Veri sınıflandırma önerileri

Azure Well-Architected Framework Güvenlik denetim listesi önerisi için geçerlidir:

Bu kılavuzda veri sınıflandırmasına yönelik öneriler açıklanmaktadır. Çoğu iş yükü çeşitli veri türlerini depolar. Tüm veriler eşit derecede hassas değildir. Veri sınıflandırması, verileri duyarlılık düzeyine, bilgi türüne ve uyumluluk kapsamına göre kategorilere ayırmanıza yardımcı olur, böylece doğru koruma düzeyini uygulayabilirsiniz. Koruma erişim denetimlerini, farklı bilgi türleri için bekletme ilkelerini vb. içerir. Veri sınıflandırmasını temel alan gerçek güvenlik denetimleri bu makalenin kapsamı dışında olsa da, kuruluşunuz tarafından belirlenen önceki ölçütlere göre verileri kategorilere ayırmaya yönelik öneriler sağlar.

Tanımlar

Temel tasarım stratejileri

Veri sınıflandırması, genellikle bir kayıt sistemi ve işlevi oluşturmayı yönlendiren önemli bir alıştırmadır. Sınıflandırma ayrıca güvenlik güvencelerini doğru şekilde boyutlandırmanıza yardımcı olur ve önceliklendirme ekibinin olay yanıtı sırasında bulma sürecini hızlandırmasına yardımcı olur. Tasarım sürecinin önkoşulları, verilerin gizli, kısıtlı, genel veya başka bir duyarlılık sınıflandırması olarak ele alınıp alınmayacağını net bir şekilde anlamaktır. Verilerin depolandığı konumları belirlemek de önemlidir çünkü veriler birden çok ortam arasında dağıtılabilir.

Verileri bulmak için veri bulma gereklidir. Bu bilgi olmadan çoğu tasarım, güvenlik gereksinimlerine hizmet eden veya sağlamayabilecek orta ölçekli bir yaklaşımı benimser. Veriler aşırı korunarak maliyet ve performans verimsizliklerine neden olabilir. Ya da saldırı yüzeyine ek olarak yeterince korunmayabilir.

Veri sınıflandırması genellikle hantal bir alıştırmadır. Veri varlıklarını keşfedebilen ve sınıflandırma önerebilen araçlar vardır. Ama sadece araçlara güvenmeyin. Ekip üyelerinin alıştırmaları titizlikle yaptığı bir süreci gerçekleştirin. Daha sonra pratik olduğunda otomatikleştirmek için araçları kullanın.

Bu en iyi yöntemlerle birlikte bkz. İyi tasarlanmış bir veri sınıflandırma çerçevesi İçerik Oluşturucu.

Kuruluş tanımlı taksonomiyi anlama

Taksonomi , veri sınıflandırmasının hiyerarşik bir gösterimidir. Kategorilere ayırma ölçütlerini gösteren adlandırılmış varlıklara sahiptir.

Genel olarak sınıflandırma veya taksonomi tanımlama için evrensel bir standart yoktur. Bir kuruluşun verileri koruma motivasyonu tarafından yönlendirilir. Taksonomi uyumluluk gereksinimlerini, iş yükü kullanıcıları için taahhüt edilen özellikleri veya iş gereksinimlerine göre yönlendirilen diğer ölçütleri yakalayabilir.

Duyarlılık düzeyleri, bilgi türü ve uyumluluk kapsamı için bazı örnek sınıflandırma etiketleri aşağıda verilmiştir.

İş yükü sahibi olarak, iyi tanımlanmış bir taksonomi sağlamak için kuruluşunuza güvenin. Tüm iş yükü rolleri, duyarlılık düzeylerinin yapısı, terminleri ve tanımı hakkında paylaşılan bir anlayışa sahip olmalıdır. Kendi sınıflandırma sisteminizi tanımlamayın.

Sınıflandırma kapsamını tanımlama

Çoğu kuruluşun çeşitli etiketleri vardır.

