Strategie di architettura per la classificazione dei dati

Si applica alla raccomandazione dell'elenco di controllo per la sicurezza di Azure Well-Architected Framework:

Questa guida descrive le raccomandazioni per la classificazione dei dati. La maggior parte dei carichi di lavoro archivia vari tipi di dati. Non tutti i dati sono ugualmente sensibili. La classificazione dei dati consente di classificare i dati in base al livello di riservatezza, al tipo di informazioni e all'ambito di conformità, in modo da poter applicare il livello di protezione corretto. La protezione include controlli di accesso, criteri di conservazione per diversi tipi di informazioni e così via. Anche se i controlli di sicurezza effettivi basati sulla classificazione dei dati non rientrano nell'ambito di questo articolo, fornisce raccomandazioni per la categorizzazione dei dati in base ai criteri precedenti impostati dall'organizzazione.

Definizioni

La classificazione dei dati è un esercizio fondamentale che spesso determina la creazione di un sistema di record e la relativa funzione. La classificazione consente anche di ridimensionare correttamente le garanzie di sicurezza e di aiutare il team di valutazione ad accelerare l'individuazione durante la risposta agli eventi imprevisti. Un prerequisito per il processo di progettazione consiste nel comprendere chiaramente se i dati devono essere considerati riservati, limitati, pubblici o qualsiasi altra classificazione di riservatezza. È anche essenziale determinare le posizioni in cui vengono archiviati i dati, perché i dati potrebbero essere distribuiti in più ambienti.

L'individuazione dei dati è necessaria per individuare i dati. Senza tale conoscenza, la maggior parte dei progetti adotta un approccio intermedio, che potrebbe o non soddisfare i requisiti di sicurezza. I dati possono essere sovraprotetti, con conseguente inefficienze in termini di costi e prestazioni. Oppure potrebbe non essere abbastanza protetto, che aggiunge alla superficie di attacco.

La classificazione dei dati è spesso un esercizio complesso. Sono disponibili strumenti che consentono di individuare gli asset di dati e suggerire classificazioni. Ma non si basano solo sugli strumenti. Avere un processo in cui i membri del team eseguono diligentemente gli esercizi. Usare quindi gli strumenti per automatizzare quando questo è pratico.

Oltre a queste procedure consigliate, vedere Creare un framework di classificazione dei dati ben progettato.

Informazioni sulla tassonomia definita dall'organizzazione

La tassonomia è una rappresentazione gerarchica della classificazione dei dati. Contiene entità denominate che indicano i criteri di categorizzazione.

In generale, non esiste uno standard universale per la classificazione o per la definizione della tassonomia. È basata sulla motivazione di un'organizzazione per la protezione dei dati. La tassonomia potrebbe acquisire i requisiti di conformità, le funzionalità promesse per gli utenti del carico di lavoro o altri criteri basati sulle esigenze aziendali.

Ecco alcuni esempi di etichette di classificazione per livelli di riservatezza, tipo di informazioni e ambito di conformità.

In qualità di proprietario del carico di lavoro, affidarsi all'organizzazione per fornire una tassonomia ben definita. Tutti i ruoli del carico di lavoro devono avere una conoscenza condivisa della struttura, della terminologia e della definizione dei livelli di riservatezza. Non definire il proprio sistema di classificazione.

Definire l'ambito di classificazione

La maggior parte delle organizzazioni ha un set diversificato di etichette.

Identificare chiaramente gli asset di dati e i componenti inclusi nell'ambito e nell'ambito esterno per ogni livello di riservatezza. Si dovrebbe avere un obiettivo chiaro sul risultato. L'obiettivo potrebbe essere una valutazione più rapida, un ripristino di emergenza accelerato o controlli normativi. Quando si comprendono chiaramente gli obiettivi, si garantisce una corretta dimensione delle attività di classificazione.

Iniziare con queste semplici domande ed espandersi in base alla complessità del sistema:

• Qual è l'origine dei dati e del tipo di informazioni?
• Qual è la restrizione prevista in base all'accesso? Ad esempio, si tratta di dati informativi pubblici, normative o altri casi d'uso previsti?
• Qual è il footprint dei dati? Dove vengono archiviati i dati? Quanto tempo devono essere conservati i dati?
• Quali componenti dell'architettura interagiscono con i dati?
• In che modo i dati vengono spostati nel sistema?
• Quali informazioni sono previste nei report di controllo?
• È necessario classificare i dati di preproduzione?

