การจัดหมวดหมู่ข้อมูลสำหรับธุรกิจ: วิธีจัดระเบียบและปกป้องข้อมูลของบริษัท

การจัดหมวดหมู่ข้อมูลช่วยให้ธุรกิจหยุดจัดการกับข้อมูลทุกชิ้นราวกับว่ามีความเสี่ยงเท่ากัน อีเมลของซัพพลายเออร์ บันทึกกระบวนการทำงานภายใน บันทึกการชำระเงินของลูกค้า และรหัสกู้คืนของผู้ดูแลระบบ ไม่ควรส่งผ่านภายในธุรกิจภายใต้กฎเกณฑ์เดียวกัน

ข้อมูลที่ละเอียดอ่อนจะถูกจัดเก็บไว้ทั่วทั้งเครือข่ายธุรกิจ: โดยจะเคลื่อนย้ายผ่านระบบ CRM, กล่องขาเข้า, พื้นที่จัดเก็บคลาวด์, ตารางคำนวณ, ระบบ HR, แพลตฟอร์มฝ่ายสนับสนุน, ซอฟต์แวร์ทางการเงิน และเครื่องมือของเวนเดอร์ หากไม่มีระบบร่วมกันในการจัดหมวดหมู่ข้อมูล ทีมมักจะพึ่งพาสัญชาตญาณ: หากสิ่งใดดูเหมือนปลอดภัยที่จะแชร์ หรืออาจต้องได้รับการอนุมัติ ก็จะเลือกเส้นทางที่รวดเร็วและง่ายกว่า

วิธีนี้อาจใช้ได้ผลในระยะหนึ่ง แต่ไม่สามารถขยายขนาดได้ นโยบายการจัดหมวดหมู่ข้อมูลที่ชัดเจนจะช่วยให้ธุรกิจมีแนวทางร่วมกันในการตัดสินใจว่าข้อมูลใดสามารถเปิดเผยต่อสาธารณะได้ ข้อมูลใดควรเก็บไว้ภายใน ข้อมูลใดที่ต้องมีการควบคุมที่เข้มงวดขึ้น และข้อมูลใดที่ควรอนุญาตให้เฉพาะบางบทบาทเข้าถึงได้เท่านั้น

การจัดหมวดหมู่ข้อมูลคืออะไร?

ทำไมการจัดหมวดหมู่ข้อมูลจึงมีความสำคัญ

กรอบการทำงานการจัดหมวดหมู่ข้อมูลแบบง่าย

ตัวอย่างการจัดหมวดหมู่ข้อมูลสำหรับทีมธุรกิจ

การจัดหมวดหมู่ช่วยผลักดันการควบคุมการเข้าถึงอย่างไร

การแชร์ข้อมูลที่จัดหมวดหมู่แล้วอย่างปลอดภัย

เริ่มต้นด้วยการตรวจสอบข้อมูล

วิธีสร้างนโยบายการจัดหมวดหมู่ข้อมูล

Proton Pass for Business สนับสนุนการจัดหมวดหมู่ข้อมูลอย่างไร

ทำให้การจัดหมวดหมู่เป็นส่วนหนึ่งของการปกป้องข้อมูลในทุกๆ วัน

การจัดหมวดหมู่ข้อมูลคืออะไร?

การจัดหมวดหมู่ข้อมูลคือกระบวนการติดป้ายกำกับข้อมูลธุรกิจตามระดับความละเอียดอ่อนและระดับความเสียหายที่อาจเกิดขึ้นหากข้อมูลถูกเปิดเผย ถูกเปลี่ยน สูญหาย หรือถูกนำไปใช้ในทางที่ผิด ในทางปฏิบัติ หมายถึงการจัดกลุ่มข้อมูลออกเป็นระดับที่ชัดเจนเพื่อให้ทราบวิธีจัดเก็บ แชร์ ปกป้อง และลบข้อมูลในที่สุด

ระบบการจัดหมวดหมู่ที่เป็นประโยชน์จะสอดคล้องกับการทำงานประจำวัน ช่วยให้พนักงานเข้าใจได้อย่างรวดเร็วว่าเมื่อใดที่ข้อมูลสามารถเคลื่อนย้ายได้อย่างอิสระ เมื่อใดที่ต้องได้รับการอนุมัติ และเมื่อใดที่ควรจำกัดการเข้าถึงเฉพาะกลุ่มเล็กๆ เป้าหมายคือการทำให้การตัดสินใจที่ปลอดภัยกว่านั้นชัดเจนก่อนที่ข้อมูลจะถูกคัดลอก แชร์ ส่งออก หรือจัดเก็บไว้ในที่ที่ไม่ควรอยู่

