Стратегии архитектуры для классификации данных

Применяется к рекомендации по контрольным спискам безопасности Azure Well-Architected Framework:

В этом руководстве описаны рекомендации по классификации данных. Большинство рабочих нагрузок хранят различные типы данных. Не все данные одинаково чувствительны. Классификация данных помогает классифицировать данные на основе уровня конфиденциальности, типа информации и области соответствия требованиям, чтобы можно было применить правильный уровень защиты. Защита включает элементы управления доступом, политики хранения для различных типов информации и т. д. Хотя фактические элементы управления безопасностью на основе классификации данных недоступны для этой статьи, он предоставляет рекомендации по классификации данных на основе предыдущих критериев, заданных вашей организацией.

определения

Классификация данных является важным упражнением, которое часто приводит к созданию системы записей и ее функции. Классификация также помогает правильно определить уровень безопасности и помогает команде по анализу ускорить обнаружение во время реагирования на инциденты. Предварительным условием процесса проектирования является четкое понимание того, должны ли данные рассматриваться как конфиденциальные, ограниченные, общедоступные или любые другие классификации конфиденциальности. Кроме того, важно определить расположения, в которых хранятся данные, так как данные могут распространяться между несколькими средами.

Обнаружение данных необходимо для поиска данных. Без этого знаний большинство проектов принимают подход среднего слоя, который может или не служить требованиям безопасности. Данные могут быть перезащищены, что приводит к неэффективности затрат и производительности. Или она может быть недостаточно защищена, что добавляет к области атаки.

Классификация данных часто является громоздким упражнением. Доступны средства, которые могут обнаруживать ресурсы данных и предлагать классификации. Но не просто полагаться на инструменты. Создайте процесс, в котором члены команды старательно выполняют упражнения. Затем используйте инструменты для автоматизации, когда это удобно.

Наряду с этими рекомендациями см. статью "Создание хорошо разработанной платформы классификации данных".

Общие сведения о таксономии, определяемой организацией

Таксономия — это иерархическое изображение классификации данных. Он имеет именованные сущности, указывающие критерии классификации.

Как правило, не существует универсального стандарта для классификации или определения таксономии. Это обусловлено мотивацией организации для защиты данных. Таксономия может записывать требования к соответствию требованиям, обещанные функции для пользователей рабочей нагрузки или другие критерии, управляемые бизнес-потребностями.

Ниже приведены некоторые примеры меток классификации для уровней конфиденциальности, типа информации и области соответствия требованиям.

Как владелец рабочей нагрузки, опирайтесь на организацию, чтобы предоставить вам хорошо определенную таксономию. Все роли рабочей нагрузки должны иметь общее представление о структуре, нуменклатуре и определении уровней конфиденциальности. Не определяйте собственную систему классификации.

Определение области классификации

Большинство организаций имеют разнообразный набор меток.

Четко определите, какие ресурсы данных и компоненты находятся в области и вне области для каждого уровня конфиденциальности. Вы должны иметь четкую цель по результату. Цель может быть более быстрой, ускоренной аварийной восстановления или аудита нормативных требований. Когда вы четко понимаете цели, это гарантирует правильное размер усилий по классификации.

Начните с этих простых вопросов и разверните по мере необходимости на основе сложности системы:

• Какой источник данных и типа информации?
• Что такое ожидаемое ограничение на основе доступа? Например, это общедоступные данные, нормативные или другие ожидаемые варианты использования?
• Что такое объем данных? Где хранятся данные? Сколько времени должны храниться данные?
• Какие компоненты архитектуры взаимодействуют с данными?
• Как данные перемещаются по системе?
• Какие сведения ожидаются в отчетах аудита?
• Необходимо ли классифицировать данные предварительной подготовки?

Инвентаризация хранилищ данных

Если у вас есть система, выполните инвентаризацию всех хранилищ данных и компонентов, которые находятся в области. С другой стороны, если вы разрабатываете новую систему, создайте измерение потока данных архитектуры и имеет начальную классификацию для определений таксономии. Классификация применяется к системе в целом. Он отличается от классификации секретов конфигурации и несекретов.

