果您的工作負載生成了以前未存儲在任何地方的新數據 (例如，從基於紙張的流程過渡時)，我們建議將此數據存儲在其中 Microsoft Dataverse。 然後 ，您可以通過 Purview Microsoft Dataverse 連線和管理 Microsoft 數據。
從現有系統讀/寫：如果您的工作負載需要連線已經存在的數據，則需要設計如何對現有資料庫或系統進行讀寫。 您可以使用虛擬表格、透過連接器連接、資料流程或使用內部部署資料的內部部署閘道。
定義您的範圍
定義範圍時要精細和明確。 假設您的資料存放區是個表格系統。 您希望在表格等級甚至表格中的資料行對敏感度進行分類。 此外，請務必將分類擴展到可能相關或參與資料處理的非資料存放區元件。 例如，您是否對高度敏感資料存放區的備份進行了分類？ 如果要快取使用者敏感資料，則快取資料存放區是否在範圍內？ 如果您使用分析資料存放區，如何對彙總的資料進行分類？
根據分類標籤進行設計
分類應影響您的體系結構決策。 最明顯的領域是細分原則，它應該考慮不同的分類標籤。
分類資訊在數據在系統和 工作負載元件之間轉換時應隨數據一起移動。 標記為機密的資料應被與其互動的所有元件視為機密資料。 例如，請務必透過從任何類型的應用程式紀錄檔中移除或代碼混淆處理個人資料來保護個人資料。
分類會影響報表 的設計，就像數據的公開方式一樣。 例如，根據您的資訊類型標籤，您是否需要套用資料遮罩演算法進行代碼混淆處理作為資訊類型標籤的結果？ 哪些角色應看到未經處理資料或遮罩的資料？ 如果報告有任何合規性要求，資料如何對應到法規和標準？ 當您了解這些後，就更容易演示符合特定要求的合規性，並為稽核員產生報告。
它也會影響資料生命週期管理作業，例如資料保留和停用排程。
套用分類進行查詢
有許多方法可以將分類標籤套用於識別的資料。 將分類結構描述與中繼資料一起使用是指明標籤的最常見方法。 體系結構設計過程應包括結構描述的設計。
請記住，並非所有資料都可以明確分類。 請明確決定在報告中應如何表示無法分類的資料。
實際的實作取決於資源類型。 由您的 Power Platform 工作負載使用的資料可能來自 Power Platform 之外的資料來源。 結構描述應包含來自不同資料來源的資料如何在工作負載中移動，或可能從一個資料存放區傳輸到另一個但同時保持分類完整性的詳細資訊。
某些 Azure 資源具有內建的分類系統。 例如，Azure SQL Server 具有分類引擎，支援動態遮罩，並且可以基於中繼資料產生報告。 Microsoft Teams、Microsoft 365 群組和 SharePoint 網站可在容器等級套用敏感度標籤。 Microsoft Dataverse 與 Microsoft Purview 集成以應用數據標籤。
在設計實作時，請評估平台支援的功能並利用它們。 請確保用於分類的中繼資料是隔離的，且未儲存於資料存放區。
還有一些專門的分類工具可以自動偵測和套用標籤。 這些工具已連接到資料來源。 Microsoft Purview 具有自動發現功能。 也有提供類似功能的第三方工具。 應透過手動驗證來驗證發現過程。
定期查看數據分類。 分類維護應內建到作業中，否則過時的中繼資料可能會導致已確定的目標和合規性問題出現錯誤的結果。
權衡：注意工具的成本權衡。 分類工具需要培訓，而且可能很複雜。
最終，分類必須透過中心團隊匯總到組織。 從他們那裡獲取有關預期報告結構的輸入。 此外，利用集中式工具和流程實現組織一致性，並降低營運成本。
Power Platform 便利
分類應影響您的體系結構決策。
Microsoft Purview 提供對整個組織數據資產的可見性。 有關詳細資訊，請參閱 瞭解 Microsoft Purview。
Microsoft Purview Data Map 支援自動數據發現和敏感數據分類。 Purview 和 Microsoft 之間的 Microsoft Dataverse 集成將説明您更好地瞭解和管理業務應用程式數據資產，保護這些數據，並改善其風險和合規性狀況。
藉由此整合，您可以：
- 在 365 Microsoft Dynamics 和 Purview 支援 Power Platform的其他來源中創建整體、最新的數據映射 Microsoft 。
- 根據內建系統分類或使用者自訂分類自動對資料資產進行分類，以幫助找出和了解敏感資料。
- 使資料消費者能夠發現有價值、值得信賴的資料。
- 使資料管理者和安全性系統管理員能夠管理和保護資料資產安全、減少資料洩露並更佳地保護敏感資料。
有關詳細資訊，請參閱 連線 Purview Microsoft Dataverse 中 Microsoft 和管理。
組織一致性
雲端採用架構為中心團隊提供了有關如何對資料進行分類的指引，以便工作負載團隊可以遵循組織分類。
如需詳細資訊，請參閱什麼是資料分類？
相關資訊
安全性檢查清單
請參閱完整的建議集。