แนวทางของศูนย์รักษาความปลอดภัยทางไซเบอร์แห่งชาติของสหราชอาณาจักรเกี่ยวกับการจัดการสินทรัพย์(หน้าต่างใหม่)ปฏิบัติต่อข้อมูลในฐานะสินทรัพย์ที่ต้องมีการมองเห็น ความเป็นเจ้าของ และการปกป้อง นี่เป็นวิธีที่เป็นประโยชน์ในการกำหนดกรอบการจัดหมวดหมู่: ก่อนที่จะตัดสินใจว่าใครสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้ จำเป็นต้องทราบก่อนว่าข้อมูลนั้นคืออะไรและจัดเก็บอยู่ที่ใด

ทำไมการจัดหมวดหมู่ข้อมูลจึงมีความสำคัญ

ไม่สามารถปกป้องสิ่งที่ธุรกิจยังไม่ได้ระบุได้ เรื่องนี้เป็นจริงอย่างยิ่งสำหรับธุรกิจ SMB ซึ่งมักจะไม่มีทรัพยากรในการปกป้องทุกระบบและข้อมูลทุกประเภทด้วยการควบคุมในระดับเดียวกัน ก่อนที่ธุรกิจจะตัดสินใจได้ว่าใครควรเข้าถึงข้อมูลที่ละเอียดอ่อน ระบบใดที่ต้องการการปกป้องที่เข้มงวดกว่า หรือจุดใดที่การใช้งาน MFA และการแชร์ที่ปลอดภัยมีความเร่งด่วนที่สุด ธุรกิจจำเป็นต้องทราบก่อนว่ามีข้อมูลใดบ้างและข้อมูลใดสำคัญที่สุด

การจัดหมวดหมู่ข้อมูลคือขั้นตอนแรกในกลยุทธ์ การป้องกันการละเมิดข้อมูล ที่นำไปใช้ได้จริง โดยจะแยกข้อมูลทางธุรกิจทั่วไปออกจากข้อมูลที่อาจก่อให้เกิดอันตรายร้ายแรงหากถูกเปิดเผย ถูกเปลี่ยน สูญหาย หรือแชร์กับผิดคน

วิธีนี้มีประโยชน์อย่างยิ่งเมื่อข้อมูลแพร่กระจายไปตามระบบ CRM, กล่องขาเข้า, พื้นที่จัดเก็บคลาวด์, ระบบ HR, เครื่องมือฝ่ายสนับสนุน, ซอฟต์แวร์ทางการเงิน, การส่งออก และแพลตฟอร์มของเวนเดอร์ การจัดหมวดหมู่จะช่วยให้พนักงานได้รับสัญญาณที่ชัดเจนว่า: ข้อมูลใดสามารถจัดการได้ตามปกติ ข้อมูลใดต้องได้รับการอนุมัติ และข้อมูลใดควรเปิดให้เฉพาะบางบทบาทเข้าถึงได้เท่านั้น

นอกจากนี้ยังสนับสนุนการปฏิบัติตามข้อกำหนด สำนักงานคณะกรรมการข้อมูลข่าวสารของสหราชอาณาจักร (ICO) ซึ่งเป็นหน่วยงานที่มีหน้าที่บังคับใช้กฎหมายคุ้มครองข้อมูลและให้ แนวทางปฏิบัติตาม GDPR ของสหราชอาณาจักร(หน้าต่างใหม่) คาดหวังให้องค์กรต่างๆ นำมาตรการทางเทคนิคและองค์กรที่เหมาะสมไปใช้ การจัดหมวดหมู่ช่วยให้แนวทางดังกล่าวสามารถนำไปปฏิบัติจริงได้โดยการจับคู่การปกป้องให้เข้ากับระดับความละเอียดอ่อนของข้อมูล

สำหรับการป้องกันการละเมิดข้อมูล หลักการนั้นง่ายมาก: ไม่ควรให้คนจำนวนมากเกินความจำเป็นสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้ คู่มือการป้องกันการสูญหายของข้อมูลสำหรับธุรกิจของ Proton อธิบายถึงวิธีที่การลดการเปิดเผยข้อมูลที่ไม่จำเป็นก่อนเกิดเหตุการณ์จะสามารถจำกัดความเสียหายในภายหลังได้

