Kaj je upravljanje podatkov za varnost?

Upravljanje podatkov je pomembno za varnost, ker organizacijam zagotavlja dosleden način za prepoznavanje občutljivih podatkov, njihovo zaščito, nadzor dostopa do njih in spremljanje načina njihove uporabe. Ko je ta temelj vzpostavljen, lahko varnostne ekipe zmanjšajo tveganje v zapletenih okoljih, ki vključujejo storitve v oblaku, sisteme na mestu uporabe, aplikacije SaaS, končne točke in orodja UI.

Varnostne ekipe lahko z močnim upravljanjem podatkov lažje zmanjšajo tveganje za kršitve varnosti podatkov, kibernetske napade in notranje grožnje, saj olajša iskanje, razvrščanje, zaščito in spremljanje občutljivih podatkov. Zmanjšuje tudi nenamerno izpostavljenost z uporabo jasnih ukrepov za nadzor dostopa in uveljavljanja pravilnikov, zato je manj verjetno, da bodo podatki prekomerno deljeni ali obravnavani zunaj odobrenih meja.

Ko organizacije uvajajo več storitev v oblaku, platform SaaS in aplikacij umetne inteligence, upravljanje zagotavlja skupno strukturo za postopke zaščite in zagotavljanje skladnost s predpisi v vseh teh okoljih. Ta doslednost ekipam omogoča lažje upravljanje tveganja za podatke, ne da bi se zanašale na različna pravila za vsak sistem ali potek dela.

Ključne prednosti za varnostne ekipe

Organizacije lahko z dobro opredeljenim programom upravljanja lažje:

• Zmanjšajo kršitev varnosti in notranje tveganje s prepoznavanjem, zaščito in spremljanjem občutljivih podatkov.
• Preprečijo nenamerno izpostavljenost in prekomerno deljenje z močnimi ukrepi za nadzor dostopa in uveljavljanjem pravilnikov.
• Zagotovijo podporo za uvedbo storitev v oblaku, rešitev SaaS in umetne inteligence z uporabo standardiziranih postopkov zaščite in skladnosti s predpisi v vseh okoljih.
• Okrepijo skladnost s predpisi in pripravljenost na revizijo z uskladitvijo obravnave podatkov s pravnimi, regulativnimi in panožnimi zahtevami.
• Izboljšajo odziv na dogodek s poenostavitvijo sledenja dostopu do podatkov in njihovi uporabi med preiskavami.
• Vzpostavijo zaupanje v poslovne podatke in podatke umetne inteligence, da lahko ekipe sprejemajo odločitve z večjo samozavestjo.
• Povečajo operativno učinkovitost z bolj avtomatiziranimi in standardiziranimi ukrepi za nadzor0.

Varnostne ekipe brez jasnega upravljanja pogosto porabijo več časa za iskanje občutljivih podatkov, preverjanje, kdo ima dostop do njih, in ugotavljanje, kako so se podatki prenašali med sistemi. Z vzpostavljenim upravljanjem imajo močnejšo podlago za zaščito, preiskovanje, preglede glede skladnost s predpisi in vsakodnevno sprejemanje odločitev.

Sodobni program upravljanja podatkov s poudarkom na varnosti zahteva dve stvari:

• jasno življenjsko dobo za izvajanje dela upravljanja in
• nabor ključnih področij, ki usmerjajo vsakodnevne odločitve.

Organizacije lahko s kombinacijo teh elementov lažje prepoznajo, razvrstijo, zaščitijo in spremljajo občutljive podatke v celotnem podjetju.

Praktični okvir se začne s ponovljivim življenjskim ciklom. Vsaka stopnja nadgrajuje prejšnjo in ekipam za varnostne postopke (SecOps) zagotavlja strukturiran način za dolgoročno upravljanje tveganj v zvezi s podatki.

1. Opredelite pravilnike in standarde

Določite pravila za način razvrščanja, deljenja, hranjenja in zaščite občutljivih podatkov ter dostopa do njih ter poskrbite, da so zahteve glede varnosti in skladnosti s predpisi vključene že od začetka.

2. Uvedite ukrepe za varnost in upravljanje

Ta pravila uveljavite s tehničnimi ukrepi, omejitvami dostopa, označevanjem in uveljavljanjem pravilnikov v vseh sistemih ter potekih dela.

