Phân loại dữ liệu giúp doanh nghiệp ngừng xử lý mọi thông tin như thể chúng có cùng mức độ rủi ro. Email của nhà cung cấp, ghi chú quy trình nội bộ, hồ sơ thanh toán của khách hàng và mã khôi phục của quản trị viên không nên được lưu chuyển trong doanh nghiệp theo các quy tắc giống nhau.
Dữ liệu nhạy cảm được lưu trữ trên khắp mạng lưới doanh nghiệp: Di chuyển qua CRM, hộp thư đến, lưu trữ đám mây, bảng tính, hệ thống nhân sự, nền tảng hỗ trợ, phần mềm tài chính và công cụ của nhà cung cấp. Nếu không có hệ thống chung để phân loại, các nhóm thường dựa vào bản năng: nếu thông tin trông có vẻ an toàn để chia sẻ hoặc có thể cần phê duyệt, họ sẽ chọn con đường nhanh hơn, dễ dàng hơn.
Điều này có thể hiệu quả trong một thời gian, nhưng không thể mở rộng. Một chính sách phân loại dữ liệu rõ ràng mang lại ngôn ngữ chung để quyết định thông tin nào có thể công khai, thông tin nào nên giữ nội bộ, thông tin nào cần kiểm soát chặt chẽ hơn và thông tin nào chỉ dành cho các vai trò cụ thể.
Tại sao phân loại dữ liệu lại quan trọng
Khung phân loại dữ liệu đơn giản
Các ví dụ phân loại dữ liệu cho nhóm doanh nghiệp
Cách phân loại thúc đẩy kiểm soát truy cập
Chia sẻ dữ liệu đã phân loại một cách an toàn
Bắt đầu bằng việc kiểm toán dữ liệu
Cách tạo chính sách phân loại dữ liệu
Cách Proton Pass for Business hỗ trợ phân loại dữ liệu
Đưa phân loại dữ liệu thành một phần của việc bảo vệ dữ liệu hàng ngày
Phân loại dữ liệu là gì?
Phân loại dữ liệu là quy trình dán nhãn dữ liệu doanh nghiệp theo mức độ nhạy cảm và mức độ tổn hại có thể gây ra nếu bị lộ, thay đổi, mất hoặc lạm dụng. Trên thực tế, điều này có nghĩa là nhóm thông tin thành các cấp độ rõ ràng để mọi người biết cách lưu trữ, chia sẻ, bảo vệ và cuối cùng là xóa thông tin đó.
Hệ thống phân loại hữu ích cần phù hợp với công việc hàng ngày. Hệ thống này giúp nhân viên nhanh chóng hiểu khi nào thông tin có thể lưu chuyển tự do, khi nào cần phê duyệt và khi nào nên giới hạn quyền truy cập trong một nhóm nhỏ. Mục tiêu là giúp đưa ra quyết định an toàn hơn một cách rõ ràng trước khi dữ liệu bị sao chép, chia sẻ, xuất hoặc lưu trữ ở nơi không cho phép.
Hướng dẫn của Trung tâm An ninh Mạng Quốc gia Vương quốc Anh về quản lý tài sản(cửa sổ mới) coi thông tin là tài sản cần có khả năng hiển thị, quyền sở hữu và sự bảo vệ. Đây là một cách hữu ích để thiết lập khung phân loại: trước khi quyết định ai có thể truy cập dữ liệu nhạy cảm, cần biết dữ liệu đó là gì và nằm ở đâu.
Tại sao phân loại dữ liệu lại quan trọng
Không thể bảo vệ những gì doanh nghiệp chưa xác định. Điều này đặc biệt đúng với các doanh nghiệp vừa và nhỏ, vốn thường không có đủ nguồn lực để bảo vệ mọi hệ thống và mọi loại thông tin với cùng một mức độ kiểm soát. Trước khi doanh nghiệp có thể quyết định ai nên truy cập dữ liệu nhạy cảm, hệ thống nào cần được bảo vệ mạnh mẽ hơn, hoặc nơi nào cần triển khai MFA và chia sẻ an toàn khẩn cấp nhất, doanh nghiệp cần biết mình đang nắm giữ thông tin gì và dữ liệu nào là quan trọng nhất.
Phân loại dữ liệu là bước đầu tiên trong chiến lược bảo vệ chống rò rỉ dữ liệu thực tế. Quy trình này phân tách thông tin doanh nghiệp thông thường khỏi dữ liệu có thể gây hại nghiêm trọng nếu bị lộ, bị thay đổi, bị mất hoặc bị chia sẻ với người không có thẩm quyền.
