Czego dotyczy zarządzanie danymi w przypadku zabezpieczeń?

Zarządzanie danymi ma znaczenie dla bezpieczeństwa, ponieważ zapewnia organizacjom spójny sposób identyfikowania poufnych danych, ich ochrony, kontrolowania dostępu do nich i monitorowania sposobu ich używania. Gdy ta podstawa jest już dostępna, zespoły ds. zabezpieczeń mogą zmniejszyć ryzyko w złożonych środowiskach obejmujących usługi w chmurze, systemy lokalne, aplikacje SaaS, punkty końcowe i narzędzia sztucznej inteligencji.

Silne zarządzanie danymi pomaga zespołom ds. zabezpieczeń zmniejszać ryzyko naruszeń danych, cyberataków i zagrożeń wewnętrznych, ułatwiając znajdowanie, klasyfikowanie, ochronę i śledzenie poufnych danych. Zmniejsza to również przypadkową ekspozycję poprzez zastosowanie jasnych mechanizmów kontroli dostępu i wymuszania zasad, dzięki czemu dane są mniej narażone na nadmierne udostępnianie lub obsługę poza zatwierdzonymi granicami.

W miarę jak organizacje wdrażają więcej usług w chmurze, platform SaaS i aplikacji sztucznej inteligencji, zarządzanie zapewnia wspólną strukturę rozwiązań w zakresie ochrony i zgodności w tych środowiskach. Ta spójność pomaga zespołom zarządzać ryzykiem danych bez polegania na różnych regułach dla każdego systemu lub przepływu pracy.

Najważniejsze korzyści dla zespołów ds. zabezpieczeń

Dobrze zdefiniowany program zarządzania może pomóc organizacjom:

• Zmniejszać naruszenia zabezpieczeń i ryzyko wewnętrzne poprzez identyfikowanie, ochronę i monitorowanie poufnych danych.
• Zapobiegać przypadkowemu ujawnianiu i nadmiernemu udostępnianiu za pomocą silnych mechanizmów kontroli dostępu i wymuszania zasad.
• Wspierać wdrażanie chmury, usługi SaaS i AI poprzez stosowanie ustandaryzowanych praktyk w zakresie ochrony i zgodności w różnych środowiskach.
• Zwiększać gotowość w zakresie zapewniania zgodności i inspekcji poprzez dostosowanie obsługi danych do wymogów prawnych, regulacyjnych i branżowych.
• Ulepszać reagowanie na zdarzenia poprzez łatwiejsze śledzenie dostępu do danych i użycie ich podczas badań.
• Budować zaufanie do danych biznesowych i danych sztucznej inteligencji, aby zespoły mogły podejmować decyzje z większą pewnością.
• Zwiększać wydajność operacyjną dzięki bardziej zautomatyzowanym i ustandaryzowanym mechanizmom kontroli.

Bez jasnego zarządzania zespoły ds. zabezpieczeń często poświęcają więcej czasu próbując zlokalizować poufne dane, potwierdzać, kto ma dostęp, i łączyć ze sobą w całość poszczególne elementy związane ze sposobem przenoszenia informacji między systemami. Dzięki zapewnianiu zarządzania mają one silniejsze podstawy do ochrony, badania, przeglądów zgodności i codziennego podejmowania decyzji.

Nowoczesny program zarządzania danymi oparty na zabezpieczeniach wymaga dwóch rzeczy:

• Jasnego cyklu życia pracy dotyczącego realizacji sposobu działania zarządzania.
• Zestawu podstawowych obszarów fokusu, które wytyczają kierunki codziennych decyzji.

Razem te rzeczy pomagają organizacjom identyfikować, klasyfikować, chronić i monitorować poufne dane w całej firmie.

Praktyczna struktura rozpoczyna się od powtarzalnego cyklu życia. Każdy etap opiera się na wcześniejszym, zapewniając zespołom operacyjnym ds. zabezpieczeń (SecOps) ustrukturyzowany sposób zarządzania ryzykiem danych w czasie.

1. Definiowanie zasad i standardów

Ustaw reguły dotyczące sposobu klasyfikowania, uzyskiwania dostępu do poufnych danych, udostępniania, zachowywania i ich ochrony, dzięki wbudowanym od samego początku wymaganiami dotyczącymi zabezpieczeń i zgodności.

