PRAWIDŁOWE ZARZĄDZNIE DANYMI. RODZAJE, KLASYFIKACJA, ROLE, OCHRONA

W obecnym świecie coraz większą wartość mają dane. Powstają ogromne centra baz danych, a przedsiębiorstwa posiadające lepsze, bardziej szczegółowe dane mogą umacniać swoją pozycję na rynku.

Lecz o jakie dane chodzi? Przecież zakres desygnatów pojęcia „dane” jest niezwykle szeroki i zgodnie ze słownikiem języka polskiego obejmuje fakty, na których można się oprzeć w wywodach, informacje, szanse powodzenia, jak również dowolne informacje przetwarzane przez komputer.

W związku z tym, na potrzeby niniejszego artykułu można przyjąć, że danymi są wszystkie informacje, które mogą być przetwarzane, a więc na przykład dane osobowe, dane o konkurencji, informacje handlowe i marketingowe, dane o zachowaniach poszczególnych osób lub całych grup, informacje o preferencjach konsumentów, dane statystyczne czy dane badawcze.

Mając tak szeroko określoną definicję danych, możemy przejść do ich klasyfikacji, która ma niebagatelne znaczenie.

Klasyfikacja danych

Dane są klasyfikowane na podstawie wartości jaką niosą dla organizacji oraz wrażliwości informacji zawartych w tych danych. Najbardziej chronione są wrażliwe dane, które po ich ujawnieniu mogą spowodować utratę bezpieczeństwa lub korzyści, zwłaszcza jeśli dostaną się w ręce osób niepowołanych. Utrata bezpieczeństwa lub korzyści może dotyczyć nie tylko określonego przedsiębiorstwa, ale również pojedynczej osoby, państwa, organizacji czy stowarzyszenia.

Jednakże z uwagi na fakt, że nie można chronić wszystkich danych w taki sam sposób, konieczne jest właściwe ich klasyfikowanie pod względem wrażliwości i potencjalnego negatywnego wpływu w przypadku ujawnienia. W tym miejscu warto zwrócić uwagę na pewną pułapkę zawiązaną z zawyżoną klasyfikacją danych, czyli nadmiernej ochronie danych mniej wrażliwych, co przekłada się na większą ilość czasu oraz zwiększone koszty i zasoby poświęcane na chronienie takich danych.

Sam podział klasyfikacji danych zależy od rodzaju prowadzonej działalności, gdyż inna klasyfikacja będzie obowiązywała w przedsiębiorstwie działającym w ramach rynku kapitałowego, a inna chociażby w agencji rządowej lub wojsku.

W przypadku przedsiębiorstw najpowszechniejszą klasyfikacją jest podział danych na publiczne, wrażliwe, prywatne, poufne i krytyczne.

1. Dane publiczne – są to dane niemające wpływu na organizację, jeśli zostaną ujawnione i zazwyczaj są to dane powszechnie dostępne (np. numer KRS spółki, adres jej siedziby) i często publikowane na stronie internetowej takiego podmiotu jak również zawarte w publicznych rejestrach.
2. Dane wrażliwe – są to dane, które mogą mieć minimalny wpływ na dane przedsiębiorstwo, jeśli zostaną ujawnione. Przykładem mogą tu być dane finansowe lub projekty, które jeszcze nie zostały oficjalnie wdrożone, a ich ujawnienie wskazywało by kierunki ekspansji rynkowej konkretnego przedsiębiorstwa.
3. Dane prywatne – są to dane osobowe klientów, pracowników i współpracowników, informacje o wynagrodzeniach, oraz wszelkie inne dane wykorzystywane wyłącznie wewnątrz danej organizacji. Generalnie za dane prywatne uznaje się informacje odnoszące się do określonego podmiotu, o ile nie stanowią one danych publicznych.
4. Dane poufne – są to dane, których ujawnienie może mieć silne negatywne konsekwencje dla organizacji. Do danych poufnych zalicza się tajemnice handlowe, własność intelektualną, kod źródłowy oraz inne dane, do których ma dostęp wyłącznie upoważniony do tego personel lub osoby trzecie po podpisaniu umowy o zachowaniu poufności.
5. Dane krytyczne – są to dane tak cenne, że ich przechowywanie i przetwarzanie nie może się wiązać z jakimkolwiek ryzykiem, a dostęp do nich jest silnie ograniczony i zazwyczaj obejmuje kilka kluczowych osób w przedsiębiorstwie.