Her duyarlılık düzeyi için hangi veri varlıklarının ve bileşenlerinin kapsam içinde ve kapsam dışında olduğunu net bir şekilde belirleyin. Sonuç üzerinde net bir hedefiniz olmalıdır. Amaç daha hızlı önceliklendirme, hızlandırılmış olağanüstü durum kurtarma veya mevzuat denetimleri olabilir. Hedefleri net bir şekilde anladığınızda, sınıflandırma çalışmalarınızı doğru şekilde boyutlandırmanızı sağlar.

Bu basit sorularla başlayın ve sistem karmaşıklığınız temelinde gerektiği şekilde genişletin:

• Veri ve bilgi türünün kaynağı nedir?
• Erişime dayalı olarak beklenen kısıtlama nedir? Örneğin, genel bilgi verileri, mevzuat veya diğer beklenen kullanım örnekleri mi?
• Veri ayak izi nedir? Veriler nerede depolanır? Veriler ne kadar süreyle tutulmalıdır?
• Mimarinin hangi bileşenleri verilerle etkileşim kurar?
• Veriler sistemde nasıl hareket eder?
• Denetim raporlarında hangi bilgiler beklenir?
• Üretim öncesi verilerini sınıflandırmanız gerekiyor mu?

Veri depolarınızın envanterini çıkarma

Mevcut bir sisteminiz varsa, kapsamdaki tüm veri depolarının ve bileşenlerin envanterini alın. Öte yandan, yeni bir sistem tasarlarsanız mimarinin veri akışı boyutunu oluşturun ve taksonomi tanımlarına göre ilk kategoriye sahip olursunuz. Sınıflandırma bir bütün olarak sisteme uygulanır. Yapılandırma gizli dizilerini ve güvenilmeyenleri sınıflandırmaktan tamamen farklıdır.

Kapsamınızı tanımlama

Kapsamı tanımlarken ayrıntılı ve açık olun. Veri deponuzun tablosal bir sistem olduğunu varsayalım. Duyarlılığı tablo düzeyinde, hatta tablo içindeki sütunları bile sınıflandırmak istiyorsunuz. Ayrıca, sınıflandırmayı ilgili olabilecek veya verilerin işlenmesinde bir parçası olabilecek veri deposu olmayan bileşenlere genişletmeyi unutmayın. Örneğin, son derece hassas veri deponuzun yedeğini sınıflandırdınız mı? Kullanıcı duyarlı verileri önbelleğe alırsanız önbelleğe alma veri deposu kapsam dahilinde mi? Analiz veri depolarını kullanıyorsanız toplanan veriler nasıl sınıflandırılır?

Sınıflandırma etiketlerine göre tasarlama

Sınıflandırma, mimari kararlarınızı etkilemelidir. En belirgin alan, çeşitli sınıflandırma etiketlerini dikkate alması gereken segmentasyon stratejinizdir.

Örneğin, etiketler trafik yalıtımı sınırlarını etkiler. Uçtan uca aktarım katmanı güvenliğinin (TLS) gerekli olduğu ve diğer paketlerin HTTP üzerinden gönderilebildiği kritik akışlar olabilir. İleti aracısı üzerinden iletilen iletiler varsa, bazı iletilerin imzalanması gerekebilir.

Bekleyen veriler için düzeyler şifreleme seçeneklerini etkiler. Çift şifreleme ile yüksek oranda hassas verileri korumayı seçebilirsiniz. Farklı uygulama gizli dizileri, çeşitli koruma düzeyleriyle denetim gerektirebilir. Gizli dizileri daha yüksek kısıtlamalar sunan bir donanım güvenlik modülü (HSM) deposunda depolamayı gerekçelendirebilirsiniz. Uyumluluk etiketleri ayrıca doğru koruma standartlarıyla ilgili kararları da belirler. Örneğin PCI-DSS standardı, yalnızca HSM'lerde kullanılabilen FIPS 140-2 Düzey 3 korumasının kullanılmasını zorunlu kılabilir. Diğer durumlarda, diğer gizli dizilerin normal bir gizli dizi yönetim deposunda depolanması kabul edilebilir.