กรอบการทำงานการจัดหมวดหมู่ข้อมูลแบบง่าย

กรอบการทำงานการจัดหมวดหมู่ไม่จำเป็นต้องซับซ้อน โดยปกติแล้ว สี่ระดับก็เพียงพอสำหรับธุรกิจขนาดเล็กและขนาดกลาง:

• สาธารณะ
• ภายใน
• ลับ
• จำกัด

สาธารณะ

ข้อมูลสาธารณะคือข้อมูลที่ได้รับการอนุมัติให้ใช้งานภายนอก ตัวอย่างเช่น บทความฉบับที่เผยแพร่แล้วซึ่งกำลังอ่านอยู่นี้จะถือเป็นข้อมูลสาธารณะ: ข้อมูลนี้สามารถอ่านได้ ปลอดภัยที่จะแชร์อย่างเปิดเผย และถูกจัดทำดัชนีได้โดยไม่ก่อให้เกิดความเสี่ยงด้านความปลอดภัยหรือความเป็นส่วนตัวอย่างมีนัยสำคัญ

ตัวอย่างอื่นๆ ได้แก่:

• ข้อความบนเว็บไซต์
• ข่าวประชาสัมพันธ์
• รายละเอียดงานสาธารณะ
• เอกสารประกอบการขายที่ได้รับการอนุมัติแล้ว
• หน้าผลิตภัณฑ์
• ข้อมูลอธิบายบริษัทต่อสาธารณะ

ข้อมูลสาธารณะยังคงต้องการความถูกต้องและการตรวจสอบแบรนด์ แต่โดยปกติแล้วไม่จำเป็นต้องมีการควบคุมการเข้าถึงที่เข้มงวดเมื่อได้รับการอนุมัติแล้ว

ภายใน

ข้อมูลภายในมีไว้สำหรับพนักงานและผู้ร่วมงานที่ได้รับการอนุมัติเท่านั้น แต่ไม่ได้มีไว้สำหรับการเผยแพร่สู่สาธารณะ การเปิดเผยข้อมูลอาจไม่ก่อให้เกิดความเสียหายร้ายแรง แต่อาจสร้างความสับสน ความเสี่ยงต่อชื่อเสียง หรือปัญหาในการปฏิบัติงานได้

ตัวอย่างเช่น:

• เอกสารกระบวนการทำงานภายใน
• บันทึกของทีม
• ขั้นตอนการปฏิบัติงานมาตรฐาน
• เอกสารการอบรม
• แผนงานโครงการที่ไม่ละเอียดอ่อน
• ปฏิทินภายใน
• รายชื่อผู้ติดต่อเวนเดอร์ทั่วไป

ข้อมูลภายในควรอยู่ในระบบธุรกิจที่ได้รับการอนุมัติ ตัวอย่างเช่น บรีฟแคมเปญฉบับร่าง รายการตรวจสอบการรับพนักงานใหม่ หรือบันทึกจากการประชุมวางแผนของทีม อาจไม่มีความละเอียดอ่อนสูง แต่ยังคงเป็นของพื้นที่ทำงานที่ได้รับการอนุมัติของบริษัท ไม่ใช่ในโฟลเดอร์ส่วนตัว กล่องขาเข้าส่วนตัว หรือการดาวน์โหลดที่ไม่ได้รับการจัดการ

ลับ

ข้อมูลลับคือข้อมูลธุรกิจที่ละเอียดอ่อนหรือ ข้อมูลที่ระบุตัวตนของบุคคลได้ (PII) ซึ่งอาจเป็นอันตรายต่อบริษัท ลูกค้า พนักงาน หรือพันธมิตรหากถูกเปิดเผย การเข้าถึงควรจำกัดเฉพาะบทบาทที่ได้รับการอนุมัติซึ่งมีความจำเป็นทางธุรกิจที่ชัดเจน

ตัวอย่างเช่น:

• บันทึกข้อมูลลูกค้า
• ไฟล์พนักงาน
• สัญญา
• เงื่อนไขทางการค้า
• รายงานทางการเงิน
• รายละเอียดไปป์ไลน์การขาย
• ตั๋วฝ่ายสนับสนุนที่มีข้อมูลส่วนบุคคล
• แผนธุรกิจที่ยังไม่เผยแพร่
• ข้อตกลงกับเวนเดอร์ที่ไม่เปิดเผยต่อสาธารณะ