W przypadku sektora rządowego i wojskowego klasyfikacja danych jest odmienna i obejmuje pięć poziomów, czyli dane: nieklasyfikowane (jawne), wrażliwe (niesklasyfikowane i sklasyfikowane), poufne, tajne, ściśle tajne.

1. Dane niesklasyfikowane (jawne) – są to dane objęte najniższą klauzulą tajności i są to wszystkie dane udostępniane publicznie, np. informacja o przetargach na sprzedaż wycofanego z użytku mienia wojskowego.
2. Dane wrażliwe – są to dane obejmujące akta osobowe, dokumentację medyczną oraz inne informacje nie mające wpływu na bezpieczeństwo narodowe, ale wpływające na osoby, których te dane dotyczą.
3. Dane poufne – są to dane mogące w znaczącym, poważnym stopniu wpłynąć na państwo lub agencję rządową, jeśli dojdzie do ich nieautoryzowanego ujawnienia, przykładem mogą tu być tajemnice handlowe.
4. Dane tajne – są to dane, których ujawnienie może poważnie zaszkodzić bezpieczeństwu narodowemu, np. informacje o rozmieszczeniu wojsk oraz ich pozycjach obronnych.
5. Dane ściśle tajne – są to dane, których ujawnienie może w jeszcze poważniejszym stopniu zaszkodzić bezpieczeństwu narodowemu niż ujawnienie danych tajnych. Przykładem takich danych mogą być plany systemów uzbrojenia.

Jak widać klasyfikacja danych pociąga za sobą określone skutki, gdyż im dane klasyfikowane są jako bardziej wrażliwe/tajne, tym koszty ich ochrony rosną. Stąd też niezwykle istotne jest, aby prawidłowo klasyfikować dane.

Omawiając klasyfikację nie można nie wspomnieć o cyklu życia danych, który należy uwzględnić przy ustalaniu ich ważności. Jak każda rzecz, tak samo i dane mają swój cykl życia, który obejmuje ich wytworzenie, przetwarzanie, archiwizowanie i usunięcie/zniszczenie. Cykl życia danych jest różny i zależy od typu danych, przepisów prawa, wymogów korporacyjnych lub biznesowych, czy także określonych polityk.

Ponadto niezwykle istotną kwestią jest tak zwane właścicielstwo danych, czyli wskazanie na kim spoczywa odpowiedzialność za dane w całym cyklu ich życia.

Właścicielstwo danych

Właścicielstwo danych jest procesem, w którym dokonuje się identyfikacji osoby odpowiedzialnej za poufność, integralność, dostępność i prywatność danych, rozumianych jako zasoby informacyjne.

Na pierwszy rzut oka wydawać by się mogło, że role te powinny być przypisane wytwórcy danych, jednakże w środowisku korporacyjnym nie jest to takie oczywiste, gdyż w ramach procesu właścicielstwa danych wyróżnia się właściciela danych, kontrolera danych, podmiot przetwarzający dane, zarządcę danych, opiekuna danych oraz inspektora ochrony danych:

1. Właściciel danych (data owner) – to menadżer wyższego szczebla, który ponosi odpowiedzialność za poufność, integralność i dostępność danych (słynna triada CIA, czyli Confidentiality, Integrity, Availability) i nie jest on jednoznaczny z osobą, która dane wytworzyła. Ponadto właściciel danych odpowiada za właściwe oznaczenie zasobu (danych) i zapewnienie jego ochrony za pomocą odpowiednich środków kontroli. Przykładem mogą być bilanse spółki, oznaczone jako dane finansowe, które powinny być chronione w sposób wskazany przez właściciela danych.
2. Kontroler danych (data controller) – to podmiot, który decyduje o celach i metodach zbierania, przechowywania i przetwarzania danych oraz gwarantuje legalność tych procesów. Ponosi on także ostateczną odpowiedzialność za wszelkie naruszenia prywatności i nie może delegować tej odpowiedzialności na kogoś innego.
3. Podmiot przetwarzający dane (data procesor) – to pojedyncza osoba lub grupa osób zatrudniona przez kontrolera danych do pomocy w realizacji zadań polegających na zbieraniu, przetwarzaniu lub analizowaniu danych, pracująca zgodnie z jego instrukcjami dotyczącymi zbierania lub przetwarzania danych.
4. Zarządca danych (data steward) – jest odpowiedzialny za jakość danych i powiązanych z nimi metadanych. Pracuje on na rzecz właściciela danych i razem z nim odpowiada za prawidłowe oznaczenie danych oraz ich klasyfikację.
5. Opiekun danych (data custodian) – odpowiada za zarządzanie systemem, w którym przechowywane są dane, czyli opiekunem danych jest administrator systemu. Ponadto w zakres jego obowiązków wchodzi kontrola dostępu, szyfrowanie danych, tworzenia kopii zapasowych i odzyskiwania z nich danych w oparciu o wymagania określone przez właściciela danych.
6. Inspektor ochrony danych (privacy oficer) – odpowiada za przestrzeganie ram prawnych i regulacyjnych związanych z przetwarzaniem danych, a także jest zobowiązany do kontroli celu przetwarzania danych oraz ograniczeń i zgód związanych z przetwarzaniem danych.

Skoro już wiemy jak wygląda odpowiedzialność za wytworzenie, zbieranie, przetwarzanie, przechowywanie i ochronę danych, przedstawić należy jakich stanów, w których mogą znaleźć się dane, ona dotyczy.

Stany w jakich znajdują się dane

Dane mogą znajdować się w różnych stanach, które oddają inną fazę cyklu życia danych, a to wymaga zastosowania odpowiednich środków bezpieczeństwa w celu ochrony danych przed potencjalnymi zagrożeniami.

Stąd możemy wyróżnić następujące stany danych, tj. dane w spoczynku, dane będące w przesyle (tranzycie) oraz dane w użyciu:

1. Dane w spoczynku (data at rest) – są przechowywane w bazach danych, plikach lub innych systemach pamięci masowej. Nie są one ani przetwarzane, ani przesyłane. Ich statyczny charakter czyni je głównym celem cyberprzestępców, dlatego w celu ochrony danych w spoczynku stosuje się m.in. szyfrowanie, które przekształca czytelne informacje w niezrozumiały kod. Dopiero po użyciu klucza deszyfrującego dane ponownie stają się czytelne. Stąd też do ochrony danych w spoczynku stosuje się różne rodzaje metod szyfrowania, do których można zaliczyć:
   – pełne szyfrowanie dysku – polega za zaszyfrowaniu całego dysku twardego wówczas gdy system jest wyłączony; jeśli natomiast system jest włączony i użytkownik jest zalogowany, wówczas dane są odszyfrowane, co jest wykonywane za pomocą oprogramowania lub urządzenia dyskowego,
   – szyfrowanie poszczególnych partycji – w tym przypadku szyfrowane są określone partycje dysku twardego, a pozostałe pozostają odszyfrowane,
   – szyfrowanie plików – polega za szyfrowaniu określonych pojedynczych plików, wówczas gdy trzeba je zabezpieczyć,
   – szyfrowanie woluminów – polega na szyfrowaniu zestawu wybranych plików lub katalogów z poziomu woluminu lub folderu,
   – szyfrowanie baz danych – polega na szyfrowaniu danych przechowywanych w bazie danych; zaszyfrować można zarówno wiersze, jak i kolumny tabeli,
   – szyfrowanie nagrań – polega na szyfrowaniu określonych pól w rekordzie bazy danych, co umożliwia pozostawianie zaszyfrowanych danych dla użytkowników mających niższe uprawnienia dostępowe w konkretnej bazie danych.
   Ponadto dane w spoczynku mogą być chronione za pomocą list kontroli dostępu (ACL, czyli Access Control List).
2. Dane w przesyle, tranzycie (data in transit) – to dane, które są w trakcie przenoszenia z jednej lokalizacji do drugiej, np. przesyłane przez Internet lub pomiędzy urządzeniami pracującymi w sieci wewnętrznej, prywatnej. Dane znajdujące się w tym stanie podatne są na przechwycenie, choćby poprzez atak Man-in-the-Middle (zwany obecnie Person-in-the-Middle). Szczegółowo ten rodzaj ataku opisałem w tym artykule, prezentując realne przykłady jego wykorzystania. W celu zabezpieczenia danych w tranzycie przed ich przechwyceniem przez niepowołane osoby, stosuje się szyfrowanie oraz tunele VPN, a także protokoły takie jak SSL (przestarzały i niezalecany), TLS (zalecany w wersji 1.3) i IPSec. Warto nadmienić, że SSL (Secure Socket Layer) oraz TLS (Transport Layer Secure) są protokołami kryptograficznymi, które zostały zaprojektowane w celu zapewnienia bezpiecznej komunikacji w sieciach komputerowych. Obecnie TLS w wersji 1.2 oraz 1.3 jest szeroko stosowanym protokołem przy przeglądaniu stron internetowych, transferach danych i poczcie email. Natomiast wirtualne sieci prywatne, czyli VPN (Virtual Private Network) służą do ustanowienia tuneli, czyli bezpiecznych połączeń za pośrednictwem mniej bezpiecznej sieci Internet. Dane przesyłane tunelem VPN są zaszyfrowane, wobec czego nieczytelne dla osób nie posiadających klucza deszyfrującego. Natomiast protokół IPSec (Inernet Protocol Secure) służy do zabezpieczenia komunikacji poprzez uwierzytelnianie i szyfrowanie każdego pakietu IP w strumieniu danych.
3. Dane w użyciu (data in use) – to dane, które znajdują się w procesie tworzenia, pobierania, aktualizacji lub usuwania, czyli są to dane aktywnie przetwarzane. Trudność w zabezpieczeniu danych w użyciu polega na konieczności ich deszyfracji w celu przetwarzania. W związku z tym w celu ochrony danych znajdujących się w stanie użycia stosuje się szyfrowanie na poziomie aplikacji, kontrolę dostępu i tzw. bezpieczne enklawy (ang. secure enclave), gdzie dane mogą być przetwarzane w odizolowanym, chronionym i bezpiecznym środowisku.

