Beispiel für eine Data Classification Policy

1. Zweck der Data Classification Policy

Erläutern Sie, warum eine Datenklassifizierung durchgeführt werden sollte und welche Vorteile sie bringen sollte.

Zweck dieser Richtlinie ist es, einen Rahmen für die Klassifizierung von Daten basierend auf ihrer Sensibilität, ihrem Wert und ihrer Wichtigkeit für die Organisation zu schaffen, damit sensible Unternehmens- und Kundendaten angemessen gesichert werden können.

2. Geltungsbereich der Richtlinie

Definieren Sie die Arten von Daten, die klassifiziert werden müssen, und legen Sie fest, wer für die ordnungsgemäße Datenklassifizierung, den Schutz und die Handhabung verantwortlich ist.

Diese Richtlinie gilt für jede Form von Daten, einschließlich Papierdokumenten und digitalen Daten, die auf jeglichen Medientypen gespeichert sind. Sie gilt für alle Mitarbeiter der Organisation sowie für Drittanbieter, die autorisiert sind, auf die Daten zuzugreifen.

3. Rollen und Verantwortlichkeiten

Beschreiben Sie die Rollen und Verantwortlichkeiten, die mit der Anstrengung zur Datenklassifizierung verbunden sind. Abteilungen sollten Personen benennen, die für die Ausführung der Aufgaben verantwortlich sein werden, die mit jeder der Rollen verbunden sind.

Verantwortlichkeiten des Datenbesitzers

Datenbesitzer — Die Person, die letztendlich verantwortlich für die Daten und Informationen ist, die von ihrer Abteilung oder Division gesammelt und gepflegt werden, in der Regel ein Mitglied des höheren Managements. Der Datenbesitzer soll Folgendes adressieren:

• Überprüfung und Kategorisierung — Überprüfen und kategorisieren Sie Daten und Informationen, die von seiner oder ihrer Abteilung oder Division gesammelt wurden
• Zuweisung von Netwrix Data Classification-Labels — Weisen Sie Netwrix Data Classification-Labels basierend auf der potenziellen Auswirkungsstufe der Daten zu
• Datensammlung — Stellen Sie sicher, dass Daten, die aus mehreren Quellen zusammengestellt werden, mindestens mit der höchsten Sicherheitsklassifizierung einzelner klassifizierter Daten klassifiziert werden
• Koordination der Netwrix Data Classification — Stellen Sie sicher, dass zwischen Abteilungen geteilte Daten konsistent klassifiziert und geschützt werden
• Compliance bei der Netwrix Data Classification (in Zusammenarbeit mit Datenverantwortlichen) — Stellen Sie sicher, dass Informationen mit hohem und moderatem Auswirkungsgrad gemäß den Bundes- oder Landesvorschriften und -richtlinien gesichert sind
• Datenzugriff (in Verbindung mit Datenverantwortlichen) — Entwickeln Sie Richtlinien für den Datenzugriff für jede Datenklassifizierungskennzeichnung

Verantwortlichkeiten des Datenverwalters

Datenverwalter — Techniker aus der IT-Abteilung oder, in größeren Organisationen, dem Büro für Informationssicherheit. Datenverwalter sind verantwortlich für die Wartung und Datensicherung der Systeme, Datenbanken und Server, die die Daten der Organisation speichern. Zusätzlich ist diese Rolle verantwortlich für die technische Umsetzung aller von den Datenbesitzern festgelegten Regeln und dafür zu sorgen, dass die innerhalb der Systeme angewandten Regeln funktionieren. Zu den spezifischen Aufgaben eines Datenverwalters gehören:

• Zugriffskontrolle — Stellen Sie sicher, dass angemessene Zugriffskontrollen implementiert, überwacht und gemäß den vom Datenbesitzer zugewiesenen Datenklassifizierungsetiketten geprüft werden
• Prüfberichte — Reichen Sie einen Jahresbericht an die Datenbesitzer ein, der Verfügbarkeit, Integrität und Vertraulichkeit von klassifizierten Daten behandelt
• Datensicherungen — Führen Sie regelmäßige Backups von Zustandsdaten durch
• Datenvalidierung — Überprüfen Sie regelmäßig die Datenintegrität
• Datenwiederherstellung — Daten aus Backup-Medien wiederherstellen
• Compliance — Erfüllen Sie die in den Sicherheitsrichtlinien, Standards und Leitlinien der Organisation festgelegten Datenanforderungen bezüglich Informationssicherheit und Datenschutz
• Aktivitäten überwachen — Überwachen und protokollieren Sie Datenaktivitäten, einschließlich Informationen darüber, wer auf welche Daten zugegriffen hat
• Sichere Speicherung — Verschlüsseln Sie sensible Daten im Ruhezustand während der Speicherung; überwachen Sie die Aktivitäten des SAN-Administrators und überprüfen Sie regelmäßig die Zugriffsprotokolle
• Data Classification Compliance (in Zusammenarbeit mit Datenbesitzern) – Stellen Sie sicher, dass Informationen mit hohem und moderatem Auswirkungsgrad gemäß den Bundes- oder Landesvorschriften und -richtlinien gesichert sind
• Datenzugriff (in Zusammenarbeit mit den Datenbesitzern) — Entwickeln Sie Richtlinien für den Datenzugriff für jede Datenklassifizierungskennzeichnung

Verantwortlichkeiten der Datenbenutzer

Datenbenutzer — Person, Organisation oder Einheit, die mit Daten interagiert, auf sie zugreift, sie nutzt oder aktualisiert, um eine vom Datenbesitzer autorisierte Aufgabe auszuführen. Datenbenutzer müssen Daten in einer Weise verwenden, die dem vorgesehenen Zweck entspricht, und sich an diese Richtlinie sowie alle für die Datennutzung geltenden Richtlinien halten.

