Was ist Datenklassifizierung?

Unter Datenklassifizierung versteht man die Organisation strukturierter und unstrukturierter Daten in Kategorien, damit sie effizienter genutzt und gesichert werden können. Es erleichtert das Auffinden und Abrufen von Daten und ermöglicht gleichzeitig ein besseres Risikomanagement, eine bessere rechtliche Offenlegung und die Einhaltung gesetzlicher Vorschriften.

Bei der Datenklassifizierung werden sensible Daten und persönliche Informationen gekennzeichnet, um sie durchsuchbar und nachverfolgbar zu machen. Dies hatte den zusätzlichen Vorteil, dass doppelte Daten eliminiert, die Speicher- und Backup-Kosten gesenkt und das Cybersicherheitsrisiko minimiert wurden.

Eine schriftliche Datenklassifizierungsrichtlinie beschreibt in der Regel Verfahren und Richtlinien darüber, welche Klassifizierungsstufen Ihr Unternehmen zum Gruppieren von Daten verwendet, sowie die spezifischen Rollen und Verantwortlichkeiten der Mitarbeiter, die als Datenverwalter fungieren.

Nachdem ein Datenklassifizierungsschema erstellt und die Daten gruppiert wurden, müssen Sie die geeigneten Sicherheitsstandards für jede Kategorie über ihren gesamten Lebenszyklus hinweg festlegen.

Auch wenn das Erstellen einer Datenklassifizierungsrichtlinie technisch schwierig klingen mag, müssen alle Ebenen Ihres Unternehmens ihre Rolle verstehen.

Warum ist die Datenklassifizierung wichtig?

Die Datenklassifizierung ist wichtig, da Sie nur über begrenzte Ressourcen verfügen, die Sie in den Schutz Ihrer vertraulichen Daten investieren können. Wenn Sie wissen, welche Arten von Daten geschützt werden müssen, können Sie Prioritäten setzen und Ihr Budget und andere Ressourcen den wichtigsten Bereichen zuweisen, um die Kosten für Datensicherheit und Compliance zu minimieren.

Darüber hinaus kann die Datenklassifizierung Ihnen dabei helfen, verschiedene Vorschriften innerhalb und außerhalb der Vereinigten Staaten einzuhalten, einschließlich des Family Educational Rights and Privacy Act (FERPA), PCI-DSS, HIPAA, CPS 234, ITAR und vieler anderer.

Was sind die Grundlagen für eine effektive Datenklassifizierung?

Eine effektive Datenklassifizierung erfordert ein Verständnis der folgenden Konzepte:

Datenzustände: Daten liegen in drei Zuständen vor (im Ruhezustand, in Bearbeitung und in Übertragung). Unabhängig vom Bundesstaat sollten vertrauliche Informationen verschlüsselt und vertraulich bleiben.
Datenformat: Daten können strukturiert und unstrukturiert sein. Die Klassifizierung strukturierter Daten ist in der Regel weniger komplex, zeitaufwändig und kostengünstiger als unstrukturierte Daten.
Strukturierte Daten: Lesbar und indizierbar, wie z. B. Datenbankobjekte und Tabellenkalkulationen
Unstrukturierte Daten: Nicht lesbar oder indexierbar, wie z. B. Quellcode, Dokumente und Binärdateien.
Datenermittlung: Bevor Daten klassifiziert werden können, müssen Sie ihren Speicherort, ihr Volumen und ihren Kontext kennen. Dies gilt unabhängig davon, wo es gehostet wird (vor Ort, in der Cloud, in Legacy-Datenbanken oder bei einem Dienstanbieter).
Datensensibilität: Um die Priorisierung zu erleichtern, werden die Daten im Allgemeinen in Vertraulichkeitsstufen eingeteilt.
Daten mit hoher Vertraulichkeit: Daten werden als hochvertraulich bezeichnet, wenn die Offenlegung oder Zerstörung zu katastrophalen Auswirkungen auf Ihr Unternehmen oder Ihre Kunden führen würde. Gängige Beispiele für hochsensible Daten sind Kreditkartennummern, Sozialversicherungsnummern, Führerscheinnummern, geschützte Gesundheitsinformationen (PHI), personenbezogene Daten (PII), Karteninhaberinformationen, geistiges Eigentum, Geschäftsprozesse, biometrische Daten und Bankkontonummern.
Daten mit mittlerer Sensibilität: Daten, die für den internen Gebrauch entwickelt wurden, bei denen eine unbefugte Offenlegung keine katastrophalen Auswirkungen auf Ihr Unternehmen oder Ihre Kunden hätte. Beispiele hierfür sind E-Mails und Dokumente, die keine vertraulichen Daten enthalten.
Daten mit geringer Vertraulichkeit: Daten, die als öffentliche Informationen konzipiert sind. Beispiele hierfür sind Pressemitteilungen, Marketingmaterial, Website-Inhalte und andere öffentliche Daten.
Regulatorische Anforderungen: Mit der zunehmenden Anzahl von Datenschutzgesetzen auf der ganzen Welt wird die Datenklassifizierung zunehmend zu einer regulatorischen Anforderung. So fordert beispielsweise die Datenschutz-Grundverordnung (DSGVO) der EU, dass alle personenbezogenen Daten geschützt werden müssen, ebenso wie PIPEDA, FIPA, der SHIELD Act und das LGPD.
Branchenspezifische Mandate: Neben der Regulierung verlangen viele branchenspezifische Mandate mittlerweile die Klassifizierung unterschiedlicher Datenattribute. Die Cloud Security Alliance (CSA) verlangt beispielsweise, dass Daten und Datenobjekte den Datentyp, die Herkunfts- und Wohnsitzgerichtsbarkeit, den Kontext, rechtliche Einschränkungen und die Vertraulichkeit enthalten. Lesen Sie hier mehr über die Cloud Security Alliance und die CAIQ.

