Veri Sınıflandırma: Kurumsal Rehber

Veri sınıflandırma nedir?

Sınıflandırma, her bilgi parçası hakkında tek bir soruyu yanıtlar — ne kadar hassas? — ve yanıtı kalıcı bir yere kaydeder. Kalıcılık, bir sınıflandırma programını bir sınıflandırma genelgesinden ayıran şeydir. "Müşteri verisi gizlidir" diyen bir politika belgesi tek başına hiçbir şeyi değiştirmez; her dosyanın meta verisine yazılan bir etiket ise sonraki her kontrolün yapabileceklerini değiştirir, çünkü hassasiyet kararı artık kopyalar, yeniden adlandırmalar ve paylaşımlar boyunca veriyle birlikte yolculuk eder.

İki eksen sık karıştırılır. Gizlilik seviyesi (kurum içi, gizli…) veriyi kimin görebileceğini yönetir. İçerik kategorisi (kişisel veri, ödeme verisi, sağlık verisi…) hangi regülasyonların uygulandığını belirler. Bir dosya seviye olarak kurum içi olup aynı anda özel nitelikli kişisel veri taşıyabilir — ayrım KVKK, GDPR ve her GCC gizlilik kanunu için önemlidir ve veri sınıflandırma nedir yazısında açılıyor.

Sınıflandırma seviyeleri ve taksonomi

Çoğu kurumsal şema üç ile beş seviye arasında karar kılar. Üçten az seviye ayrım sağlamaz; beşten fazlası kullanıcı tereddüdü altında çöker. Dört seviyeli bir model — genel, kurum içi, gizli, kısıtlı — her seviye için yazılı tanım, örnekler ve varsayılan bir işleme kuralıyla pragmatik merkezdir. Her seviyenin ne anlama gelmesi gerektiği; erişim, paylaşım, e-posta, saklama ve seviye başına DLP aksiyonu için referans tablosuyla birlikte sınıflandırma seviyelerini tanımlamak ve etiketleme şeması tasarlamak yazılarında işleniyor.

Otomatik, önerilen ve kullanıcı odaklı sınıflandırma

Otomatik sınıflandırma, etiketleri içerik analizinden kullanıcı müdahalesi olmadan uygular — belirsizliği olmayan desenler (ödeme kartları, ulusal kimlik numaraları) ve eski depoların toplu sınıflandırılması için doğrudur. Önerilen kip, kullanıcının onayladığı bir etiket teklif eder — bağlamın önemli olduğu yerde doğrudur. Kullanıcı odaklı sınıflandırma kararı yazara bırakır — birleşme ve satın alma materyali gibi yargı gerektiren durumlar için doğrudur ve hassasiyeti veriyi üreten insanların gözü önünde tuttuğu için kültürel olarak da değerlidir. Olgun programlar üçünü birden karıştırır; ödünleşimler otomatik ile elle sınıflandırma yazısında, yapay zekâ destekli varyant ise yapay zekâ ile veri sınıflandırma yazısında inceleniyor.

Etiketler, meta veri ve görsel işaretleme

Bir etiketin işe yaraması için dosyanın ömrü boyunca hayatta kalması gerekir. Bu, etiketi belgenin kendi meta verisine yazmak — DLP'nin, e-posta ağ geçitlerinin ve haklar yönetiminin okuyabileceği yere — ve isteğe bağlı olarak üst bilgi, alt bilgi ve filigran olarak göstermek demektir; böylece hassasiyeti insanlar da görür. Yalnızca ayrı bir kayıtta ya da veritabanında yaşayan işaretleme, dosya bir paylaşıma kopyalandığı ya da e-postaya eklendiği anda buharlaşır. Kalıcılık, sınıflandırmayı denetlenebilir kılan şeydir: kim, neyi, ne zaman, hangi seviyede sınıflandırdı.

Office, Outlook ve oluşturma ânı

Sınıflandırma, oluşturma ânında başarılı olur ya da başarısız. Etiketleme; belgelerin ve e-postaların yazıldığı yerde — Word, Excel, PowerPoint, Outlook — gerçekleşirse ayrı bir angarya değil, kaydetmenin ve göndermenin parçası olur. E-posta sınıflandırması iki kat önemlidir, çünkü gönderme eylemi aynı zamanda en yüksek riskli çıkış kanalıdır. Microsoft yığını için entegrasyon desenleri Microsoft 365 ve Outlook sınıflandırması yazısında; programdan önce birikmiş arşivin daha zor sorunu ise eski dosyaları sınıflandırmak yazısında ele alınıyor.

Sınıflandırma odaklı DLP

Sınıflandırmanın ekonomik gerekçesi, DLP'ye yaptığıdır. Yalnızca içeriğe bakan DLP tahmin eder; etiket farkındalıklı DLP okur. Politika "on altı regex'e uyan her şeyi engelle" yerine "kısıtlı belgelerin dış e-postasını engelle" olduğunda yanlış pozitifler düşer ve uygulama, kullanıcı isyanı olmadan sıkılaşabilir. Mekanizma sınıflandırma DLP'yi nasıl keskinleştirir yazısında ve bu sitedeki DLP rehberinde ayrıntılandırılıyor.

Sınıflandırma ve regülasyon

Neredeyse her veri koruma rejimi, kelimeyi hiç kullanmadığı yerde bile sınıflandırmanın var olduğunu varsayar: GDPR ve KVKK'daki özel nitelikli kategoriler, PCI DSS'teki kart verisi kapsamlaması ve Körfez'in açık ulusal sınıflandırma şemaları — Katar Ulusal Veri Sınıflandırma Politikası, BAE Bilgi Güvencesi Düzenlemesi ve Suudi NCA DCC-1:2022, bilgi sınıflandırmayı adlandırılmış bir kontrol yapar. Eşlemeler ISO 27001 sınıflandırması yazısında ve GCC regülasyon merkezinde.

Kaynakça

• ISO/IEC 27001 — Bilgi güvenliği yönetimi