2. Implementowanie mechanizmów kontroli zabezpieczeń i zarządzania

Wprowadzaj te reguły w praktyce dzięki technicznym mechanizmom kontroli, ograniczeniom dostępu, etykietowaniu i wymuszaniu zasad w systemach i przepływach pracy.

3. Monitorowanie użycia danych i czynników ryzyka

Śledź, gdzie są przenoszone poufne dane, jak są używane i gdzie mogą być opracowywane ryzykowne działania lub dryf zasad.

4. Badanie i korygowanie zdarzeń

Przeglądaj problemy, śledź działania, powstrzymuj ekspozycję i koryguj luki w dostępie, obsłudze lub nadzorze.

5. Iteracja i ulepszanie

Uściślaj zasady, mechanizmy kontroli i procesy w miarę zmiany zagrożeń, potrzeb biznesowych, technologii i przepisów.

Dojrzałość zarządzania danymi ułatwia organizacjom ocenę bieżącego programu za pomocą obiektywu zabezpieczeń — od ad hoc, reaktywnych mechanizmów kontroli do bardziej proaktywnej struktury zabezpieczeń. Dzięki temu zespoły mogą w praktyce zrozumieć, gdzie obecnie się znajdują i co należy ulepszyć w przyszłości.

Przegląd dojrzałości powinien dokładnie przyglądać się obszarom, które najbardziej wpływają na ryzyko danych i nadzór nad nimi. Obejmuje to sposób właściwego odnajdowania poufnych danych przez organizację, stosowanie mechanizmów kontroli dostępu, reagowanie na zdarzenia i monitorowanie zgodności w czasie.

Pytania, które należy zadać:

• Czy poufne dane są spójnie sklasyfikowane w różnych środowiskach?
• Czy zasady dostępu są stosowane jednoznacznie i wymuszane z myślą o najniższych uprawnieniach?
• Czy zespoły mogą na bieżąco monitorować ryzykowne zachowania w odniesieniu do danych i pojawiające się zagrożenia?
• Czy inspekcje i procesy reagowania na zdarzenia są regularne, możliwe do śledzenia i terminowe?

W miarę rozwoju programu cele skoncentrowane na zabezpieczeniach powinny stać się spójniejsze i łatwiejsze do zmierzenia. Do typowych celów należą:

• Spójna klasyfikacja danych poufnych we wszystkich środowiskach, dzięki czemu te same typy informacji są obsługiwane w taki sam sposób
• Automatyczne wymuszanie zasad najniższych uprawnień i dostępu w celu redukowania niepotrzebnego dostępu i ograniczania dryfu zasad
• Ciągłe monitorowanie pod kątem ryzykownych zachowań w odniesieniu do danych i zagrożeń, dzięki czemu problemy można wcześniej znajdować

Regularne inspekcje i szybkie, możliwe do śledzenia reagowanie na zdarzenia w celu obsługi badań, odpowiedzialności i przeglądów zgodności.

Model dojrzałości może pomóc w postępie testów porównawczych, w nadawaniu priorytetów inwestycjom w zabezpieczenia i komunikowaniu ulepszeń kierownictwu w przejrzysty sposób. Zapewnia również zespołom wspólną strukturę do podejmowania decyzji, które luki należy najpierw rozwiązać i jak mierzyć zmiany w czasie.

Dojrzałość zarządzania danymi nie jest jednorazowym kamieniem milowym. Programy powinny być przeglądane i uściślane w miarę zmiany zagrożeń, technologii i przepisów, aby mechanizmy kontroli zabezpieczeń i praktyki zarządzania nadal odpowiadały bieżącym czynnikom ryzyka.

Zarządzanie danymi, zabezpieczenia danych oraz zgodność są ściśle powiązane, ale nie są one takie same. Zarządzanie danymi definiuje sposób organizowania i posiadania oraz zarządzania danymi w całej firmie. Zabezpieczenia danych stosują techniczne i procesowe mechanizmy kontroli iw celu ochrony tych danych. Zgodność zapewnia dopasowanie praktyk w zakresie zarządzania i zabezpieczeń do przepisów prawna, przepisów regulacyjnych i branżowych.

Zarządzanie danymi ustanawia strukturę wokół danych. Definiuje ono, kto jest właścicielem danych, jak powinny być klasyfikowane, jak powinny być obsługiwane i jakie standardy mają zastosowanie w całej organizacji. W przypadku zespołów ds. zabezpieczeń zarządzanie zapewnia model operacyjny na potrzeby spójnego zarządzania poufnymi informacjami.