Was ist der Zweck der Datenklassifizierung?

Ein gut geplantes Datenklassifizierungsinformationssystem erleichtert nicht nur das Auffinden, Abrufen, Bearbeiten und Verfolgen von Daten, sondern verbessert auch die Datensicherheit und die Einhaltung gesetzlicher Vorschriften.

Der wahre Zweck der Datenklassifizierung besteht darin, sensible Unternehmens- und Kundendaten zu schützen. Dazu müssen Sie in der Lage sein, die folgenden Fragen zu beantworten:

Welche sensiblen Daten speichere ich?
Wo befinden sich diese sensiblen Daten?
Wer kann darauf zugreifen, sie ändern und löschen?
Welche Auswirkungen hat es auf mein Unternehmen, wenn diese Daten durchgesickert, zerstört oder verändert werden?

Neben der Beantwortung dieser Fragen müssen Sie auch Ihre gesetzlichen Anforderungen verstehen und wissen, welche spezifischen Daten Sie schützen müssen. Beispiele hierfür sind Karteninhaberdaten (PCI DSS), Gesundheitsakten (HIPAA), Finanzdaten (SOX) oder personenbezogene Daten (DSGVO, LGPD, PIPEDA, The SHIELD Act und FIPA).

Zusätzlich zu diesen Fragen helfen Ihnen viele Datenklassifizierungstools dabei, die Vertraulichkeit, Integrität und Verfügbarkeit (CIA-Triade) sensibler oder wichtiger Datensätze zu schützen:

Vertraulichkeit: Die Datenklassifizierung kann Ihnen helfen, die Art der zu schützenden Daten und ein angemessenes Sicherheitsniveau für jede Kategorie zu verstehen.
Integrität: Durch die einfachere Nachverfolgung einzelner Datenelemente kann die Datenklassifizierung sicherstellen, dass die Integrität gewahrt bleibt und nicht autorisierte Änderungen erkannt werden.
Verfügbarkeit: Bei wichtigen, aber nicht klassifizierten Daten kann die Datenklassifizierung Ihnen dabei helfen, sich darauf zu konzentrieren, sicherzustellen, dass sie für Endbenutzer, Kunden und Dienstanbieter leicht zugänglich sind.

Was sind die typischen Arten von Datenklassifizierungskategorien?

Die Datenklassifizierung umfasst in der Regel eine Vielzahl von Tags und Bezeichnungen, die den Datentyp, seine Vertraulichkeit sowie Vertraulichkeits-, Integritäts- und Verfügbarkeitsanforderungen definieren, die für Ihre Organisation einzigartig sind.

Das bedeutet, dass Ihre Datenklassifizierungskategorien weitgehend von Ihrer Informationssicherheitsrichtlinie, Ihren gesetzlichen Anforderungen und Ihrer Risikobereitschaft abhängen.

