HelpSource

  We are in the process of selecting a data loss prevention (DLP) tool. After discussing it with vendors, 我们意识到DLP的成功实施取决于对数据进行分类，以识别关键字，使DLP能够识别需要保护的数据. The challenge is we have a huge amount of data that are scattered all over. 因此，我们仍在努力寻找正确的方法来帮助我们对数据进行分类. How should we approach this problem?

  数据或信息是任何组织的主要推动者，正如COBIT 5中所建立的那样. 今天的组织产生、处理、使用和存储大量的数据/信息. Many organizations face similar problems when classifying data/information. Although there is no panacea to this problem, it can be addressed based on the approaches used by various organizations.

ISACA的 防止数据泄漏¹ white paper identifies three key objectives for a DLP solution:

• Locate and catalog sensitive information stored throughout the enterprise. (数据分类)
• 监视和控制敏感信息在澳门赌场官方下载网络中的移动. (Network-level controls)
• 监视和控制终端用户系统上敏感信息的移动. (最终用户控制)

The white paper provides guidelines for implementing DLP. 这些准则是:

• Data classification should be the first step of the program.
• Define and implement data classification and protection policies.
• Implement and configure DLP solutions per policy.
• 识别和监控与DLP解决方案在保护组织数据方面的限制相关的风险.

DLP的主要目标是防止秘密和机密信息到达意外的接收者. 组织希望DLP能够检测到这些秘密或机密信息何时传输到组织边界之外. 有效的DLP实施需要仔细规划和文化变革, 如果不识别和分类组织的数据和信息，哪些是不可能的.

还有一点需要考虑:仅实施DLP解决方案可能无法提供所需的数据保护保证级别. 它可能必须辅以实施和集成数字版权管理(DRM)和访问管理解决方案.

Other aspects to consider while implementing a DLP solution include:

• 一般, 法规要求意味着数据泄露对组织来说可能是灾难性的, 责任和诉讼的可能性是组织考虑DLP技术的主要驱动因素.
• 很多次, 只有专注于保护知识产权和商业秘密的组织才会部署DLP.
• DLP和数字版权管理(DRM)的实施应该被视为一个组织计划，而不是一个IT计划.
• 这样的计划可能有多个项目/阶段，可能需要一到三年的时间来完全实施，这取决于组织的规模.
• DLP can protect data/information within the organization’s perimeter, but cannot be extended beyond boundaries such as DRM.
• Data classification forms the foundation for DLP to be successful.
• 在组织使用云技术的情况下，DLP不是充分的保护.

At this point, the focus is on the first step: the classification of data.

Data classification best practices suggest the following steps:

1. 定义一个分类方案，在该方案中，组织内的数据/信息被识别并分类到预定义的桶中(例如.g., top secret, confidential, sensitive, internal, public). 机构可根据其数据/资料的性质，采用不同的方案.
2. 识别组织的软形式(数字或电子)和硬形式(物理文档)的数据. 也, 请注意，在履行职责的同时处理数据的员工的头脑中有大量的数据/信息.
3. 定义适用于整个组织的数据分类和保护策略. The policy should address the privacy policy and related compliance.
4. Determine the method to classify the data. 最好的方法是使用风险管理框架来帮助确定数据的性质.
5. Classify and label the data.
6. Implement controls for protection.

组织在执行第五步时面临主要挑战，主要是由于:

• The volume of data generated, processed and stored
• Multiple data owners and coordination among them
• Cross-functional dependency and accesses required by such teams
• Classifying and labeling historical data

在执行数据分类过程时，可考虑以下建议:

• 对业务流程所有者进行数据分类和保护策略方面的培训, including the privacy policy.
• 要求业务流程所有者识别数据元素和数据源. This will help in identifying data owners/custodians. 例如, employee data generated and owned by the human resources (HR) function, but used by other departments, must be classified by HR, and others must use that classification.
• 形成小的数据集，从数据元素中获得有意义的信息，并对它们进行分类. 例如, 员工数量, name, 出生日期, 地址和雇用日期可以形成一个数据集，通常用于其他功能，如工资和物理安全. 许多独立的数据元素不能被分类，只有少数例外(例如.g.、信用卡号码).
• 在对这些信息进行分类时，识别报告/文档中使用的数据集(部分或完整)，并根据数据集的分类确定报告/信息的分类级别. Most information or reports generally contain multiple data sets. 一般, the highest level shall prevail. 例如, employee personal information is confidential; therefore, the payslip of the employee is automatically classified as confidential.
• Determine and document exceptions.
• 维护以功能为中心的集中式数据集目录，以验证数据的分类.
• Implement a process for periodic review.
• Implement an ongoing classification process.

一旦分类过程开始，可能会考虑进一步优化安全性的步骤. 在实施DLP解决方案时，用于对数据进行分类的标签可以作为关键字.

最后需要注意的一点是，尽管DLP解决方案显著提高了组织管理与数据泄漏相关风险的能力, 这些解决方案的实现是复杂的，容易出现可能妨碍实现目标的错误和错误. Careful planning and preparation, communication and training are essential for successful DLP programs.

尾注

¹ ISACA, 防止数据泄漏，美国，2010