ข้อมูลลับควรเข้าถึงได้เฉพาะบทบาทที่ได้รับการอนุมัติเท่านั้น ไม่ควรอยู่ในไดรฟ์ส่วนตัว โฟลเดอร์แชร์ที่เปิดกว้าง ตารางคำนวณที่ไม่ได้รับการจัดการ หรือกล่องขาเข้าที่ไม่มีใครตรวจสอบการเข้าถึง หากจำเป็นต้องแชร์ภายนอก ธุรกิจควรใช้ พื้นที่จัดเก็บคลาวด์สำหรับธุรกิจ ที่เข้ารหัสลับจากต้นทางถึงปลายทาง (E2EE) และจำกัดการแชร์เฉพาะผู้รับที่ได้รับอนุญาตที่มีวัตถุประสงค์ทางธุรกิจที่ชัดเจน

จำกัด

ข้อมูลจำกัดเป็นประเภทที่ละเอียดอ่อนที่สุด หากข้อมูลถูกเปิดเผย นำไปใช้ในทางที่ผิด หรือเปลี่ยนแปลง ธุรกิจอาจเผชิญกับผลกระทบร้ายแรงทางการเงิน ทางกฎหมาย การดำเนินงาน หรือความปลอดภัย

ตัวอย่างเช่น:

• ข้อมูลยืนยันตัวตนของผู้ดูแลระบบ
• รหัสกู้คืน
• ข้อมูลลับในการยืนยันตัวตน
• รายละเอียดการชำระเงินของลูกค้า
• บันทึกข้อมูล HR ที่มีความละเอียดอ่อนสูง
• ไฟล์ข้อพิพาททางกฎหมาย
• รายงานเหตุการณ์ด้านความปลอดภัย
• บันทึกการเข้าถึงที่ได้รับสิทธิ์พิเศษ
• คีย์การเข้ารหัสลับ
• รายละเอียดการเข้าถึงการสำรองข้อมูล

ข้อมูลจำกัดต้องการการควบคุมที่เข้มงวดที่สุด: การเข้าถึงที่จำกัด การยืนยันตัวตนที่แข็งแกร่ง และ การจัดการข้อมูลยืนยันตัวตน, พื้นที่จัดเก็บคลาวด์ที่เข้ารหัสลับจากต้นทางถึงปลายทาง, การแชร์ที่ปลอดภัย และความสามารถในการตรวจสอบได้

ระดับการจัดหมวดหมู่	ความละเอียดอ่อน	ตัวอย่าง	ระดับการเข้าถึง	กฎการแชร์
สาธารณะ	ต่ำ	บทความที่เผยแพร่แล้ว ข้อความบนเว็บไซต์ ข่าวประชาสัมพันธ์ โพสต์งานสาธารณะ เอกสารประกอบการขายที่ได้รับการอนุมัติแล้ว	ได้รับการอนุมัติสำหรับใช้งานภายนอก	สามารถแชร์ต่อสาธารณะได้เมื่อได้รับการตรวจสอบและอนุมัติแล้ว
ภายใน	ปานกลาง	บันทึกของทีม บรีฟแคมเปญฉบับร่าง รายการตรวจสอบการรับพนักงานใหม่ เอกสารกระบวนการทำงานภายใน	พนักงานและผู้ร่วมงานที่ได้รับการอนุมัติ	เก็บไว้ภายในระบบธุรกิจที่ได้รับการอนุมัติ
ลับ	สูง	บันทึกข้อมูลลูกค้า ไฟล์พนักงาน สัญญา รายงานทางการเงิน ตั๋วฝ่ายสนับสนุนที่มีข้อมูลส่วนบุคคล	เฉพาะบทบาทที่ได้รับการอนุมัติเท่านั้น	แชร์กับผู้รับที่ได้รับอนุญาตและมีวัตถุประสงค์ทางธุรกิจที่ชัดเจนเท่านั้น
จำกัด	สูงสุด	ข้อมูลยืนยันตัวตนของผู้ดูแลระบบ รหัสกู้คืน รายละเอียดการชำระเงิน รายงานเหตุการณ์ด้านความปลอดภัย บันทึกการเข้าถึงที่ได้รับสิทธิ์พิเศษ	ผู้ใช้ที่ระบุชื่อหรือกลุ่มที่ควบคุมอย่างเข้มงวด	ห้ามแชร์ผ่านอีเมล แชท ภาพหน้าจอ หรือเอกสารที่ไม่ได้รับการจัดการ