Als Ausgangspunkt sollten Sie einen einfachen dreistufigen Ansatz in Betracht ziehen:

Öffentliche Daten: Daten, die der Öffentlichkeit freiwillig zugänglich gemacht werden, wie z. B. E-Mail-Adressen und Telefonnummern des Kundendienstes.
Interne Daten: Daten, die minimale Sicherheitsanforderungen haben, aber nicht für die öffentliche Offenlegung bestimmt sind. Beispiele hierfür sind Marktforschung, Verzeichnisinformationen und Telefonskripte für den Verkauf.
Eingeschränkte Daten: Hochsensible interne Daten, deren Offenlegung sich negativ auf den Betrieb auswirken oder Sie oder Ihre Kunden einem finanziellen oder rechtlichen Risiko aussetzen könnte. Dies erfordert ein Höchstmaß an Sicherheitsschutz.

Was ist der Datenklassifizierungsprozess?

Es gibt keinen einheitlichen Ansatz für die Datenklassifizierung. Auch müssen nicht alle Daten klassifiziert werden, manche lassen sich vielleicht sogar besser vernichten. Das heißt, wir können einen allgemeinen Prozess aufschlüsseln, den Sie auf Ihre individuellen Bedürfnisse, Wünsche und regulatorischen Anforderungen zuschneiden können.

Der erste Schritt besteht darin, eine Datenklassifizierungsrichtlinie zu definieren. Die Richtlinie sollte allen Mitarbeitern mitgeteilt werden, die Zugang zu sensiblen Daten haben, und die folgenden Elemente enthalten:

Ziele: Die Gründe, warum die Datenklassifizierung eingeführt wurde, und die Ziele, die Sie damit erreichen möchten.
Prozesse: Beschreibt, wie der Datenklassifizierungsprozess organisiert wird und wie er sich auf Mitarbeiter auswirkt, die verschiedene Arten von sensiblen Daten verwenden.
Datenklassifizierungsschema: Die Kategorien, in die die Daten eingeordnet werden.
Dateneigentümer: Beschreibt, wer direkt für welche Arten von Daten verantwortlich ist, einschließlich der Klassifizierung und des Zugriffs darauf.
Handhabungsanweisungen: Sicherheitsstandards, die festlegen, wie vertrauliche Daten für jede Datenkategorie gesichert werden, wer Zugriff darauf hat, wie sie freigegeben werden und wie lange sie aufbewahrt werden.

Nachdem die Richtlinie fertiggestellt wurde, müssen Sie einen Datenermittlungsprozess ausführen, um den Speicherort, das Volumen und den Kontext von Daten zu bestimmen, die lokal, in der Cloud, in Legacydatenbanken und bei Drittanbietern gehostet werden.

Sie können diesen Schritt überspringen und nur neue Daten klassifizieren. Dies würde jedoch dazu führen, dass aktuelle geschäftskritische oder vertrauliche Daten nur unzureichend geschützt sind.

Bei der Datenermittlung kann es sich um einen manuellen Prozess handeln, bei dem nach Datenbanken, Dateifreigaben und anderen Systemen gesucht wird, die vertrauliche Informationen enthalten können, oder um eine Datenermittlungsanwendung, die über Metadaten und andere Tags, die Informationen schnell in verschiedene Gruppen gruppieren, nach vertraulichen Informationen sucht.

Unabhängig davon, ob Sie Daten von Hand oder mit einer Software entdecken, besteht der nächste Schritt darin, sie zu kategorisieren. Die Kategorisierungsmethode kann im Allgemeinen in drei Gruppen unterteilt werden:

Inhaltsbasierte Klassifizierung: Überprüft und interpretiert Dateien, um festzustellen, ob sie vertrauliche Informationen enthalten.
Kontextbasierte Klassifizierung: Betrachtet unter anderem die Anwendung, den Standort oder den Ersteller als indirekte Indikatoren für vertrauliche Informationen.
Benutzerbasierte Klassifizierung: Sie hängt von einem manuellen Auswahlprozess für jedes Dokument durch den Endbenutzer ab. Dies beruht auf dem Wissen und der Diskretion der Benutzer in der Erstellungs-, Bearbeitungs-, Überprüfungs- und Verbreitungsphase.

Nach dem Datenermittlungsprozess sollten vertrauliche Daten gemäß Ihrem Datenklassifizierungsschema gekennzeichnet werden.

Sobald alle Daten gekennzeichnet sind, ist es an der Zeit, geeignete Sicherheitskontrollen zu implementieren, um die vertraulichen Daten basierend auf den Bestimmungen Ihrer Datenklassifizierungsrichtlinie zu schützen. Dazu gehören Verschlüsselung, Zugriffskontrolle, das Prinzip der geringsten Rechte, Tools zur Erkennung von Datenlecks, Benutzerüberwachung, Aufgabentrennung und viele andere Sicherheitskontrollen.