Определение области

Будьте детализированные и явные при определении области. Предположим, что хранилище данных является табличной системой. Вы хотите классифицировать чувствительность на уровне таблицы или даже столбцы в таблице. Кроме того, не забудьте расширить классификацию до компонентов, которые могут быть связаны или частью обработки данных. Например, вы классифицировали резервное копирование хранилища данных с высокой степенью конфиденциальности? Если вы кэширование конфиденциальных данных пользователей, это хранилище данных в области кэширования? Если вы используете аналитические хранилища данных, как классифицируются агрегированные данные?

Проектирование в соответствии с метками классификации

Классификация должна влиять на ваши архитектурные решения. Наиболее очевидной областью является ваша стратегия сегментации, которая должна учитывать различные метки классификации.

Например, метки влияют на границы изоляции трафика. Там могут быть критически важные потоки, в которых требуется сквозная безопасность уровня транспорта (TLS), а другие пакеты могут отправляться по протоколу HTTP. Если по брокеру сообщений передаются сообщения, некоторые сообщения могут быть подписаны.

Для неактивных данных уровни влияют на выбор шифрования. Вы можете защитить конфиденциальные данные с помощью двойного шифрования. Различные секреты приложений могут даже требовать контроля с различными уровнями защиты. Вы можете оправдать хранение секретов в хранилище аппаратного модуля безопасности (HSM), которое предлагает более высокие ограничения. Метки соответствия требованиям также определяют решения о правильных стандартах защиты. Например, стандарт PCI-DSS предписывает использовать защиту FIPS 140-2 уровня 3, которая доступна только с HSM. В других случаях это может быть приемлемо для хранения других секретов в обычном хранилище управления секретами.

Если необходимо защитить используемые данные, возможно, потребуется включить конфиденциальные вычисления в архитектуру.

Сведения о классификации должны перемещаться с данными по мере перехода через систему и между компонентами рабочей нагрузки. Данные, помеченные как конфиденциальные, должны рассматриваться как конфиденциальные всеми компонентами, взаимодействующими с ним. Например, не забудьте защитить персональные данные, удалив или закроя их из любого типа журналов приложений.

Классификация влияет на структуру отчета таким образом, как данные должны предоставляться. Например, на основе меток типа информации необходимо применить алгоритм маскирования данных для маскирования данных в результате метки типа информации? Какие роли должны иметь видимость необработанных данных и маскированных данных? Если существуют какие-либо требования к соответствию отчетам, как данные сопоставляются с правилами и стандартами? Если у вас есть это понимание, проще продемонстрировать соответствие конкретным требованиям и создать отчеты для аудиторов.

Это также влияет на операции управления жизненным циклом данных, такие как сроки хранения данных и вывода из эксплуатации.

Применение таксономии для запроса

Существует множество способов применения меток таксономии к идентифицированным данным. Использование схемы классификации с метаданными является наиболее распространенным способом указания меток. Стандартизация с помощью схемы гарантирует, что отчеты точны, свести к минимуму шансы на изменение и избежать создания пользовательских запросов. Создание автоматических проверок для перехвата недопустимых записей.

Вы можете применять метки вручную, программно или использовать сочетание обоих. Процесс проектирования архитектуры должен включать проектирование схемы. Независимо от наличия существующей системы или создания новой, при применении меток сохраняйте согласованность в парах "ключ-значение".

Помните, что не все данные можно четко классифицировать. Принять явное решение о том, как данные, которые не могут быть классифицированы, должны быть представлены в отчетах.

Фактическая реализация зависит от типа ресурсов. Некоторые ресурсы Azure имеют встроенные системы классификации. Например, Azure SQL Server имеет подсистему классификации, поддерживает динамическое маскирование и может создавать отчеты на основе метаданных. Служебная шина Azure поддерживает включение схемы сообщений, которая может содержать присоединенные метаданные. При разработке реализации оцените функции, поддерживаемые платформой, и воспользуйтесь ими. Убедитесь, что метаданные, используемые для классификации, изолированы и хранятся отдельно от хранилищ данных.