Kullanımdaki verileri korumanız gerekiyorsa mimariye gizli bilgi işlem eklemek isteyebilirsiniz.

Sınıflandırma bilgileri, sistemde ve iş yükünün bileşenleri arasında geçiş yaptıkçe verilerle birlikte taşınmalıdır . Gizli olarak etiketlenen veriler, kendisiyle etkileşim kuran tüm bileşenler tarafından gizli olarak kabul edilmelidir. Örneğin, kişisel verileri her tür uygulama günlüğünden kaldırarak veya gizleyerek koruduğunızdan emin olun.

Sınıflandırma, raporunuzun tasarımını verilerin kullanıma sunulma biçiminde etkiler. Örneğin, bilgi türü etiketlerinize bağlı olarak, bilgi türü etiketinin sonucu olarak karartma için bir veri maskeleme algoritması uygulamanız gerekiyor mu? Hangi rollerin ham veriler ve maskelenmiş veriler hakkında görünürlüğü olmalıdır? Raporlama için uyumluluk gereksinimleri varsa, veriler düzenlemelere ve standartlara nasıl eşlenir? Bu anlayışa sahip olduğunuzda, belirli gereksinimlerle uyumluluğu göstermek ve denetçiler için raporlar oluşturmak daha kolaydır.

Ayrıca veri saklama ve zamanlamaları kullanımdan kaldırma gibi veri yaşam döngüsü yönetim işlemlerini de etkiler.

Sorgulama için taksonomi uygulama

Tanımlanan verilere taksonomi etiketleri uygulamanın birçok yolu vardır. Meta verilerle sınıflandırma şeması kullanmak, etiketleri göstermenin en yaygın yoludur. Şema aracılığıyla standartlaştırma, raporlamanın doğru olmasını sağlar, çeşitleme olasılığını en aza indirir ve özel sorguların oluşturulmasını önler. Geçersiz girişleri yakalamak için otomatik denetimler oluşturun.

Etiketleri el ile, program aracılığıyla uygulayabilir veya her ikisinin birleşimini kullanabilirsiniz. Mimari tasarım işlemi şemanın tasarımını içermelidir. İster mevcut bir sisteminiz olsun ister yeni bir sistem oluşturuyor olun, etiketler uygularken anahtar/değer çiftlerinde tutarlılığı koruyun.

Tüm verilerin açıkça sınıflandırılamadığını unutmayın. Sınıflandırılamaz verilerin raporlamada nasıl temsil edilmesi gerektiği konusunda açık bir karar alın.

Gerçek uygulama, kaynakların türüne bağlıdır. Bazı Azure kaynakları yerleşik sınıflandırma sistemlerine sahiptir. Örneğin, Azure SQL Sunucusu bir sınıflandırma altyapısına sahiptir, dinamik maskeleyi destekler ve meta verileri temel alan raporlar oluşturabilir. Azure Service Bus ekli meta verileri olabilecek bir ileti şeması eklemeyi destekler. Uygulamanızı tasarlarken platform tarafından desteklenen özellikleri değerlendirin ve bunlardan yararlanın. Sınıflandırma için kullanılan meta verilerin yalıtılmış ve veri depolarından ayrı olarak depolandığından emin olun.

Etiketleri otomatik olarak algılayıp uygulayabilen özel sınıflandırma araçları da vardır. Bu araçlar veri kaynaklarınıza bağlıdır. Microsoft Purview otomatik bulma özelliklerine sahiptir. Benzer özellikler sunan üçüncü taraf araçlar da vardır. Bulma işlemi el ile doğrulama yoluyla doğrulanmalıdır.

Veri sınıflandırmayı düzenli olarak gözden geçirin. Sınıflandırma bakımı işlemlerde yerleşik olmalıdır, aksi takdirde eski meta veriler tanımlanan hedefler ve uyumluluk sorunları için hatalı sonuçlara yol açabilir.