4. Verfahren zur Netwrix Data Classification

Beschreiben Sie jeden Schritt des Data Classification Verfahrens detailliert. Erläutern Sie, wer jeden Schritt durchführt, wie Daten auf ihre Sensibilität hin bewertet werden, was zu tun ist, wenn Daten keiner festgelegten Kategorie entsprechen und so weiter.

Beispiel für ein detailliertes Verfahren:

1. Datenbesitzer überprüfen jedes Datenelement, für das sie verantwortlich sind, und bestimmen dessen Gesamtauswirkungsniveau wie folgt:

• Wenn es mit einem der in Anhang A aufgeführten vordefinierten Typen von eingeschränkten Informationen übereinstimmt, weist der Datenbesitzer ihm eine Gesamtauswirkungsstufe von „Hoch“ zu.
• Wenn es keinem der vordefinierten Typen in Anhang A entspricht, sollte der Datenbesitzer seinen Informationstyp und die Auswirkungsstufen anhand der Anleitung in den Abschnitten 5 und 6 dieses Dokuments bestimmen und NIST 800-600 Volume 2. Die höchste der drei Auswirkungsstufen ist die Gesamtauswirkungsstufe.
• Wenn der Informationstyp und das Gesamtauswirkungsniveau immer noch nicht bestimmt werden können, muss der Datenbesitzer mit den Datenverwaltern zusammenarbeiten, um die Frage zu klären

2. Der Datenbesitzer weist jedem Datenelement basierend auf dem Gesamtimpactlevel ein Klassifizierungsetikett zu:

3. Der Datenbesitzer verzeichnet das Klassifizierungsetikett und das Gesamtauswirkungsniveau für jedes Datenelement in der offiziellen Netwrix Data Classification Tabelle, entweder in einer Datenbank oder auf Papier.

4. Datenverwalter wenden angemessene Sicherheitskontrollen an, um jedes Datenstück gemäß der Klassifizierungskennzeichnung und der insgesamt aufgezeichneten Auswirkungsstufe in der offiziellen Datenklassifikationstabelle zu schützen.

Beispiel für ein grundlegendes Verfahren:

1. Datenbesitzer überprüfen und weisen jedem Datenelement, das sie besitzen, einen Informationstyp zu, basierend auf den Kategorien in NIST 800-600 Volume 1.

2. Datenbesitzer weisen jedem Datenelement eine potenzielle Auswirkungsstufe für jedes der Sicherheitsziele (Vertraulichkeit, Integrität, Verfügbarkeit) zu, unter Verwendung der Anleitung in Abschnitt 6 dieses Dokuments. Die höchste der drei ist die Gesamtauswirkungsstufe.

3. Datenbesitzer weisen jedem Datenelement basierend auf dem Gesamtimpactlevel ein Klassifikationsetikett zu:

4. Datenbesitzer verzeichnen das Auswirkungsniveau und das Klassifizierungsetikett für jedes Datenelement in der Netwrix Data Classification Tabelle.

5. Datenverantwortliche wenden Informationssicherheitskontrollen auf jedes Datenelement entsprechend seiner Klassifikationsetikettierung und dem Gesamtimpactlevel an.

5. Richtlinie zur Netwrix Data Classification

Erstellen Sie eine Tabelle, die jeden Typ von Informationsvermögen beschreibt, den die Agentur speichert, die Auswirkungen der drei Sicherheitsziele im Detail darlegt und die zuzuweisenden Auswirkungsstufen und Klassifizierungen für jeden Vermögenstyp spezifiziert.

Verwenden Sie diese Tabelle, um das Gesamtimpactniveau und die Klassifikationsbezeichnung für viele in der Organisation häufig verwendete Informationsressourcen zu bestimmen.

6. Bestimmung des Auswirkungsgrads

Stellen Sie eine Tabelle bereit, die Datenbesitzern hilft, das Auswirkungsniveau für jedes Datenelement zu bestimmen, indem Sie die Sicherheitsziele beschreiben, die Sie erreichen möchten, und wie das Nichterreichen jedes Ziels die Organisation beeinflussen würde.

Verwenden Sie diese Tabelle, um die potenzielle Auswirkung auf das Unternehmen bei einem Verlust der Vertraulichkeit, Integrität oder Verfügbarkeit eines Datenassets zu bewerten, das in keine der in Abschnitt 5 beschriebenen Informationstypen fällt und NIST 800-600 Volume 2.