Zabezpieczenia danych wprowadzają te reguły w życie za pomocą mechanizmów kontroli, które pomagają chronić poufne informacje przed utratą, nieprawidłowym użyciem lub nieautoryzowanym dostępem. Typowe przykłady obejmują zasady DLP, zarządzanie prawami do informacji (IRM), etykiety poufności, zarządzanie stanem zabezpieczeń danych (DSPM)i mechanizmy kontroli ryzyka wewnętrznego. Te miary pomagają zmniejszać ekspozycję usług w chmurze, systemach lokalnych, punktach końcowych, aplikacjach i przepływach pracy sztucznej inteligencji.

Zgodność koncentruje się na tym, czy praktyki dotyczące danych spełniają wymagania zewnętrzne i wewnętrzne. Obejmuje to struktury prawne, takie jak RODO i HIPAA, wraz z zasadami firmy i oczekiwaniami inspekcji. W praktyce zgodność zależy zarówno od dobrego zarządzania, jak i silnych mechanizmów kontroli zabezpieczeń.

Te trzy dyscypliny działają najlepiej, gdy są dopasowane:

• Zarządzanie definiuje sposób organizowania, posiadania i zarządzania danymi.
• Zabezpieczenia stosują mechanizmy kontroli w celu ochrony tych danych w codziennym użyciu.
• Zgodność sprawdza, czy te mechanizmy kontroli i procesy spełniają wymagane standardy.

Platforma Microsoft Purview zapewnia ujednolicone podejście w tych dyscyplinach na jednej platformie z możliwościami, które obejmują potrzeby w zakresie ochrony, zarządzania i zgodności w erze sztucznej inteligencji.

Zespoły ds. zabezpieczeń używają narzędzi do zarządzania danymi, aby znajdować poufne dane, klasyfikować je, kontrolować dostęp i monitorować ryzyko w usługach w chmurze, systemach lokalnych, aplikacjach SaaS, punktach końcowych i narzędziach sztucznej inteligencji. Te technologie ułatwiają organizacjom stosowanie spójnych zabezpieczeń w szerokim i często pofragmentowanym środowisku danych.

Silny zestaw narzędzi do zarządzania danymi powinien obsługiwać kilka kluczowych funkcji:

Ujednoliconeodnajdowanie danych i klasyfikacja. Znajduj poufne dane w chmurze, środowiskach lokalnych, SaaS i AI, a następnie klasyfikuj je na podstawie poufności i wpływu na działalność biznesową.

Etykietowanie poufności i wymuszanie zasad. Stosuj jasne reguły dotyczące sposobu uzyskiwania dostępu do danych, udostępniania, przechowywania i używania.

Data loss prevention (DLP). Wykrywaj i blokuj ryzykowne przenoszenie danych między pocztą e-mail, punktami końcowymi, przeglądarkami i aplikacjami w chmurze.

Zarządzanie ryzykiem wewnętrznym. Identyfikuj zachowanie użytkowników, które może narazić poufne dane na ryzyko, czy to z powodu niewłaściwego użycia, niedbalstwa lub naruszenia zasad.

Zarządzanie stanem bezpieczeństwa danych (DSPM). Stale oceniaj ryzyko związane z danymi, przeglądaj luki w kontroli i śledź problemy związane z używaniem sztucznej inteligencji, nadmiernym udostępnianiem i uwidacznianiem poufnej zawartości.

Wykazy danych i słowniki biznesowe. Zapewniaj spójność, udostępniając zespołom wspólny sposób opisywania, organizowania i lokalizowania danych w całej firmie.

Automatyzacja i sztuczna inteligencja mogą zmniejszać nakład pracy ręcznej, pomagając w:

• Klasyfikowaniu poufnych danych
• Wykrywaniu ryzykownej aktywności
• Sugestie zasad i aktualizacje kontroli
• Ciągły przegląd wzorców ekspozycji danych i dostępu do nich

Te możliwości obsługują równieżzabezpieczenia danych AI, pomagając zespołom monitorować sposób używania poufnych danych w przepływach pracy opartych na sztucznej inteligencji. Dzięki temu zespoły ds. zabezpieczeń poświęcają mniej czasu na ręczny przegląd, a więcej na ulepszanie ochrony i reagowanie na ryzyko.