ตัวอย่างการจัดหมวดหมู่ข้อมูลสำหรับทีมธุรกิจ

การจัดหมวดหมู่จะง่ายขึ้นเมื่อทีมสามารถตระหนักถึงสิ่งนี้ได้ในงานของตนเอง ทีมการเงินอาจถือว่าหน้าอัตราค่าบริการสาธารณะเป็นข้อมูลสาธารณะ ในขณะที่ใบแจ้งหนี้ ไฟล์เงินเดือน เอกสารภาษี และบันทึกการชำระเงินมักจะเป็นข้อมูลลับ ข้อมูลยืนยันตัวตนสำหรับการธนาคารและการเข้าถึงของผู้ดูแลระบบแพลตฟอร์มการชำระเงินควรถูกจำกัดเนื่องจากสามารถเปิดเผยข้อมูล เปลี่ยนแปลงการตั้งค่า หรือโอนเงินได้

ในทางปฏิบัติ การเข้าถึงนั้นควรได้รับการควบคุมผ่านการอนุญาตตามบทบาท การยืนยันตัวตนที่แข็งแกร่ง การตรวจสอบการเข้าถึงอย่างสม่ำเสมอ และโปรแกรมจัดการรหัสผ่านสำหรับธุรกิจที่ช่วยให้ทีมจัดการและควบคุมข้อมูลยืนยันตัวตนที่อยู่เบื้องหลังระบบที่ละเอียดอ่อนได้

ข้อมูล HR มีลักษณะที่คล้ายกัน การโพสต์งานสามารถเป็นข้อมูลสาธารณะได้ ในขณะที่สัญญาจ้างงาน ข้อมูลเงินเดือน บันทึกการเจ็บป่วย รายละเอียดสวัสดิการ และข้อมูลของผู้สมัครมักจะเป็นข้อมูลลับ การสอบสวนที่ละเอียดอ่อน ข้อมูลยืนยันตัวตนของผู้ดูแลระบบ HR และการเข้าถึงบันทึกของพนักงานในวงกว้างควรถูกจำกัด

นี่ไม่ใช่ความผิดปกติทางประวัติศาสตร์: ค่าปรับของ ICO ในปี 2022 ต่อ Interserve(หน้าต่างใหม่) รวมมูลค่า 4.4 ล้านปอนด์ ถือเป็นคำเตือนอย่างชัดเจนว่าข้อมูลของพนักงานควรได้รับการจัดหมวดหมู่และปกป้องในฐานะข้อมูลทางธุรกิจที่ละเอียดอ่อน ไม่ใช่ดูแลเหมือนเอกสารภายในทั่วไป

ทีมฝ่ายขาย ทีมดูแลลูกค้า ทีมการตลาด และทีมไอทีก็ต้องการขอบเขตที่ชัดเจนเช่นกัน บันทึกข้อมูลลูกค้าและตั๋วฝ่ายสนับสนุนที่มีข้อมูลระดับบุคคลหรือระดับบัญชีมักจะเป็นข้อมูลลับ งานการแบ่งกลุ่มภายใน การวางแผนแคมเปญ และรายงานผลการดำเนินงานอาจเป็นข้อมูลภายในหรือข้อมูลลับ ขึ้นอยู่กับว่ารวมถึงข้อมูลระดับลูกค้า ความละเอียดอ่อนทางการค้า หรือกลยุทธ์ทางธุรกิจที่ไม่เปิดเผยต่อสาธารณะหรือไม่

เอกสารของเวนเดอร์ควรได้รับการจัดหมวดหมู่ตามข้อมูลที่มีอยู่ โดยเฉพาะอย่างยิ่งหากมีรายละเอียดการเข้าถึง เงื่อนไขทางการค้า หรือข้อมูลความปลอดภัย ชุดข้อมูลลูกค้าที่ส่งออก การเข้าถึงของผู้ดูแลระบบ CRM การเข้าถึงของผู้ดูแลระบบไปยังแพลตฟอร์มโฆษณา เช่น Google Ads หรือ Meta Business Manager ข้อมูลยืนยันตัวตนการสำรองข้อมูล รหัสกู้คืน บันทึกการเข้าถึงที่ได้รับสิทธิ์พิเศษ และข้อมูลยืนยันตัวตนของเครื่องมือรักษาความปลอดภัยควรถูกจำกัดเนื่องจากไฟล์หรือบัญชีที่เปิดเผยเพียงไฟล์เดียวอาจส่งผลกระทบต่อผู้คนจำนวนมากมากกว่าแค่คนคนเดียว