Dengeleme: Takımlamanın maliyet dengelemesine dikkat edin. Sınıflandırma araçları eğitim gerektirir ve karmaşık olabilir.

Sonuç olarak sınıflandırma, merkezi ekipler aracılığıyla kuruluşa dağıtılmalıdır. Onlardan beklenen rapor yapısı hakkında giriş alın. Ayrıca, kurumsal uyum sağlamak ve operasyonel maliyetleri azaltmak için merkezi araçlardan ve işlemlerden yararlanın.

Azure kolaylaştırma

Microsoft Purview, kuruluşunuz genelindeki veri varlıklarına görünürlük sağlamak için Azure Purview ve Microsoft Purview çözümlerini birleştirir. Daha fazla bilgi için bkz. Microsoft Purview nedir?

Azure SQL Veritabanı, Azure SQL Yönetilen Örneği ve Azure Synapse Analytics yerleşik sınıflandırma özellikleri sunar. Veritabanlarınızdaki hassas verileri bulmak, sınıflandırmak, etiketlemek ve raporlamak için bu araçları kullanın. Daha fazla bilgi için bkz. Veri bulma ve sınıflandırma.

Örnek

Bu örnek , güvenlik temelinde (SE:01) oluşturulan Bilgi Teknolojisi (BT) ortamını temel alır. Aşağıdaki örnek diyagramda verilerin sınıflandırıldığı veri depoları gösterilmektedir.

1. Veritabanlarında ve disklerde depolanan verilere yalnızca Yöneticiler, Veritabanı yöneticileri gibi birkaç kullanıcı erişebilir. Ardından, genel kullanıcıların veya müşterilerin son istemcilerinin yalnızca uygulamalar veya atlama kutuları gibi İnternet'e açık olan katmanlara erişmesi normaldir.

2. Uygulamalar, nesne depolama veya dosya sunucuları gibi disklerde depolanan veritabanları veya verilerle iletişim kurar.

3. Bazı durumlarda veriler şirket içi ortamda ve genel bulutta depolanabilir. Her ikisinin de tutarlı bir şekilde sınıflandırılmış olması gerekir.

4. Operatör kullanım örneğinde, uzak yöneticilerin buluttaki atlama kutularına veya iş yükünü çalıştıran bir sanal makineye erişmesi gerekir. Erişim izinleri, veri sınıflandırma etiketlerine göre verilmelidir.

5. Veriler sanal makinelerde arka uç veritabanlarına taşınır ve veriler çapraz geçiş noktaları boyunca aynı gizlilik düzeyiyle ele alınmalıdır.

6. İş yükleri verileri doğrudan sanal makine disklerinde depolar. Bu diskler sınıflandırma kapsamındadır.

7. Karma bir ortamda, farklı kişiler farklı veri depolama teknolojilerine veya veritabanlarına bağlanmak için farklı mekanizmalar aracılığıyla şirket içi iş yüklerine erişebilir. Sınıflandırma etiketlerine göre erişim verilmelidir.

8. Şirket içi sunucular, dosya sunucuları, nesne depolaması ve ilişkisel, SQL olmayan ve veri ambarı gibi farklı veritabanı türleri gibi sınıflandırılması ve korunması gereken önemli verilere bağlanır.

9. Microsoft Purview Uyumluluğu, dosyaları ve e-postaları sınıflandırmak için bir çözüm sağlar.

10. Bulut için Microsoft Defender, yukarıdaki durumlarda bahsedilen verileri depolamak için kullandığınız hizmetlerin birçoğu dahil olmak üzere şirketinizin ortamınızdaki uyumluluğu izlemesine yardımcı olan bir çözüm sağlar.

İlgili bağlantılar

• Veri sınıflandırma ve duyarlılık etiketi taksonomisi - Microsoft Hizmet Güvencesi
• İyi tasarlanmış bir veri sınıflandırma çerçevesi İçerik Oluşturucu - Microsoft Hizmet Güvencesi

Sonraki adım

Önerilerin tamamına bakın.