3. Spremljajte uporabo podatkov in tveganja

Spremljajte, kam so občutljivi podatki preneseni, kako se uporabljajo in kje se morda razvijajo tvegane dejavnosti ali odstopanja od pravilnikov.

4. Preiskujte in odpravite dogodke

Preglejte težave, sledite dejavnostim, omejite izpostavljenost in odpravite vrzeli v dostopu, ravnanju ali nadzoru.

5. Ponovite in izboljšajte

Izpopolnite pravilnike, ukrepe in postopke, ko se spreminjajo grožnje, poslovne potrebe, tehnologije in predpisi.

Zrelost upravljanja podatkov pomaga organizacijam oceniti njihov trenutni program z vidika varnosti – od trenutnih in reaktivnih nadzornih mehanizmov do bolj proaktivnega varnostnega okvira. Ekipam zagotavlja praktični način, da razumejo, kje so danes, in kaj je treba izboljšati v prihodnosti.

Pri pregledu zrelosti je treba podrobno preučiti področja, ki najbolj vplivajo na tveganje v zvezi s podatki in nadzor nad njimi. To vključuje, kako uspešno organizacija odkriva občutljive podatke, izvaja nadzor dostopa, se odziva na dogodke in spremlja skladnost s predpisi v daljšem časovnem obdobju.

Med vprašanja, ki si jih je treba zastaviti, spadajo:

• Ali so občutljivi podatki dosledno razvrščeni v vseh okoljih?
• Ali so pravilniki za dostop jasno uporabljeni in uveljavljeni z uveljavljanjem najmanjših pravic?
• Ali lahko ekipe stalno spremljajo tvegana ravnanja s podatki in nove grožnje?
• Ali so revizije in postopki za odziv na dogodke redni, sledljivi in pravočasni?

S postopnim razvojem programa bi morali cilji na področju varnosti postati bolj dosledni in lažje merljivi. Med pogoste cilje spadajo:

• Dosledna razvrstitev občutljivih podatkov v vseh okoljih, da so iste vrste informacij obravnavane na enak način
• Avtomatizirano uveljavljanje najmanjših pravic in pravilnikov za dostop za zmanjšanje nepotrebnega dostopa ter omejevanje odstopanja od pravilnikov
• Stalno spremljanje tveganih ravnanj s podatki in groženj, da je težave mogoče odkriti prej

Redne revizije in hiter ter sledljiv odziv na dogodke za podporo preiskavam, odgovornosti in pregledom skladnosti s predpisi.

Model zrelosti lahko zagotovi pomoč pri primerjavi napredka, določanju prioritet pri vlaganjih v varnost ter jasnem poročanju vodstvu o izboljšavah. Ekipam zagotavlja tudi skupno strukturo za odločanje, katere vrzeli je treba odpraviti najprej in kako meriti spremembe v daljšem časovnem obdobju.

Zrelost upravljanja podatkov ni enkratni mejnik. Ko se spremenijo grožnje, tehnologije in predpisi, je treba programe pregledati in izpopolnite, tako da so varnostni kontrolniki in postopki upravljanja še naprej usklajeni s trenutnimi tveganji.

Upravljanje podatkov, varnost podatkov in skladnost s predpisi so tesno povezani, vendar niso enaki. Upravljanje podatkov določa, kako so podatki organizirani, kdo je njihov lastnik in kako so upravljani v celotnem podjetju. Varnost podatkov uporablja tehnične kontrolnike in kontrolnike postopkov za zaščito teh podatkov. Skladnost s predpisi zagotavlja, da so te prakse upravljanja in varnosti usklajene s pravnimi, regulativnimi in panožnimi zahtevami.

Upravljanje podatkov vzpostavlja strukturo, na kateri temeljijo podatki. Določa, kdo je lastnik podatkov, kako je treba razvrstiti podatke, kako jih je treba obravnavati in kateri standardi veljajo v organizaciji. Za varnostne ekipe upravljanje podatkov zagotavlja operativni model za dosledno upravljanje občutljivih informacij.