การจัดหมวดหมู่ช่วยผลักดันการควบคุมการเข้าถึงอย่างไร

เมื่อข้อมูลได้รับการจัดหมวดหมู่แล้ว การเข้าถึงจะไม่ใช่เพียงการตั้งค่าสิทธิ์ทั่วไปอีกต่อไป แต่จะกลายเป็นการตัดสินใจทางธุรกิจ คำถามจะไม่ใช่แค่อีกต่อไปว่าใครบางคนสามารถเปิดระบบได้หรือไม่ แต่เป็นบทบาทนั้นสมควรแก่การเข้าถึงข้อมูลภายในหรือไม่

ทีมฝ่ายสนับสนุนอาจต้องการบทสนทนากับลูกค้า แต่ไม่ใช่ทุกไฟล์ลูกค้าที่ส่งออก ฝ่ายการเงินอาจต้องการบันทึกการชำระเงินและการบัญชี แต่ไม่ใช่การสอบสวนของ HR ผู้รับเหมาอาจต้องเข้าถึงพื้นที่ทำงานของโครงการใดโครงการหนึ่ง ไม่ใช่ที่เก็บถาวรไฟล์ลูกค้าทั้งหมดของบริษัท

สำหรับข้อมูลลับและข้อมูลจำกัด การเข้าถึงต้องทิ้งประวัติการตรวจสอบไว้ ธุรกิจควรทราบว่าใครเข้าถึงอะไร เหตุใดการเข้าถึงจึงมีอยู่ และสิทธิ์การเข้าถึงถูกยกเลิกทันทีหลังจากมีการเปลี่ยนบทบาทหรือการ ออกจากงาน หรือไม่

โปรแกรมจัดการรหัสผ่านสำหรับทีมไอที สนับสนุนการจัดการแบบรวมศูนย์ การแชร์ที่ปลอดภัย นโยบาย การรายงานและบันทึกของผู้ดูแลระบบ การเตรียมการของ SCIM และการผสานรวม SSO ซึ่งช่วยให้ทีมสามารถกำหนดขอบเขตการเข้าถึงข้อมูลยืนยันตัวตนที่ปลดล็อกระบบที่ละเอียดอ่อนได้ แทนที่จะทิ้งรหัสผ่านไว้ในเบราว์เซอร์ ตารางคำนวณ หรือเธรดการแชท

การแชร์ข้อมูลที่จัดหมวดหมู่แล้วอย่างปลอดภัย

กฎการแชร์ควรเป็นไปตามระดับความละเอียดอ่อนของข้อมูล สินทรัพย์ที่เผยแพร่แล้วสามารถหมุนเวียนได้อย่างอิสระเมื่อได้รับการอนุมัติ แต่สัญญา ไฟล์ลูกค้า บันทึกการชำระเงิน หรือรหัสกู้คืน ต้องการการควบคุมที่มากกว่า ยิ่งข้อมูลละเอียดอ่อนมากเท่าใด คนที่ควรได้รับข้อมูลก็ยิ่งน้อยลงเท่านั้น และวิธีการแชร์ก็ควรมีความรอบคอบมากขึ้นเท่านั้น

เรื่องนี้มีความสำคัญอย่างยิ่งสำหรับอีเมล หลายธุรกิจยังคงส่งข้อมูลที่ละเอียดอ่อนผ่านไฟล์แนบ ภาพหน้าจอ หรือคัดลอกข้อความ จากนั้นก็ไม่สามารถติดตามได้ว่าข้อมูลนั้นไปที่ใด คู่มือของ Proton เกี่ยวกับวิธี ส่งข้อมูลที่ละเอียดอ่อนทางอีเมลอย่างปลอดภัย อธิบายถึงวิธีที่ปลอดภัยกว่าในการจัดการข้อมูลที่ละเอียดอ่อนเมื่อจำเป็นต้องใช้อีเมล

ข้อมูลยืนยันตัวตนและข้อมูลลับต้องการกฎเกณฑ์ที่เข้มงวดกว่าเอกสารทั่วไป รหัสผ่าน รหัสกู้คืน พาสคีย์ และรายละเอียดการเข้าถึงของผู้ดูแลระบบไม่ควรส่งผ่านอีเมล แชท ภาพหน้าจอ หรือเอกสารที่แชร์ ข้อมูลเหล่านั้นควรถูกจัดเก็บและแชร์ผ่าน โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ เช่น Proton Pass for Business ซึ่งสามารถควบคุม ตรวจสอบ และยกเลิกการเข้าถึงได้อย่างปลอดภัยยิ่งขึ้น