Bez odpowiednich narzędzi trudno jest śledzić, gdzie znajdują się poufne dane, jak są one oznaczone etykietami, kto może do nich uzyskiwać dostęp i jak są przenoszone między systemami. Dzięki silniejszemu zestawowi narzędzi do zarządzania zespoły ds. zabezpieczeń mogą stosować spójniejsze mechanizmy kontroli, szybciej reagować na problemy i utrzymywać lepszy nadzór w nowoczesnych środowiskach danych.

Program silnego zarządzania danymi działa najlepiej, gdy zespoły ds. zabezpieczeń, danych i zgodności współdzielą odpowiedzialność za sposób obsługi poufnych informacji. Wyraźna własność, praktyczne zasady i regularne przeglądy pomagają organizacjom zmniejszać ryzyko przy jednoczesnym zachowaniu tempa zmian w technologii, potrzebach biznesowych i regulacjach.

Zarządzanie danymi nie powinno znajdować się tylko w jednym zespole. Liderzy ds. zabezpieczeń, liderzy ds. danych, zespoły ds. zgodności i sponsorzy wykonawczy mają rolę w określaniu priorytetów, zatwierdzaniu zasad i przeglądaniu ryzyka. Własność współdzielona pomaga zachować zarządzanie w sposób dopasowany do celów biznesowych i wymagań dotyczących zabezpieczeń.

Nie wszystkie dane są narażone na taki sam poziom ryzyka. Praktycznym punktem wyjścia jest skupienie się na obszarach, w których narażenie miałoby największy wpływ, takich jak:

• Dane kadrowe
• Dane klienta
• Dane finansowe
• Własność intelektualna.

Zaczynając od tych dziedzin, pomaga to zespołom w rozwiązywaniu problemów z najbardziej poufnymi informacjami przed szerszym rozszerzeniem wysiłków w zakresie zarządzania.

Zasady zarządzania powinny być zgodne z podstawowymi zasadami zabezpieczeń, szczególnie z zasadami modelu Zero Trust i najniższymi uprawnieniami. Oznacza to, że dostęp do poufnych danych powinien być ograniczony, regularnie przeglądany i powiązany z jasnymi potrzebami biznesowymi. Zasady powinny również definiować sposób klasyfikowania, udostępniania, zachowywania i monitorowania danych.

Ręczne prace w zakresie zarządzania mogą być powolne i trudne do utrzymania na dużą skalę. Automatyzacja może pomóc, zapewniając obsługę w następujących obszarach:

• Odnajdowanie danych
• Klasyfikacja
• Egzekwowanie zasad
• Ciągły przegląd wzorców dostępu i ich użycia

Zapewnia to zespołom spójniejszy sposób stosowania kontroli w złożonych środowiskach.

Zarządzanie powinno być przeglądane jako ciągła funkcja zabezpieczeń, a nie jednorazowa konfiguracja. Ciągłe monitorowanie pomaga zespołom wykrywać ryzykowne zachowanie danych, przeglądać działania inspekcji i wcześniej identyfikować luki w kontroli. Przydatne sygnały mogą obejmować dzienniki inspekcji, szczegółowe informacje o kondycji zabezpieczeń danych i wyniki zdarzeń.

Zasady zarządzania należy przeglądać i aktualizować, gdy organizacje wdrażają nowe usługi w chmurze, narzędzia sztucznej inteligencji i platformy współpracy. Nowe technologie często zmieniają sposób tworzenia, udostępniania i uzyskiwania dostępu do danych, co oznacza, że reguły zarządzania również mogą wymagać zmian.

Silny program zarządzania zależy nie tylko od narzędzi i zasad. Wymaga to również kultury zarządu i odpowiedzialności za dane, w której zespoły rozumieją swoją rolę w ochronie poufnych informacji i przestrzeganiu zatwierdzonych praktyk.

Modele dojrzałości mogą pomóc organizacjom mierzyć postęp, identyfikować słabe punkty i określać priorytety poprawy. Zapewniają one również kierownictwu bardziej przejrzysty obraz sposobu intensyfikowania wysiłków w zakresie zarządzania w czasie.

Nawet dobrze zaplanowane programy zarządzania danymi mogą napotkać przeszkody. Najczęstsze problemy obejmują dane silosowe, ograniczoną widoczność, ograniczenia zasobów i odporność na zmiany. Te problemy mogą spowalniać postęp, tworzyć luki w poziomie zabezpieczeń i utrudniać zespołom ds. zabezpieczeń stosowanie spójnych zabezpieczeń w całej organizacji.

