数据分类的目的

风险缓解

对个人身份信息的访问是有限的 (PII)

控制知识产权的位置及其访问权限（IP）

减少敏感数据的攻击面。

该分类应集成到DLP和其他策略执行应用程序中。

治理/合规

确定哪些数据受GDPR、HIPAA、CCPA、PCI、SOX 和其他法规的约束。

要启用额外的跟踪和控制，请将元数据标签应用于受保护的数据。

合法保留、隔离、归档和其他所需的操作都可以启用。

促进数据主体访问请求和“被遗忘权”(DSAR)

效率与优化

允许根据类型、用途和其他因素有效地访问内容。

查找并删除陈旧或冗余数据。

将经常访问的数据移动到更快的设备或基于云的基础架构。

分析

要改进业务运营，请启用元数据标记。

告知组织数据的存储和使用位置。

值得注意的是，虽然对数据进行分类是必不可少的第一步，但在上面列出的许多用例中采取行动还远远不够。添加更多元数据流，例如权限和数据使用活动，可以显着提高您使用分类结果实现关键目标的能力。

数据敏感度级别

数据敏感度分类级别为高、中或低。

高灵敏度数据

如果在未经授权的交易中遭到破坏或破坏，组织或个人将遭受灾难性后果。财务记录、知识产权和身份验证数据只是一些数据分类示例。

中等敏感性数据

仅供内部使用，但如果遭到破坏或破坏，不会对组织或个人造成灾难性影响。例如，机密信息为零的文档和电子邮件。

低灵敏度数据

它们旨在供公众使用。例如，公共网站的内容。

数据分类类型

数据括号实质上需要定义数据类型及其完整性和机密性的多个标记。在数据分类过程中，可用性也可能被考虑在内。数据敏感性经常根据不同的重要性或隐私级别进行分类，并与为保护每个分类级别而实施的安全措施相关联。

业界广泛使用的数据分类有以下三种：

基于内容的分类检查和解释文件以搜索敏感数据。

基于上下文的分类将创建者、应用程序和位置等特征视为间接标记。

基于用户：每个文档的分类基于最终用户的手动选择。对于敏感标记文档，基于用户的分类取决于用户在创建、编辑或审查期间的知识和判断力。

根据公司的需要和数据类型、内容、上下文和基于用户的方法可能是对的也可能是错的。

确定数据的风险

除了分类类型之外，组织还应评估与不同类型数据相关的风险、处理数据的方式以及存储/发送数据的位置（端点）。将数据和系统分为三个风险级别是一种常见的做法。

低威胁：如果数据可供公众访问且不易丢失（例如，恢复更简单），则此数据收集和包含它的系统可能比其他系统危险性低。

中等风险：数据不公开，仅供公司或其合作伙伴内部使用。它也不太可能对操作过于关键或过于敏感而被视为“高风险”。中等项目包括专有操作程序、货物成本和一些公司文件。

高风险项目包括任何远程敏感或对操作安全至关重要的项目。此外，极难恢复的数据（如果丢失）。所有尖锐和必要的数据类型都被称为高风险。

数据分类矩阵的应用

一些组织可能会发现创建和标记数据很简单。如果没有很多不同的数据类型或者如果您的业务交易较少，则确定数据和系统的风险可能会更容易。然而，许多处理大量数据或多种类型数据的组织都需要进行全面的风险评估。为此，大多数人使用数据分类矩阵。

有效的数据分类步骤

了解当前设置：了解当前设置，包括现有数据的位置和所有适用的法规，可能是有效分类数据的最佳起点。在组织数据之前，您必须首先了解您拥有什么。

数据分类政策的建立：如果组织中没有健全和强有力的政策原则，就不可能遵守数据保护。您的首要任务应该是制定政策。

确定数据的优先级并组织数据：现在您已经制定了政策并直观地表示了当前数据，是时候对其进行正确分类了。根据数据的敏感性和隐私性，选择最好的标记方式。

数据分类比仅仅使数据更容易查找具有更多优势。现代企业需要数据分类来理解在任何给定时间可用的大量数据。

数据分类使组织能够清楚地了解其控制下的所有数据，并了解数据的存储位置、如何快速访问它以及如何保护它免受潜在的安全威胁。数据分类一旦实施，就会创建一个有组织的框架，允许采取更有效的数据保护措施，并鼓励员工遵守安全政策。