เริ่มต้นด้วยการตรวจสอบข้อมูล

ก่อนที่จะเขียนนโยบายการจัดหมวดหมู่ข้อมูล ให้จัดทำแผนที่ว่าข้อมูลธุรกิจจัดเก็บอยู่ที่ใดบ้างในปัจจุบัน การตรวจสอบครั้งแรกไม่จำเป็นต้องสมบูรณ์แบบ เพียงแต่ต้องแสดงให้เห็นว่าระบบใดบ้างที่เก็บรักษาข้อมูลที่ละเอียดอ่อน ใครสามารถเข้าถึงได้ และสำเนาที่ไม่ได้รับการควบคุมอาจอยู่ที่ใดบ้าง

เริ่มต้นจากตำแหน่งที่ใช้งานทุกวัน เช่น CRM, แพลตฟอร์ม HR, ซอฟต์แวร์ทางการเงิน, พื้นที่จัดเก็บคลาวด์, กล่องขาเข้าอีเมล, ไดรฟ์ที่แชร์, เครื่องมือฝ่ายสนับสนุน, โปรแกรมจัดการรหัสผ่าน, พอร์ทัลของเวนเดอร์, การดาวน์โหลด, การส่งออก และการสำรองข้อมูล

ช่องข้อมูล	สิ่งที่จะบันทึก
ตำแหน่ง	ข้อมูลจัดเก็บอยู่ที่ใด
ประเภทข้อมูล	ข้อมูลลูกค้า พนักงาน การเงิน ข้อมูลยืนยันตัวตน หรือการดำเนินงาน
ระดับการจัดหมวดหมู่	สาธารณะ, ภายใน, ลับ หรือจำกัด
เจ้าของ	บุคคลหรือทีมที่รับผิดชอบ
การเข้าถึง	ใครสามารถดู แก้ไข ส่งออก หรือแชร์ได้บ้าง
MFA	มีการเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยหรือไม่
การแชร์กับเวนเดอร์	บุคคลภายนอกสามารถเข้าถึงได้หรือไม่
สถานะการเก็บรักษา	เก็บ ตรวจสอบ ลบ หรือทำให้เป็นนิรนาม

วิธีสร้างนโยบายการจัดหมวดหมู่ข้อมูล

นโยบายการจัดหมวดหมู่ข้อมูลควรสั้นกระชับพอที่พนักงานจะนำไปใช้งานได้ และมีความเฉพาะเจาะจงพอที่จะชี้นำการตัดสินใจจริงได้ นโยบายนี้ควรระบุระดับการจัดหมวดหมู่ อธิบายว่าใครเป็นเจ้าของข้อมูลที่ละเอียดอ่อน และเชื่อมต่อแต่ละระดับเข้ากับการเข้าถึง พื้นที่จัดเก็บ การแชร์ การเก็บรักษา และการตรวจสอบ

นโยบายแบบง่ายสามารถประกอบด้วย:

• วัตถุประสงค์และขอบเขต: สิ่งที่นโยบายครอบคลุมและผู้ที่นโยบายนี้จะนำไปใช้
• ระดับการจัดหมวดหมู่: สาธารณะ, ภายใน, ลับ และจำกัด พร้อมตัวอย่าง
• ความเป็นเจ้าของ: ผู้ที่อนุมัติการเข้าถึงและจัดการการตรวจสอบประเภทข้อมูลที่ละเอียดอ่อน
• กฎการเข้าถึง: ใครบ้างที่สามารถเข้าถึงแต่ละระดับได้ และการเข้าถึงจะได้รับการอนุมัติหรือลบออกอย่างไร
• กฎการแชร์: ช่องทางใดได้รับการอนุมัติสำหรับระดับการจัดหมวดหมู่แต่ละระดับ
• พื้นที่จัดเก็บและการเก็บรักษา: ข้อมูลแต่ละประเภทควรจัดเก็บไว้ที่ใดและควรเก็บไว้นานเท่าใด
• รอบเวลาในการตรวจสอบ: ความถี่ในการตรวจสอบนโยบายและกฎการเข้าถึง
• กระบวนการระงับการทำลายข้อมูลชั่วคราวตามกฎหมาย: เมื่อต้องหยุดกฎเกณฑ์การลบหรือการเก็บรักษาข้อมูลไว้ชั่วคราวในระหว่างการตรวจสอบข้อเท็จจริง ข้อพิพาท หรือการฟ้องร้องดำเนินคดีที่กำลังดำเนินอยู่

