Dataclassificatie

Wat is dataclassificatie?

Dataclassificatie is de gewoonte om gegevens in te delen naar hoe gevoelig ze zijn en hoeveel ze voor de zaak betekenen, en er een label aan te hangen dat het antwoord vasthoudt. Een prijslijst krijgt misschien het label openbaar, een interne roadmap het label intern, de medische notitie van een klant het label vertrouwelijk, en een reeks ruwe rijksregisternummers het label beperkt. Dat label stuurt vervolgens hoe die data bewaard, gedeeld en beschermd mag worden.

Zonder classificatie krijgt elk bestand dezelfde behandeling. Dan gebeurt een van twee dingen: ofwel gaat alles zo strak op slot dat het werk vastloopt, ofwel niets, en lekken gevoelige gegevens weg. Met classificatie stem je het niveau van bescherming af op het niveau van risico. Een openbare brochure en een lijst met bankgegevens vragen niet dezelfde omgang, en classificatie is hoe een systeem het verschil kent.

De meeste organisaties komen uit op een klein aantal niveaus. Een veelgebruikte set loopt van openbaar over intern en vertrouwelijk naar beperkt, van minst naar meest gevoelig. Microsoft zelf stelt als startpunt namen voor als persoonlijk, openbaar, algemeen, vertrouwelijk en strikt vertrouwelijk. De exacte woorden tellen minder dan de lijst kort genoeg houden zodat mensen ze ook echt juist toepassen.

Wat elk niveau bepaalt

Het punt van een classificatieniveau is dat er een regel aan vasthangt. Zodra een gegeven een label heeft, weten systemen en mensen wat ze ermee mogen doen.

• Toegang. Wie het mag openen. Beperkte data blijft misschien bij één benoemd team, terwijl interne data openstaat voor alle medewerkers.

• Delen. Of het de organisatie mag verlaten, naar een privémailbox mag, of in een chatkanaal gepost mag worden.

• Opslag en versleuteling. Of het versleuteld moet zijn, in een bepaalde regio moet blijven, of geweerd wordt van privélaptops.

• Bewaring en verwijdering. Hoe lang het bewaard blijft en wanneer het vernietigd moet worden.

Daarom is classificatie een fundament voor data governance en geen archiveringsoefening. Bewaartermijnen, toegangsrechten en de bescherming tegen datalekken leunen allemaal op de classificatie om te beslissen wat waarop van toepassing is.

Hoe krijgt data een classificatie?

Classificeren kan met de hand, automatisch, of een mengeling van beide. Bij handmatige classificatie vraag je aan de persoon die een document maakt of beheert om het juiste niveau te kiezen. Dat werkt goed voor afwegingen die oordeel vragen, maar hangt af van mensen die eraan denken.

Automatische classificatie scant de inhoud en kent een niveau toe op basis van wat ze vindt. Tools zoals Microsoft Purview gebruiken gevoelige informatietypes, dat zijn patronen die dingen herkennen zoals kredietkaartnummers of nationale identificatieformaten, en getrainde classificeerders die leren uit voorbeelden van het soort document waar je om geeft. Vindt een scan PII zoals een e-mailadres of een paspoortnummer, dan kan hij het item classificeren zonder dat iemand het opent.

In de praktijk werken de twee samen. De automatische scan vangt de duidelijke gevoelige gegevens op grote schaal, en mensen passen het resultaat aan of verfijnen het waar de context een menselijke beslissing vraagt.

Classificatie tegenover vertrouwelijkheidslabels en masking

Classificatie is de beslissing over hoe gevoelig iets is. Een vertrouwelijkheidslabel is de tag die deze beslissing vastlegt en afdwingt, en in de Microsoft-wereld kan dat label ook bescherming toepassen zoals versleuteling of toegangsbeperkingen die met het bestand meereizen. Classificatie is het oordeel, het label is het mechanisme dat het oordeel meedraagt.

Data masking is een aparte maatregel die classificatie kan afvuren. Zodra data als vertrouwelijk of beperkt gemarkeerd is, kan je ze maskeren, bijvoorbeeld enkel de laatste vier cijfers van een rekeningnummer tonen, zodat mensen ermee kunnen werken zonder de gevoelige delen te zien. Classificatie zegt welke data maskering verdient, maskering is een van de acties die de classificatie in gang zet.

Waar moet je op letten bij het gebruik van dataclassificatie?

Te veel niveaus ondergraaft het doel. Krijgen mensen zeven bijna identieke keuzes voorgeschoteld, dan gokken ze, en verliezen de labels hun betekenis. Hou de indeling klein en de definities concreet.

Een label zonder regel is versiering. Data classificeren helpt alleen als toegang, delen en bewaring ook echt veranderen op basis van het niveau. Beperkt het label vertrouwelijk niets, dan is het een sticker, geen controle.

Classificatie verschuift. Data die vorig jaar openbaar was, kan nu samen met andere velden een persoon identificeren. Scan en herbekijk opnieuw, zeker wanneer datasets samengevoegd worden.