Eseguire l'inventario degli archivi dati

Se si dispone di un sistema esistente, eseguire l'inventario di tutti gli archivi dati e i componenti inclusi nell'ambito. D'altra parte, se si progetta un nuovo sistema, creare una dimensione del flusso di dati dell'architettura e avere una categorizzazione iniziale per ogni definizione di tassonomia. La classificazione si applica al sistema nel suo complesso. È diversa dalla classificazione dei segreti di configurazione e dei nonsecret.

Definire l'ambito

Essere granulari ed espliciti quando si definisce l'ambito. Si supponga che l'archivio dati sia un sistema tabulare. Si vuole classificare la riservatezza a livello di tabella o anche le colonne all'interno della tabella. Assicurarsi inoltre di estendere la classificazione ai componenti dell'archivio dati che potrebbero essere correlati o che hanno una parte nell'elaborazione dei dati. Ad esempio, è stato classificato il backup dell'archivio dati altamente sensibile? Se si memorizzano nella cache i dati sensibili agli utenti, l'archivio dati di memorizzazione nella cache è nell'ambito? Se si usano archivi dati analitici, come vengono classificati i dati aggregati?

Progettare in base alle etichette di classificazione

La classificazione deve influenzare le decisioni relative all'architettura. L'area più ovvia è la strategia di segmentazione, che dovrebbe considerare le diverse etichette di classificazione.

Ad esempio, le etichette influenzano i limiti di isolamento del traffico. Potrebbero esserci flussi critici in cui è necessaria la sicurezza tls (Transport Layer Security) end-to-end, mentre altri pacchetti possono essere inviati tramite HTTP. Se sono presenti messaggi trasmessi tramite un broker di messaggi, potrebbe essere necessario firmare determinati messaggi.

Per i dati inattivi, i livelli influiscono sulle scelte di crittografia. È possibile scegliere di proteggere i dati altamente sensibili tramite la doppia crittografia. Diversi segreti dell'applicazione potrebbero anche richiedere il controllo con diversi livelli di protezione. Potrebbe essere possibile giustificare l'archiviazione dei segreti in un archivio HSM (Hardware Security Module), che offre restrizioni più elevate. Le etichette di conformità determinano anche decisioni relative agli standard di protezione corretti. Ad esempio, lo standard PCI-DSS impone l'uso della protezione FIPS 140-2 Livello 3, disponibile solo con moduli di protezione hardware. In altri casi, potrebbe essere accettabile archiviare altri segreti in un archivio di gestione dei segreti normale.

Se è necessario proteggere i dati in uso, potrebbe essere necessario incorporare confidential computing nell'architettura.

Le informazioni di classificazione devono essere spostate con i dati durante la transizione attraverso il sistema e tra i componenti del carico di lavoro. I dati etichettati come riservati devono essere considerati riservati da tutti i componenti che interagiscono con esso. Ad esempio, assicurarsi di proteggere i dati personali rimuovendoli o offuscandoli da qualsiasi tipo di log applicazioni.

La classificazione influisce sulla progettazione del report nel modo in cui i dati devono essere esposti. Ad esempio, in base alle etichette dei tipi di informazioni, è necessario applicare un algoritmo di maschera dati per offuscare in seguito all'etichetta del tipo di informazioni? Quali ruoli devono avere visibilità sui dati non elaborati rispetto ai dati mascherati? Se sono presenti requisiti di conformità per la creazione di report, come vengono mappati i dati alle normative e agli standard? Quando si ha questa conoscenza, è più semplice dimostrare la conformità con requisiti specifici e generare report per i revisori.

Influisce anche sulle operazioni di gestione del ciclo di vita dei dati, ad esempio la conservazione dei dati e le pianificazioni di rimozione delle autorizzazioni.

Applicare la tassonomia per l'esecuzione di query

Esistono molti modi per applicare etichette di tassonomia ai dati identificati. L'uso di uno schema di classificazione con i metadati è il modo più comune per indicare le etichette. La standardizzazione tramite schema garantisce che la creazione di report sia accurata, riduce al minimo le probabilità di variazione ed evita la creazione di query personalizzate. Compilare controlli automatizzati per rilevare voci non valide.

È possibile applicare le etichette manualmente, a livello di codice o usare una combinazione di entrambe. Il processo di progettazione dell'architettura deve includere la progettazione dello schema. Se si dispone di un sistema esistente o se ne crea uno nuovo, quando si applicano etichette, mantenere la coerenza nelle coppie chiave/valore.

Tenere presente che non tutti i dati possono essere classificati in modo chiaro. Prendere una decisione esplicita sul modo in cui i dati che non possono essere classificati devono essere rappresentati nei report.