Dane podzielone na silosy

Informacje poufne często znajdują się w oddzielnych systemach, zespołach i platformach. Gdy dane są rozproszone, coraz trudniej jest klasyfikować, chronić i monitorować je w spójny sposób.

Brak widoczności

Wiele organizacji ma trudności ze sprawdzaniem, gdzie znajdują się poufne dane, kto może do nich uzyskiwać dostęp oraz jak są one przenoszone między usługami w chmurze, punktami końcowymi, aplikacjami SaaS i narzędziami sztucznej inteligencji. Bez tego widoku zarządzanie ryzykiem jest trudniejsze.

Ograniczenia zasobów

Prace w zakresie zarządzania mogą zostać wstrzymane, gdy zespoły nie mają wystarczającej ilości czasu, personelu lub pomocy technicznej, aby zapewniać aktualność zasad, klasyfikacji i przeglądów.

Oporność organizacyjna

Zarządzanie często wymaga zmian w sposobie przechowywania i udostępniania informacji oraz zarządzania nimi. Może to stwarzać problemy, jeśli zespoły będą postrzegać zarządzanie jako dodatkowy proces, a nie część przynależną do procesu ograniczania ryzyka.

Kilka ukierunkowanych kroków może pomóc w czynieniu postępów w ramach programu:

• Zacznij od dziedzin obejmujących dane wysokiego ryzyka, takich jak dane kadrowe, finansowe, dane dotyczące klientów lub własności intelektualnej, zamiast próbować zarządzać wszystkim jednocześnie.
• Najpierw ulepszaj widoczność, identyfikując miejsce przechowywania danych poufnych i sposób uzyskiwania do nich dostępu.
• Używaj automatyzacji tam, gdzie to możliwe na potrzeby odnajdowania, klasyfikacji i wymuszania zasad, aby zmniejszać nakłady pracy ręcznej.
• Określaj wyraźną własność między zespołami ds. zabezpieczeń, danych i zgodności, aby decyzje dotyczące zarządzania nie zostały wstrzymane.
• Regularnie przeglądaj i aktualizuj zasadyw miarę zmiany usług w chmurze, narzędzi sztucznej inteligencji i biznesowych przepływów pracy.
• Używaj modeli dojrzałości do śledzenia postępu i pokazywania kierownictwu, gdzie potrzebna jest większa uwaga lub inwestycja.

Celem nie jest rozwiązanie każdego problemu z wiązanego z zarządzaniem w sposób jednoczesny. Stałe podejście — skoncentrowane na widoczności, własności współdzielonej i ulepszeniach, którymi można zarządzać — może sprawić, że nadzór będzie bardziej zrównoważony i bardziej przydatny dla zespołów ds. zabezpieczeń w miarę upływu czasu.

Program zarządzania danymi ukierunkowany na zabezpieczenia wymaga narzędzi, które ułatwiają zespołom zrozumienie ich danych, jasne organizowanie ich i stosowanie spójnego nadzoru w całej firmie. Zarządzanie danymi na platformie Microsoft Purview umożliwia zarządzanie danymi, ich zrozumienie i zarządzanie nimi za pomocą ujednoliconego podejścia z funkcjami skoncentrowanymi na widoczności, selekcjonowaniu i pewności danych.

Organizacje mogą upraszczać widoczność różnych katalogów i źródeł danych, obsługiwać zarządców danych za pomocą jakości danych i pochodzenia oraz ulepszać odnajdowanie i zrozumienie danych na dużą skalę dzięki zarządzaniu danymi na platformie Microsoft Purview. Środowisko zarządzania obejmuje mapę danych do skanowania zasobów i przechwytywania metadanych oraz ujednolicony wykaz na potrzeby wyszukiwania, nadzorowania i zarządzania dostępem do danych.

W przypadku zespołów ds. zabezpieczeń i zgodności lepiej zarządzana infrastruktura danych może ułatwiać wykonywanie następujących czynności:

• Znajdowanie poufnych danych w środowiskach rozproszonych.
• Zwiększanie zaufania do danych dzięki informacjom o jakości i pochodzeniu.
• Obsługa odpowiedzialnego użycia danych w scenariuszach analizy i sztucznej inteligencji.
• Praca z bardziej ujednoliconego widoku potrzeb dotyczących zabezpieczeń danych, zarządzania nimi i ich zgodności.

Dowiedz się więcej o ustanawianiu zarządzania danymi przedsiębiorstwa dla organizacji za pomocą zarządzania danymi na platformie Microsoft Purview.