7. Anhang A

Beschreiben Sie die Arten von Informationen, die automatisch als „Restricted“ klassifiziert und einem Einflusslevel von „High“ zugewiesen werden sollten. Das Vorhandensein dieser Liste wird den Netwrix Data Classification-Prozess für Datenbesitzer erleichtern.

Arten von Informationen, die als „Restricted“ klassifiziert werden müssen“

Authentifizierungsinformationen

Authentifizierungsinformationen sind Daten, die verwendet werden, um die Identität einer Person, eines Systems oder eines Dienstes nachzuweisen. Beispiele hierfür sind:

• Passwörter
• Gemeinsame Geheimnisse
• Kryptographische private Schlüssel
• Hashtabellen

Elektronisch geschützte Gesundheitsinformationen (ePHI)

ePHI wird als jegliche geschützte Gesundheitsinformationen (PHI) definiert, die auf elektronischen Medien gespeichert oder durch diese übertragen werden. Elektronische Medien umfassen Computerfestplatten sowie entfernbare oder transportable Medien, wie ein Magnetband oder -diskette, optische Disks oder digitale Speicherkarten.

Übertragung ist die Bewegung oder der Austausch von Informationen in elektronischer Form. Zu den Übertragungsmedien gehören das Internet, ein Extranet, gemietete Leitungen, Wählleitungen, private Netzwerke und die physische Bewegung von entnehmbaren oder transportablen elektronischen Speichermedien.

Payment Card Information (PCI)

Zu den Zahlungskarteninformationen zählt eine Kreditkartennummer in Kombination mit einem oder mehreren der folgenden Datenelemente:

• Name des Karteninhabers
• Servicecode
• Ablaufdatum
• CVC2-, CVV2- oder CID-Wert
• PIN oder PIN-Block
• Inhalt des Magnetstreifens einer Kreditkarte

Persönlich identifizierbare Informationen (PII)

PII wird definiert als der Vorname oder der erste Buchstabe des Vornamens und der Nachname einer Person in Kombination mit einem oder mehreren der folgenden Datenelemente:

• Sozialversicherungsnummer
• Vom Staat ausgestellte Führerscheinnummer
• Nummer des staatlich ausgestellten Personalausweises
• Finanzkontonummer in Kombination mit einem Sicherheitscode, Zugangscode oder Passwort, das den Zugang zum Konto ermöglichen würde
• Medizinische und/oder Gesundheitsversicherungsinformationen

8. Versionshistorie

Stellen Sie sicher, dass Sie alle Änderungen an Ihrer Data Classification Policy nachverfolgen.

Häufig gestellte Fragen zu Data Classification

1. Was ist eine Datenklassifizierungsrichtlinie und warum ist sie wichtig?
Eine Datenklassifizierungsrichtlinie definiert, wie eine Organisation ihre Informationen anhand von Sensibilität, Wert und regulatorischen Anforderungen identifiziert und kategorisiert. Dieser Prozess hilft sicherzustellen, dass sensible Daten wie Kundenakten, Finanzinformationen und geistiges Eigentum angemessen gesichert, verwaltet und nur autorisiertem Personal zugänglich sind. Sie spielt auch eine entscheidende Rolle bei der Erfüllung von Compliance-Verpflichtungen wie der DSGVO, HIPAA und anderen.

Um die Grundlagen besser zu verstehen und zu lernen, wie man eine effektive Strategie aufbaut, lesen Sie unseren Beitrag: Data Classification: What It Is and How to Implement It. Dieser Beitrag führt Sie durch den Klassifizierungsprozess, die Schlüsselvorteile und praktische Tipps für die Implementierung.

2. Wer ist in einer Organisation für die Netwrix Data Classification verantwortlich?
Üblicherweise teilen sich Datenbesitzer, Verwalter und Benutzer die Verantwortung. Datenbesitzer bestimmen die Klassifizierungsstufen, Verwalter setzen Kontrollen durch und Benutzer müssen die Handhabungsverfahren befolgen.

3. Was sind die gängigsten Datenklassifizierungsstufen?
Die meisten Organisationen verwenden drei bis vier Ebenen, wie zum Beispiel:

• Öffentlich – Nicht sensible Informationen
• Vertraulich – Interne Geschäftsdaten
• Eingeschränkt – Hochsensible oder regulierte Daten
• Streng geheim – Seltene, kritische Informationen (für einige Sektoren)

4. Wie bestimme ich das Auswirkungsniveau eines Datenassets?
Bewerten Sie die potenziellen Folgen eines Verstoßes gegen Vertraulichkeit, Integrität oder Verfügbarkeit anhand einer niedrigen, moderaten oder hohen Skala. Die höchste Einzelbewertung bestimmt in der Regel das gesamte Auswirkungsniveau.

5. Wie oft sollte eine Datenklassifizierungsrichtlinie überprüft oder aktualisiert werden?
Mindestens sollten Richtlinien jährlich oder bei größeren organisatorischen oder regulatorischen Änderungen überprüft werden. Eine klare Versionsgeschichte hilft dabei, Aktualisierungen nachzuverfolgen.