L'implementazione effettiva dipende dal tipo di risorse. Alcune risorse di Azure hanno sistemi di classificazione predefiniti. Ad esempio, Azure SQL Server dispone di un motore di classificazione, supporta la maschera dinamica e può generare report in base ai metadati. Il bus di servizio di Azure supporta l'inclusione di uno schema di messaggi che può avere metadati allegati. Quando si progetta l'implementazione, valutare le funzionalità supportate dalla piattaforma e sfruttarle. Assicurarsi che i metadati usati per la classificazione siano isolati e archiviati separatamente dagli archivi dati.

Sono disponibili anche strumenti di classificazione specializzati in grado di rilevare e applicare automaticamente le etichette. Questi strumenti sono connessi alle origini dati. Microsoft Purview offre funzionalità di individuazione automatica. Sono disponibili anche strumenti di terze parti che offrono funzionalità simili. Il processo di individuazione deve essere convalidato tramite la verifica manuale.

Esaminare regolarmente la classificazione dei dati. La manutenzione della classificazione deve essere integrata nelle operazioni. In caso contrario, i metadati non aggiornati possono causare risultati errati per gli obiettivi identificati e i problemi di conformità.

Compromesso: tenere presente il compromesso sui costi sugli strumenti. Gli strumenti di classificazione richiedono training e possono essere complessi.

In definitiva, la classificazione deve essere implementata nell'organizzazione tramite team centrali. Ottenere l'input da essi sulla struttura del report prevista. Inoltre, sfruttare gli strumenti e i processi centralizzati per avere l'allineamento dell'organizzazione e ridurre anche i costi operativi.

Facilitazione di Azure

Microsoft Purview unifica le soluzioni Azure Purview e Microsoft Purview per offrire visibilità sugli asset di dati in tutta l'organizzazione. Per altre informazioni, vedere Che cos'è Microsoft Purview?

Il database SQL di Azure, l'istanza gestita di SQL di Azure e Azure Synapse Analytics offrono funzionalità di classificazione predefinite. Usare questi strumenti per individuare, classificare, etichettare e segnalare i dati sensibili nei database. Per altre informazioni, vedere Individuazione e classificazione dei dati.

Example

Questo esempio si basa sull'ambiente IT (Information Technology) stabilito nella baseline di sicurezza (SE:01). Il diagramma di esempio seguente mostra gli archivi dati in cui vengono classificati i dati.

1. I dati archiviati in database e dischi devono essere accessibili solo a pochi utenti, ad esempio amministratori, amministratori di database. Quindi, è normale che gli utenti comuni o i client finali dei clienti abbiano accesso solo a livelli esposti a Internet, ad esempio applicazioni o jump box.

2. Le applicazioni comunicano con i database o i dati archiviati su dischi, ad esempio l'archiviazione di oggetti o i file server.

3. In alcuni casi, i dati potrebbero essere archiviati in un ambiente locale e nel cloud pubblico. Entrambi devono essere classificati in modo coerente.

4. In un caso d'uso dell'operatore, gli amministratori remoti devono accedere ai jump box nel cloud o a una macchina virtuale che esegue il carico di lavoro. Le autorizzazioni di accesso devono essere concesse in base alle etichette di classificazione dei dati.

5. I dati vengono spostati tra le macchine virtuali nei database back-end e i dati devono essere trattati con lo stesso livello di riservatezza in tutti i punti di attraversamento.

6. I carichi di lavoro archiviano i dati direttamente nei dischi delle macchine virtuali. Tali dischi rientrano nell'ambito della classificazione.

7. In un ambiente ibrido, utenti diversi possono accedere ai carichi di lavoro in locale tramite meccanismi diversi per connettersi a tecnologie o database di archiviazione dei dati diversi. L'accesso deve essere concesso in base alle etichette di classificazione.

8. I server locali si connettono a dati importanti che devono essere classificati e protetti, ad esempio file server, archiviazione oggetti e tipi diversi di database, ad esempio relazionali, no-SQL e data warehouse.

9. Microsoft Purview Compliance offre una soluzione per classificare file e messaggi di posta elettronica.

10. Microsoft Defender for Cloud offre una soluzione che consente all'azienda di tenere traccia della conformità nell'ambiente, inclusi molti dei servizi usati per archiviare i dati, indicati in questi casi precedenti.

Collegamenti correlati

• Tassonomia delle etichette di riservatezza e classificazione dei dati - Microsoft Service Assurance
• Creare un framework di classificazione dei dati ben progettato - Microsoft Service Assurance

Passo successivo

Fare riferimento al set completo di raccomandazioni.