Poznanie i zrozumienie różnych stanów, w jakich mogą znajdować się dane oraz możliwych do zaimplementowania mechanizmów bezpieczeństwa dla każdego z tych stanów, ma fundamentalne znaczenie dla kompleksowej ochrony danych.

Poprzez wdrożenie odpowiednich i solidnych środków bezpieczeństwa, dedykowanych dla każdego stanu danych, można zmniejszyć ryzyko naruszenia danych oraz zapewnić ich integralność i poufność.

Rodzaje danych

Chcąc prawidłowo zarządzać danymi oraz odpowiednio je zabezpieczyć, należy wiedzieć jakie są ich rodzaje. Mianowicie:

• Dane regulowane – są to informacje kontrolowane przez przepisy prawa, regulacje lub standardy branżowe. Obejmuję one takie dane jak: dane osobowe, dokumentację medyczną, czy informacje finansowe. Stąd też organizacje przetwarzające dane podlegające regulacjom, muszą spełniać określone wymogi dotyczące bezpieczeństwa i prywatności, np. RODO w UE, czy HIPPA w USA.

W ramach danych regulowanych szczególną rolę odgrywają dane osobowe, których ochrona podlega szczegółowym regulacjom, zarówno na poziomie krajowym, jak i międzynarodowym.

• Tajemnice handlowe – stanowią poufne informacje biznesowe zapewniające spółce przewagę konkurencyjną. Tajemnice handlowe mogą obejmować procesy produkcyjne, strategie marketingowe, zastrzeżone (dedykowane) oprogramowanie, jak też listy klientów. Dane te są prawnie chronione, a ich nieuprawnione ujawnienie może skutkować surowymi sankcjami.
• Własność intelektualna – odnosi się do wytworów umysłu ludzkiego, takich jak wynalazki, dzieła literackie i artystyczna, projekty oraz symbole. Dane te chronione są prawami takimi jak patenty, prawa autorskie i znaki towarowe, a ich naruszenie może rodzić różnego rodzaju konsekwencje prawne.
• Informacje prawne – są to dane związane z postępowaniami prawnymi, umowami, jak również zgodnością z przepisami. Dane te są wysoce wrażliwe i wymagają szczególnej ochrony w celu zapewnienia poufności i działalności zgodnej z etyką zawodową (dotyczy działalności prawniczej).
• Informacje finansowe – są to dane związane z transakcjami finansowymi organizacji, takie jak faktury, wyciągi bankowe, rejestry sprzedaży, dokumenty podatkowe. Dane te są częstym celem cyberprzestępców, stąd też podlegają szczególnej ochronie, w tym na podstawie przepisów prawa oraz regulacji, jak choćby PCI DSS (Payment Card Industry Data Security Standard) obejmująca operatorów kart płatniczych.
• Dane czytelne dla człowieka – są to informacje, które mogą być zrozumiałe dla ludzi bez potrzeby korzystania z maszyny lub oprogramowania, jak np. dokumenty tekstowe i arkusze kalkulacyjne.
• Dane nieczytelne dla człowieka – są to dane, których interpretacja wymaga wykorzystania maszyny lub oprogramowania, jak np. kod binarny lub język maszynowy. Pomimo tego, że dane te nie są czytelne dla człowieka i są trudniejsze w interpretacji, to nadal musza być chronione, ponieważ mogą zawierać poufne informacje.

Znajomość różnych typów danych ma kluczowe znaczenie dla każdej organizacji. Dzięki prawidłowej ich klasyfikacji przy zastosowaniu odpowiednich środków bezpieczeństwa, organizacje mogą chronić swoje cenne zasoby danych, jednocześnie zachowując zgodność z przepisami i co nie mniej istotne, utrzymać reputację i zaufanie w oczach klientów i partnerów.

Jednakże w celu pozostania zgodnym z przepisami, należy także wiedzieć czym jest tak zwana suwerenność danych.

Suwerenność danych

Suwerenność danych (ang. data sovereignty) jest krytycznym aspektem zarządzania danymi, szczególnie przy coraz szerszym i powszechniej wykorzystywanym modelu chmurowym. Aspekt ten odnosi się do koncepcji, zgodnie z którą informacje cyfrowe (dane) podlegają prawu kraju, w którym się znajdują. Z uwagi na to, że w dzisiejszym świecie dane przesyłane są przez różne państwa, zrozumienie i przestrzeganie różnych przepisów dotyczących ochrony danych stanowi złożone zadanie dla organizacji.

Jest to szczególnie istotne w przypadku rozwiązań chmurowych, gdzie dostawca (CSP, Cloud Service Provider) może mieć swoje serwery ulokowane w różnych krajach, wobec czego dane przechowywane na tych serwerach będą podlegały różnym przepisom.

Stąd też niezwykle istotne jest, aby w organizacji była wiedza o tym gdzie (w jakiej jurysdykcji) przechowywane są dane. Dzięki temu organizacja nie narazi się na niegodne z danym prawem krajowym przechowywanie danych, gdyż będzie dostosowywała dane do konkretnych jurysdykcji.

Jednakże niezależnie od miejsca przechowywania danych, zawsze konieczna jest ich właściwa ochrona i zabezpieczanie.

Zabezpieczanie danych

Z uwagi na to, że żyjemy w erze cyfrowej, gdzie dane mają coraz większą wartość, ich bezpieczeństwo staje się najwyższym priorytetem dla organizacji na całym świecie.

Z uwagi na to należy poznać metody, które służą do zabezpieczania danych. Są nimi:

1. Ograniczenia geograficzne (geofencing) – polegają na stworzeniu wirtualnych granic w celu ograniczenia dostępu do tak chronionych danych w oparciu o lokalizację geograficzną. Metoda ta pomaga organizacjom w przestrzeganiu przepisów dotyczących suwerenności danych i zapobieganiu nieautoryzowanemu dostępowi z lokalizacji wysokiego ryzyka, np. pracownik znajdujący się w Polce będzie miał dostęp do danych firmowych, ale jeśli będzie znajdował się np. w Iranie, taki dostęp nie będzie dla niego możliwy.
2. Szyfrowanie – stanowi podstawową metodę zabezpieczania danych, gdzie czytelne dane przekształcane są w szyfrogram. Jedynie osoba posiadająca klucz deszyfrujący będzie mogła odczytać zaszyfrowane dane, czyli przywrócić je do ich pierwotnej postaci. Szyfrowanie ma kluczowe znaczenie przy ochronie danych w spoczynku oraz w tranzycie, o czym pisałem we wcześniejszej części artykułu.
3. Hashowanie – jest to technika polegająca na konwersji danych na stały rozmiar znaków numerycznych lub alfanumerycznych, czyli hash. W przeciwieństwie do szyfrowania hashowanie jest funkcją jednokierunkową, co oznacza, że danych poddanych hashowaniu nie można przywrócić do ich pierwotnego stanu. Hashowanie jest wykorzystywane do przechowywania poufnych danych, takich jak hasła (w tym przypadku przy logowaniu wpisywane przez użytkownika hasło jest hashowane i porównywane z przechowywanym hashem w bazie danych), a także do sprawdzania integralności plików.
4. Maskowanie – polega na zastąpieniu części lub wszystkich danych w określonym polu lub polach symbolem zastępczym, np. „x”, w celu ukrycia oryginalnej treści. Maskowanie może być częściowe, aby zachować niektóre metadane konieczne do analizy, np. fragment numeru karty płatniczej. Podobnie jak hashowanie, maskowanie jest procesem jednokierunkowym, którego nie można odwrócić.
5. Tokenizacja – polega na zastąpieniu wrażliwych danych ich niewrażliwymi substytutami, zwanymi tokenami. W tym przypadku oryginalne dane są bezpiecznie przechowywane w oddzielnej bazie danych z tokenem służącym jako odniesienie do oryginalnych danych. Warto wskazać, że tokenizacja jest powszechnie stosowana w systemach przetwarzania płatności w celu ochrony informacji o kartach płatniczych.
6. Zaciemnianie – polega na uczynieniu danych niejasnymi lub niezrozumiałymi, co stanowi ochronę oryginalnych informacji przed nieuprawnionym dostępem do tych danych. Zaciemnianie obejmuje różne techniki, jak choćby szyfrowanie, maskowanie, używanie pseudonimów, znaków zamiennych.
7. Segmentacja – polega na podziale sieci na oddzielne segmenty, z których każdy ma własne mechanizmy kontroli bezpieczeństwa. Oznacza to, że nawet jeśli adwersarz uzyska dostęp do jednego segmentu sieci, to nie będzie mógł się przenieść do pozostałych segmentów, co ogranicza potencjale szkody wynikające z takiego włamania.
8. Ograniczenia uprawnień – polegają na określeniu kto ma dostęp do konkretnych danych i co może z nimi zrobić i często są zarządzane na podstawie list kontroli dostępu (ACL) lub na kontroli dostępu opartej na przypisanych rolach (RBAC, Role Based Access Control), czyli na przyznaniu dostępu do danych tylko tym osobom, które rzeczywiście go potrzebują.

Pomimo tego, że proces zabezpieczania danych jest żmudny, to jest niezwykle istotny dla organizacji. Wdrażając właściwe, dostosowane do potrzeb organizacji i charakteru danych zabezpieczenia, przedsiębiorstwo może skutecznie chronić swoje zasoby zarówno przed zagrożeniami wewnętrznymi jak i zewnętrznymi.

Podsumowanie

W tym artykule zaprezentowałem Ci zagadnienia związane z klasyfikacją danych, właścicielstwem i rolami w ochronie oraz przetwarzaniu danych, stanami, w jakich dane mogą się znajdować, ich rodzajami, suwerennością i zabezpieczaniem. Wiedza ta jest niezwykle istotna do prawidłowego zarządzania danymi, a w związku z tym do pozostania konkurencyjnym na coraz bardziej cyfryzujących się rynkach. Ponadto dane, które stają coraz bardziej cenne i wartościowe muszą podlegać szczególnej ochronie, zwłaszcza, że ataki hakerskie stają się coraz częstsze i są coraz bardziej wyrafinowane.

Dbając o cyberbezpieczeństwo, niezależnie czy nasze, czy organizacji, w których pracujemy, nie możemy pozwolić sobie na zaniedbania na gruncie właściwego zarządzania danymi, niezależnie od tego jak bardzo dobrze byłaby zbudowana nasza ochrona w oparciu o model obwodowy i architekturę zero-trust.

Michał Mamica