Varnost podatkov uvaja ta pravila v prakso s kontrolniki za zaščito občutljivih informacije pred izgubo, zlorabo ali nepooblaščenim dostopom. Pogosti primeri vključujejo preprečitev izgube podatkov, upravljanje pravic do informacij (IRM), oznake občutljivosti, upravljanje stanja varnosti podatkov (DSPM) in kontrolnike za notranja tveganja. Ti ukrepi pomagajo zmanjšati izpostavljenost v storitvah v oblaku, sistemih na mestu uporabe, končnih točkah, aplikacijah in potekih dela z UI.

Skladnost s predpisi je osredotočena na to, ali prakse upravljanja podatkov izpolnjujejo zunanje in notranje zahteve. To vključuje regulativne okvire, kot sta uredba GDPR in zakon HIPAA, skupaj s pravilniki podjetja in pričakovanji glede revizije. V praksi je skladnost s predpisi odvisna od ustreznega upravljanja in zmogljivih varnostnih kontrolnikov.

Te tri discipline delujejo najbolje, ko so usklajene:

• Upravljanje določa, kako morajo biti podatki organizirani, kdo je njihov lastnik in kako so upravljani.
• Varnost uporablja kontrolnike za zaščito teh podatkov v vsakdanji uporabi.
• Skladnost s predpisi preverja, ali so ti kontrolniki in postopki skladni z zahtevanimi standardi.

Microsoft Purview zagotavlja poenoten pristop v teh disciplinah v eni platformi z zmogljivostmi, ki izpolnjujejo zahteve glede zaščite, upravljanja in skladnosti s predpisi v dobi umetne inteligence.

Varnostne ekipe uporabljajo orodja za upravljanje podatkov za iskanje občutljivih podatkov, njihovo razvrščanje, nadzorovanje dostopa in spremljanje tveganj v storitvah v oblaku, sistemih na mestu uporabe, aplikacijah SaaS, končnih točkah in orodjih UI. S temi tehnologijami lahko organizacije uporabljajo dosledne zaščite v širokem in pogosto razdrobljenem podatkovnem okolju.

Zmogljiv nabor orodij za upravljanje podatkov mora podpirati več ključnih funkcij:

Poenoteno odkrivanje podatkov in njihovo razvrščanje. Poiščite občutljive podatke v okoljih v oblaku, okoljih na mestu uporabe, okoljih SaaS in okoljih z UI, nato pa jih razvrstite glede na občutljivost in poslovni vpliv.

Označevanje občutljivosti in uveljavljanje pravilnikov. Uporabite jasna pravila za način dostopa do podatkov, njihove skupne rabe, shranjevanja in načina uporabe.

Preprečitev izgube podatkov (DLP). Zaznajte in blokirajte tvegano premikanje podatkov v e-poštnih sporočilih, končnih točkah, brskalnikih in aplikacijah v oblaku.

Upravljanje notranjega tveganja. Prepoznajte vedenje uporabnikov, ki lahko ogrozi občutljive podatke – zaradi zlorabe, malomarnosti ali kršitev pravilnikov.

Upravljanje stanja varnosti podatkov (DSPM). Neprekinjeno ocenjujte tveganje podatkov, pregledujte vrzeli nadzora in spremljajte težave, povezane z uporabo UI, prekomerno skupno rabo in izpostavljeno občutljivo vsebino.

Katalogi podatkov in poslovni slovarji. Podprite doslednost tako, da zagotovite ekipam skupen način opisovanja, organiziranja in iskanja podatkov v podjetju.

Avtomatizacija in UI lahko zmanjšata količino ročnega dela tako, da zagotovita podporo pri tem:

• Razvrščanje občutljivih podatkov
• Zaznavanje tveganih dejavnosti
• Predlogi pravilnikov in posodobitve nadzora
• Nenehno pregledovanje izpostavljenosti podatkov in vzorcev dostopa

Te zmogljivosti podpirajo tudi varnost podatkov z UI tako, da ekipam omogočajo lažje spremljanje načina uporabe občutljivih podatkov potekih dela, ki temeljijo na UI. Tako varnostne ekipe porabijo manj časa za ročni pregled in več časa za izboljšanje zaščite ter odzivanje na tveganja.