数据分类流程

数据分类可能是一个耗时且具有挑战性的过程。自动化系统可以帮助加快这个过程。然而，组织必须首先确定数据分类的类别和标准，概述员工在维护适当的数据分类协议方面的角色和职责，并建立与数据类别和标签相对应的安全标准。正确完成后，该过程将为参与数据存储、传输或检索的工作人员和第三方提供操作基础。有许多视频剪辑和网络研讨会可以帮助您更好地理解对敏感数据进行分类的技术。

政策和程序应明确界定。它应该考虑安全要求和数据类型的机密性，并且足够简单，以便促进合规性的员工能够理解。例如，每个类别都应包括有关分类数据类型的信息、安全注意事项（例如检索、传输和存储数据的规则）以及与安全漏洞相关的潜在风险。

数据分类过程根据项目目标略有不同。大多数数据分类项目都需要自动化来处理企业每天生成的海量数据。总的来说，有一些最佳实践可以使数据分类项目取得成功：

1. 定义数据分类过程的目标

您到底在寻找什么，为什么？

初步分类阶段包括哪些系统？

在合规方面，您必须遵守哪些规则？

您还有其他想要追求的商业目标吗？（例如，风险管理、存储优化和分析）

2.数据类型分类

确定公司生成的数据类型（例如，客户名单、财务记录、源代码、产品计划。）

区分私有数据和公共数据。

您是否在寻找 GDPR、CCPA 或其他受监管的信息？

3.确定分类级别

您需要多少分类级别？

应记录每个级别，并提供示例。

应该教用户如何对数据进行分类（如果计划进行手动分类）

4.定义自动分类的过程

确定应首先扫描哪些数据以及如何确定优先级。将活动优先于陈旧，将开放置于受保护之上。

确定您将多久使用一次自动数据分类以及您将投入多少时间。

5.定义类别和分类标准

为您的高级类别（例如，PII、PHI）定义并提供示例

定义或启用适当的分类模式和标签。

创建用于审查和验证用户定义的结果和自动结果的程序。

6.定义分类数据结果和使用

应定义风险缓解和自动化流程的步骤；例如，如果 180 天未使用 PHI，则可以将其移动或存档；和全局访问组应该自动从包含敏感数据的文件夹中删除。

定义一种使用分析来改进分类结果的方法。

确定分析分析的结果是您希望发生什么。

7.观察和维护

创建用于对新数据或更新数据进行分类的例程。

根据业务变化或新法规的需要，审查和更新分类流程。

数据分类示例

组织可以将数据分类为受限、私有或公共。在这种情况下，公共数据被认为是具有最低安全要求的最不敏感数据，而受限数据是具有最高安全等级的最敏感数据。许多企业从这种类型的数据分类开始，然后是额外的识别和标记程序，这些程序根据数据与业务的相关性、质量和其他分类来标记数据。最成功的数据分类流程使用后续流程和框架将敏感数据保存在其所属的位置。

例子

RegEx 是一个字符串分析系统，它定义了有关搜索模式的细节。它是正则表达式的缩写。特别是，如果您想在数据中查找所有 VISA 信用卡号，您可以使用 RegEx：

此序列搜索一个 16 字符的数字，该数字以“4”开头并有四个由“-”分隔的四分之一。仅当字符串与 RegEx 匹配时，才会生成肯定结果。可以使用 Luhn 算法进一步验证该结果。

在这种情况下，仅 RegEx 是不够的。此 RegEx 可找到有效的电子邮件地址，但无法区分个人电子邮件和企业电子邮件：

更高级的数据分类策略可能使用 RegEx 模式匹配器和字典查找，以使用个人电子邮件地址服务（例如 Gmail、Outlook 等）库缩小结果范围。

许多解析器会查看文件的元数据（如文件扩展名和所有者）以确定其分类以及在文本中查找模式的正则表达式。除了文件内容之外，一些扫描引擎还能够将权限和使用活动合并到分类规则中。

