Фреймворки классификации данных

Введение

Какие данные можно отправить партнёру по email? Какие — только через зашифрованный канал? Какие вообще нельзя выносить за периметр организации? Без системы Data Classification (классификация данных) ответы на эти вопросы зависят от интуиции конкретного сотрудника. Классификация данных превращает интуицию в формализованные правила, автоматически определяющие требования к хранению, передаче, доступу и удалению.

Уровни классификации

Стандартная четырёхуровневая модель классификации:

Public (Открытые)

Данные, предназначенные для публичного доступа. Утечка не причиняет вреда.

Примеры: каталог продуктов, публичные отчёты, документация API, маркетинговые материалы.

Обработка: без ограничений хранения и передачи.

Internal (Внутренние)

Данные для внутреннего использования. Утечка вызывает незначительный ущерб.

Примеры: внутренние вики, протоколы совещаний, организационная структура, рабочие инструкции.

Обработка: хранение в корпоративных системах, TLS при передаче за периметр.

Confidential (Конфиденциальные)

Чувствительные данные бизнеса или персональные данные. Утечка вызывает значительный ущерб.

Примеры: PII клиентов, финансовые отчёты, контракты, данные о зарплатах, коммерческая тайна.

Обработка: шифрование at rest (AES-256), TLS 1.2+ при передаче, RBAC с подтверждением руководителя.

Restricted (Ограниченные)

Данные высшей степени чувствительности с регуляторными требованиями. Утечка вызывает критический ущерб.

Примеры: платёжные данные (PCI DSS), медицинские записи, учётные данные, ключи шифрования.

Обработка: шифрование + выделенная зона безопасности, MFA для доступа, именной доступ с логированием.

Проектирование фреймворка классификации

Построение фреймворка классификации для организации включает пять шагов:

1. Определение уровней

Выберите количество уровней (обычно 3-5) и определите критерии для каждого:

2. Определение правил обработки

Для каждого уровня — чёткие правила:

{
  "level": "confidential",
  "handling": {
    "storage": "Encrypted at rest (AES-256)",
    "transmission": "TLS 1.2+; no email attachments",
    "access": "Role-based; manager approval required",
    "retention_days": 2555,
    "disposal": "Secure deletion with audit trail"
  }
}

3. Инвентаризация и присвоение

Каждый актив данных (таблица, файл, поток) получает метку классификации:

-- Пример: тегирование таблиц в каталоге данных
UPDATE data_catalog
SET classification = 'confidential'
WHERE table_name IN ('customers', 'orders', 'payments');

4. Автоматизация

Автоматическая классификация новых активов на основе правил:

• Столбец содержит PII-паттерн -> Confidential
• Таблица в PCI-зоне -> Restricted
• Публичный API endpoint -> Public

5. Аудит и пересмотр

Регулярный пересмотр классификации: раз в квартал или при изменении регуляторных требований.

Сценарий: FinSecure Bank

Сценарий: FinSecure Bank (ФинСекьюр Банк)

FinSecure строит фреймворк классификации для выполнения требований PCI DSS и GDPR одновременно. Текущая ситуация:

• 800+ таблиц в Oracle (core banking) — ни одна не классифицирована
• 15 PostgreSQL-баз (микросервисы) — классификация отсутствует
• OpenMetadata содержит метаданные для 40% таблиц, но без тегов классификации

Data Steward предлагает: начать с автоматической классификации таблиц, содержащих PII (column name matching), затем вручную классифицировать оставшиеся. Целевой coverage: 100% таблиц классифицированы в течение 6 месяцев.

Практика: Data Classification Policy

В ФинСекьюр необходимо формализовать фреймворк классификации данных в виде JSON-политики. Создайте документ с четырьмя уровнями классификации, каждый с правилами обработки для хранения, передачи, доступа, хранения и удаления.

Итоги

• Четыре уровня классификации: Public, Internal, Confidential, Restricted
• Каждый уровень определяет правила хранения, передачи, доступа, retention и удаления
• Фреймворк строится в 5 шагов: уровни -> правила -> инвентаризация -> автоматизация -> аудит
• Автоматическая классификация ускоряет покрытие: PII-паттерны определяют начальный уровень
• FinSecure сочетает PCI DSS и GDPR требования в едином фреймворке

В следующем уроке мы рассмотрим DPIA (оценка воздействия на защиту данных) — формальный процесс оценки рисков обработки персональных данных.