Brez ustreznih orodij je težko spremljati, kje so shranjeni občutljivi podatki, kako so označeni, kdo lahko dostopa do njih in kako se premikajo v sistemih. Z zmogljivejšim naborom orodij za upravljanje lahko varnostne ekipe uporabljajo bolj dosledne kontrolnike, se hitreje odzivajo na težave in bolje nadzirajo sodobna podatkovna okolja.

Zmogljiv program za upravljanje podatkov deluje najbolje, ko si ekipe za varnost, podatke in skladnost s predpisi delijo odgovornost za način obravnavanja občutljivih informacij. Z jasnim lastništvom, uporabnimi pravilniki in rednim pregledom lahko organizacije zmanjšajo tveganje, hkrati pa sledijo spremembam v tehnologiji, poslovnih potrebah in predpisih.

Za upravljanje podatkov ne sme biti odgovorna samo ena ekipa. Vodje varnosti, vodje podatkov, ekipe za skladnost s predpisi in izvršni sponzorji imajo vsi vlogo pri določanju prednostnih nalog, potrjevanju pravilnikov in pregledovanju tveganj. S skupno odgovornostjo lažje ohranite usklajenost upravljanja s poslovnimi cilji in varnostnimi zahtevami.

Vsi podatki nimajo enake ravni tveganja. Uporabna začetna točka je, da se osredotočite na področja, kjer ima izpostavljenost največji vpliv, na primer:

• Podatki kadrovske službe
• Podatki stranke
• Finančni podatki
• Intelektualna lastnina

Če začnete s temi domenami, lahko ekipe lažje obravnavajo najobčutljivejše informacije, preden razširijo prizadevanja za upravljanje.

Pravilniki o upravljanju morajo biti v skladu z osnovnimi varnostnimi načeli, zlasti z načelom Ničelnega zaupanja in najmanjšimi pravicami. To pomeni, da mora biti dostop do občutljivih podatkov omejen, redno pregledan in vezan na jasno poslovno potrebo. Pravilniki morajo določati tudi, kako so podatki razvrščeni, dani v skupno rabo, hranjeni in spremljani.

Ročno upravljanje je lahko počasno in ga je težko ohranjati v velikem obsegu. Avtomatizacija lahko zagotavlja podporo pri tem:

• Odkrivanje podatkov
• Razvrstitev
• Uveljavljanje pravilnikov
• Redno pregledovanje vzorcev dostopa in uporabe

To ekipam omogoča bolj dosleden način uporabe kontrolnikov v kompleksnih okoljih.

Upravljanje je treba obravnavati kot neprekinjeno varnostno funkcijo in ne kot enkratno nastavitev. Z neprekinjenim spremljanjem lahko ekipe prepoznajo tvegano vedenje v zvezi s podatki, pregledajo dejavnost revizije in prej prepoznajo vrzeli v kontrolnikih. Uporabni signali lahko vključujejo dnevnike nadzora, vpoglede v stanje varnosti podatkov in rezultate dogodkov.

Pravilnike o upravljanju je treba pregledati in posodobiti, ko organizacije uvedejo nove storitve v oblaku, orodja UI in platforme za sodelovanje. Nove tehnologije pogosto spremenijo način ustvarjanja, skupne rabe in dostopanja do podatkov, kar pomeni, da se morajo morda spremeniti tudi pravila upravljanja.

Zmogljiv program za upravljanje temelji na več kot le orodjih in pravilnikih. Zahteva tudi kulturo upravljanja podatkov in odgovornosti, kjer ekipe razumejo svojo vlogo pri zaščiti občutljivih informacij in upoštevanju odobrenih praks.

Z zrelostnimi modeli lahko organizacije merijo napredek, prepoznajo šibke točke in določijo prioritete za izboljšave. Vodjem zagotavljajo tudi jasnejši vpogled v način razvoja prizadevanj glede upravljanja v določenem časovnem obdobju.

Celo v dobro načrtovanih programih za upravljanje podatkov lahko pride do ovir. Najpogostejše težave vključujejo podatkovne silose, omejeno vidljivost, omejitve virov in odpor do sprememb. Te težave lahko upočasnijo napredek, ustvarijo vrzeli v stanju varnosti in varnostnim ekipam otežijo uporabo dosledne zaščite v organizaciji.