Существуют также специализированные средства классификации, которые могут автоматически обнаруживать и применять метки. Эти средства подключены к источникам данных. Microsoft Purview имеет возможности автообнаружения. Существуют также сторонние инструменты, которые предлагают аналогичные возможности. Процесс обнаружения должен быть проверен с помощью ручной проверки.

Регулярно просматривайте классификацию данных. Обслуживание классификации должно быть встроено в операции, в противном случае устаревшие метаданные могут привести к ошибочным результатам для определенных целей и проблем соответствия.

Компромисс: Помните о компромиссе затрат на инструментирование. Средства классификации требуют обучения и могут быть сложными.

В конечном счете классификация должна свернуться в организацию через центральные команды. Получите входные данные из них о ожидаемой структуре отчета. Кроме того, воспользуйтесь централизованным инструментами и процессами, чтобы обеспечить выравнивание организации, а также облегчить операционные расходы.

Упрощение функций Azure

Microsoft Purview объединяет решения Azure Purview и Microsoft Purview, чтобы обеспечить видимость ресурсов данных во всей организации. Дополнительные сведения см. в статье "Что такое Microsoft Purview?"

База данных SQL Azure, Управляемый экземпляр SQL Azure и Azure Synapse Analytics предлагают встроенные функции классификации. Эти средства позволяют обнаруживать, классифицировать, метки и сообщать конфиденциальные данные в базах данных. Дополнительные сведения см. в разделе "Обнаружение и классификация данных".

Для данных, классифицируемых как строго конфиденциальные или требующие защиты во время операций обработки, База данных Azure для PostgreSQL поддерживает конфиденциальные вычисления , чтобы обеспечить шифрование на основе оборудования для используемых данных. Эта технология позволяет организациям защищать конфиденциальные данные во время обработки при сохранении производительности базы данных, поддерживая соответствие строгим нормативным требованиям для защиты данных в строго регулируемых отраслях.

Example

В этом примере используется среда ИТ-технологий, созданная в базовом плане безопасности (SE:01). На приведенной ниже схеме показаны хранилища данных, в которых данные классифицируются.

1. Данные, хранящиеся на базах данных и дисках, должны быть доступны только нескольким пользователям, таким как администраторы, администраторы баз данных. Затем обычно общие пользователи или конечные клиенты имеют доступ только к слоям, которые предоставляются в Интернете, например приложениям или прыжкам.

2. Приложения взаимодействуют с базами данных или данными, хранящимися на дисках, например хранилищем объектов или файловыми серверами.

3. В некоторых случаях данные могут храниться в локальной среде и общедоступном облаке. Оба должны быть последовательно классифицированы.

4. В случае использования оператора удаленные администраторы нуждаются в полях перехода доступа в облаке или виртуальной машине, на которых выполняется рабочая нагрузка. Разрешения на доступ должны быть предоставлены в метках классификации данных.

5. Данные перемещаются через виртуальные машины в внутренние базы данных и данные должны обрабатываться с одинаковым уровнем конфиденциальности во всех точках обхода.

6. Рабочие нагрузки хранят данные непосредственно на дисках виртуальной машины. Эти диски находятся в области классификации.

7. В гибридной среде разные пользователи могут обращаться к рабочим нагрузкам в локальной среде с помощью различных механизмов подключения к различным технологиям хранения данных или базам данных. Доступ должен быть предоставлен согласно меткам классификации.

8. Локальные серверы подключаются к важным данным, которые необходимо классифицировать и защищать, такие как файловые серверы, хранилище объектов и различные типы баз данных, такие как реляционный, NoSQL и хранилище данных.

9. Соответствие Microsoft Purview предоставляет решение для классификации файлов и сообщений электронной почты.

10. Microsoft Defender для Облака предоставляет решение, которое помогает вашей компании отслеживать соответствие в вашей среде, включая многие службы, используемые для хранения данных, упомянутые в этих случаях использования выше.

Связанные ссылки

• Классификация данных и метка конфиденциальности — Microsoft Service Assurance
• Создание хорошо разработанной платформы классификации данных — Microsoft Service Assurance

Следующий шаг

Ознакомьтесь с полным набором рекомендаций.