高级数据分类采用机器学习来查找数据，而不是仅仅依赖于由字典和 RegEx 组成的预定义规则或策略。例如，可以将包含 1,000 份法律文件的语料库输入机器学习算法，以教授典型法律文件的外观。该引擎可以在其模型上发现新的法律文件，而无需依赖字符串匹配。

数据分类的最佳实践

在实施和扩展数据分类策略时，请牢记这些最佳实践：

确定哪些合规或隐私法律适用于您的公司，并根据该信息制定分类计划。

从有限的范围（不要试图煮沸海洋）和定义明确的模式（如 PCI-DSS）开始

要快速处理大量数据，请使用自动化工具。

必要时，创建自定义分类规则，但不要重新发明轮子。

根据需要，更改分类规则/级别。

检查分类结果的准确性。

确定如何充分利用您的发现并将分类应用于各种主题，包括数据安全和商业智能。

数据分类是综合数据安全策略的重要组成部分。一旦您确定了哪些数据是敏感数据，您就需要确定谁有权访问它以及它在任何时候都发生了什么。这样，您可以保护您的敏感数据，同时防止您的公司制造新闻。

数据分类的挑战

几乎每家公司都掌握着敏感信息——通常比他们意识到的要多得多。但是，他们不太可能确切地知道数据存储在哪里以及如何在整个基础设施中访问或破坏这些数据。在组织内建立有效的数据分类程序可能会带来各种挑战。 

数据分类既费时又费钱

少数组织仅使用传统（手动）数据分类方法。这带来了一些困难，包括：

敏感信息可能会丢失在数据孤岛中，变得无法访问和不受保护。

敏感信息处理不当可能导致客户尴尬和收入损失。

不当处理受监管的数据可能会导致企业受到罚款和处罚。

客户数据泄露可能导致诉讼、损害组织的声誉并降低商誉。

数据分类最佳实践未被充分理解

数据支架起诉不力可能导致数据安全和封存失败的瀑布，带来以下挑战：

数据和隐私问题被搁置一旁，有利于更紧迫的优先事项，如销售、营销、扩张和产品成本。

公司可能不知道他们的数据在哪里或如何找到它。

组织在不断变化的合规性法规方面落后了。

公司将数据分类过于复杂，导致缺乏实际结果。

数据隐私政策未得到执行

许多组织有理论而非操作数据分类策略。换句话说，公司政策要么被忽略，要么留给业务用户和数据所有者自行决定。

问题源于未能回答关键问题，例如：

组织的最高层是否有任何不恰当的关于数据隐私的讨论？

数据隐私最终由谁负责，他们是否有权实施和控制解决方案？

是否与其他组织共享敏感和机密数据？

是否有可能有意或无意地违反隐私和合规政策？

数据分类在数据生命周期中的作用是什么？

数据生命周期是管理整个组织的数据流的理想结构。在此过程中的每一步，企业都必须考虑数据安全、隐私和合规性。数据分类很有用，因为它可以应用于从创建到删除的任何数据生命周期阶段。

这些是数据生命周期的六个阶段：

创建 - 电子邮件、excel 文档、word 文档、google 文档、社交媒体和网站生成各种格式的敏感数据。

在基于角色的安全控制中的使用——基于角色的安全控制根据内部安全策略和合规性规则使用敏感数据进行标记。

存储 - 数据在每次使用后通过访问控制和加密存储。

共享——员工、客户和合作伙伴不断地跨各种设备和平台共享数据。

存档——大多数数据最终都会存档在公司的存储系统中。

无限期销毁——必须销毁大量数据以减轻存储负担并提高整体数据安全性。

一旦创建了数据，就应该对其进行分类。随着数据在数据生命周期阶段的进展，应评估和更新数据分类。结论,数据分类是任何安全程序的基本核心组成部分。它是有关如何将IT 安全融入信息安全并委托保护贵公司最敏感信息的指南。