Podatki v silosih

Občutljive informacije so pogosto shranjene v ločenih sistemih, ekipah in platformah. Ko so podatki raztreseni, jih je težje dosledno razvrstiti, zaščititi in spremljati.

Pomanjkanje vidljivosti

Številne organizacije težko pridobijo vpogled v to, kje so občutljivi podatki shranjeni, kdo lahko dostopa do njih in kako se premikajo v storitvah v oblaku, končnih točkah, aplikacijah SaaS in orodjih UI. Brez tega vpogleda je tveganje težje upravljati.

Omejitve virov

Postopek upravljanja se lahko ustavi, če ekipe nimajo na voljo dovolj časa, osebja ali tehnične podpore za posodabljanje pravilnikov, klasifikacij in pregledov.

Neodobravanje s strani organizacije

Prizadevanja za upravljanje pogosto zahtevajo spremembe načina shranjevanja, skupne rabe in upravljanja informacij. To lahko povzroči neodobravanje, če ekipe upravljanje vidijo kot dodaten postopek in ne kot del zmanjševanja tveganj.

Z nekaj osredotočenimi koraki lahko zagotovite napredek programa:

• Začnite s podatkovnimi domenami z visoko ravnjo tveganja, kot so podatki o kadrih, finančni podatki, podatki o strankah ali podatki o intelektualni lastnini, namesto da bi poskušate upravljati vse hkrati.
• Najprej izboljšajte vidljivost tako, da prepoznate, kje so občutljivi podatki shranjeni in kako ljudje do njih dostopajo.
• Uporabite avtomatizacijo, kjer je mogoče za odkrivanje, razvrščanje in uveljavljanje pravilnikov, da zmanjšate količino ročnega dela.
• Določite jasno lastništvo v ekipah za varnost, podatke in skladnost s predpisi, da se postopki sprejemanja odločitev glede upravljanja ne ustavijo.
• Redno pregledujte in posodabljajte pravilnike v skladu s spremembami storitev v oblaku, orodij UI in poslovni poteki dela.
• Uporabljajte zrelostne modele, da spremljate napredek in vodstvu predstavite, kje je potrebne več pozornosti ali naložb.

Cilj ni odpraviti vseh težav z upravljanjem hkrati. S stabilnim pristopom, osredotočenim na vidljivost, skupno lastništvo in izboljšave, ki jih je mogoče upravljati, lahko sčasoma vzpostavite upravljanje, ki je bolj trajnostno in koristno za varnostne ekipe.

Program za upravljanje podatkov, ki je osredotočen na varnost, zahteva orodja, s katerimi lahko ekipe pridobijo vpogled v podatke, jih jasno organizirajo in uporabijo dosleden nadzor v podjetju. Upravljanje podatkov Microsoft Purview zagotavlja način za upravljanje, razumevanje in upravljanje podatkov s poenotenim pristopom, funkcijami, osredotočenimi na vidljivost, kuriranje in zaupanje v podatke.

Organizacije lahko z Upravljanjem podatkov Microsoft Purview poenostavijo vidljivost v različnih katalogih in virih podatkov, podprejo skrbnike podatkov s kakovostjo in izvorom podatkov ter izboljšajo odkrivanje in razumevanje podatkov v velikem obsegu. Izkušnja upravljanja vključuje Zemljevid podatkov za pregledovanje sredstev in zajemanje metapodatkov ter Poenoteni katalog za iskanje, kuriranje in upravljanje dostopa do podatkov.

Ekipe za varnost in skladnost s predpisi lahko z bolj upravljanim podatkovnim okoljem lažje izvajajo ta opravila:

• Iskanje občutljivih podatkov v porazdeljenih okoljih.
• Izboljšanje zaupanja v podatke prek informacij o kakovosti in poreklu.
• Podpiranje odgovorne uporabe podatkov v analitičnih scenarijih in scenarijih UI.
• Delo z bolj poenotenim vpogledom v potrebe varnosti podatkov, upravljanja in skladnosti s predpisi.

Več informacij o vzpostavljanju upravljanja podatkov podjetja za organizacijo z Upravljanjem podatkov Microsoft Purview.