นโยบายควรเปิดโอกาสให้ใช้ดุลยพินิจด้วย ไม่ใช่ว่าเอกสารทุกฉบับจะจัดอยู่ในหมวดหมู่ได้อย่างลงตัว หากมีข้อสงสัย พนักงานควรทราบว่าต้องสอบถามใครและต้องปฏิบัติตามค่าเริ่มต้นใด สำหรับข้อมูลที่ละเอียดอ่อน ค่าเริ่มต้นที่ปลอดภัยกว่ามักจะจำกัดการเข้าถึงไว้จนกว่าเจ้าของสิทธิ์ที่แท้จริงจะยืนยันเป็นอย่างอื่น

Proton Pass for Business สนับสนุนการจัดหมวดหมู่ข้อมูลอย่างไร

การจัดหมวดหมู่ข้อมูลจะบอกให้ธุรกิจทราบว่าข้อมูลใดต้องการการปกป้องที่เข้มงวดกว่า การควบคุมการเข้าถึงจะเปลี่ยนการตัดสินใจนั้นให้เป็นแนวปฏิบัติประจำวัน

ข้อมูลยืนยันตัวตนเป็นส่วนหนึ่งของระดับการเข้าถึงนั้น หากรหัสผ่านให้การเข้าถึงข้อมูลจำกัด เช่น การตั้งค่าของผู้ดูแลระบบ การส่งออกข้อมูลลูกค้า ระบบการเงิน รหัสกู้คืน หรือบันทึกความปลอดภัย ข้อมูลยืนยันตัวตนนั้นจำเป็นต้องได้รับการจัดการที่เข้มงวดกว่าการเข้าสู่ระบบสำหรับบริการภายในที่มีความเสี่ยงต่ำ

โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ ที่ปลอดภัยอย่าง Proton Pass for Business จะช่วยให้ทีมสามารถนำการตัดสินใจเกี่ยวกับการเข้าถึงเหล่านั้นไปใช้ในการปฏิบัติจริงได้ ข้อมูลยืนยันตัวตนสามารถจัดเก็บไว้ในห้องนิรภัยที่เข้ารหัส จัดระเบียบตามทีมหรือสายงาน และแชร์เฉพาะกับผู้ที่ต้องการเท่านั้น

ผู้ดูแลระบบยังสามารถมองเห็นการเข้าถึงข้อมูลยืนยันตัวตนได้ดีขึ้นผ่านการรายงานและบันทึก ในขณะที่นโยบาย การผสานรวม SSO และการเตรียมการของ SCIM จะช่วยให้ทีมไอทีจัดการการรับพนักงานและการออกจากงานได้อย่างสม่ำเสมอมากขึ้น

สิ่งนี้ช่วยให้การบังคับใช้การจัดหมวดหมู่ในการทำงานประจำวันเป็นเรื่องง่ายขึ้น ข้อมูลยืนยันตัวตนด้านการเงินสามารถอยู่กับทีมการเงินได้ การเข้าถึงของผู้ดูแลระบบ HR สามารถอยู่กับหัวหน้าทีม HR ที่ได้รับอนุญาตได้ รหัสกู้คืนการสำรองข้อมูลและการเข้าสู่ระบบของผู้ดูแลระบบที่ได้รับสิทธิ์พิเศษสามารถจำกัดให้เฉพาะบุคคลที่รับผิดชอบเรื่องการกู้คืนและความปลอดภัยเท่านั้น

ทำให้การจัดหมวดหมู่เป็นส่วนหนึ่งของการปกป้องข้อมูลในทุกๆ วัน

การจัดหมวดหมู่ข้อมูลไม่ใช่งานเอกสารอย่างไร้เหตุผล แต่เป็นวิธีที่จะทำให้ การป้องกันการละเมิดข้อมูล สามารถปฏิบัติตามได้ง่ายขึ้นในการทำงานประจำวัน

เมื่อธุรกิจทราบแล้วว่าข้อมูลใดที่ละเอียดอ่อนที่สุด ขั้นตอนต่อไปคือการควบคุมว่าใครสามารถเข้าถึงข้อมูลนั้นได้บ้าง โปรแกรมจัดการรหัสผ่านสามารถช่วยให้ทีมควบคุมและตรวจสอบข้อมูลยืนยันตัวตนที่ปลดล็อกระบบที่ละเอียดอ่อนและข้อมูลจำกัดได้

ควบคุมการเข้าถึงข้อมูลที่จัดหมวดหมู่ไว้ทั่วทั้งองค์กรด้วย โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