Điều này đặc biệt hữu ích khi thông tin trải rộng trên các hệ thống CRM, hộp thư đến, lưu trữ đám mây, hệ thống nhân sự, công cụ hỗ trợ, phần mềm tài chính, bản xuất và nền tảng của nhà cung cấp. Việc phân loại đưa ra tín hiệu rõ ràng cho nhân viên: thông tin nào có thể xử lý thông thường, thông tin nào cần phê duyệt và thông tin nào chỉ dành cho các vai trò cụ thể.
Việc này cũng hỗ trợ tuân thủ pháp lý. Văn phòng Ủy viên Thông tin Vương quốc Anh (ICO), cơ quan chịu trách nhiệm thực thi bảo vệ dữ liệu và hướng dẫn UK GDPR(cửa sổ mới), yêu cầu các tổ chức áp dụng các biện pháp kỹ thuật và tổ chức phù hợp. Phân loại dữ liệu giúp việc đó trở nên thực tế bằng cách điều chỉnh mức độ bảo vệ tương ứng với độ nhạy cảm của dữ liệu.
Để ngăn ngừa rò rỉ dữ liệu, nguyên tắc rất đơn giản: dữ liệu nhạy cảm không nên để nhiều người truy cập hơn mức cần thiết. Hướng dẫn của Proton về ngăn ngừa mất dữ liệu cho doanh nghiệp giải thích cách giảm thiểu việc lộ lọt dữ liệu không cần thiết trước khi xảy ra sự cố có thể hạn chế thiệt hại sau đó.
Khung phân loại dữ liệu đơn giản
Khung phân loại không cần phải phức tạp. Bốn cấp độ thường là đủ cho các doanh nghiệp nhỏ và vừa:
- Công khai
- Nội bộ
- Bảo mật
- Hạn chế
Công khai
Dữ liệu công khai là thông tin được phê duyệt để sử dụng bên ngoài. Ví dụ: phiên bản xuất bản của bài viết này là dữ liệu Công khai: có thể đọc, an toàn để chia sẻ công khai và được lập chỉ mục mà không gây ra rủi ro đáng kể về bảo mật hoặc quyền riêng tư.
Các ví dụ khác bao gồm:
- Nội dung trang web
- Thông cáo báo chí
- Mô tả công việc công khai
- Tài liệu bán hàng đã phê duyệt
- Trang sản phẩm
- Mô tả công ty công khai.
Thông tin công khai vẫn cần được xem xét về độ chính xác và thương hiệu, nhưng thường không cần kiểm soát truy cập nghiêm ngặt sau khi đã được phê duyệt.
Nội bộ
Dữ liệu nội bộ chỉ dành cho nhân viên và cộng tác viên đã được phê duyệt, không dùng để phân phối công khai. Việc rò rỉ có thể không gây ra thiệt hại nghiêm trọng, nhưng có thể gây ra nhầm lẫn, rủi ro danh tiếng hoặc các sự cố vận hành.
Các ví dụ bao gồm:
- Tài liệu quy trình nội bộ
- Ghi chú của nhóm
- Quy trình vận hành tiêu chuẩn
- Tài liệu đào tạo
- Kế hoạch dự án không nhạy cảm
- Lịch nội bộ
- Danh sách liên hệ chung của nhà cung cấp.
Dữ liệu nội bộ nên được lưu giữ trong các hệ thống doanh nghiệp đã được phê duyệt. Ví dụ: bản thảo tóm tắt chiến dịch, danh sách kiểm tra đào tạo hội nhập hoặc ghi chú từ cuộc họp lập kế hoạch nhóm có thể không có độ nhạy cảm cao, nhưng vẫn thuộc về không gian làm việc đã được phê duyệt của công ty, chứ không phải trong thư mục cá nhân, hộp thư đến riêng tư hoặc tệp tải xuống không được quản lý.
Bảo mật
Dữ liệu bảo mật là thông tin doanh nghiệp nhạy cảm hoặc thông tin nhận dạng cá nhân (PII) có thể gây hại cho công ty, khách hàng, nhân viên hoặc đối tác nếu bị lộ. Quyền truy cập nên được giới hạn cho các vai trò đã được phê duyệt có nhu cầu công việc rõ ràng.
Các ví dụ bao gồm:
- Hồ sơ khách hàng
- Tệp nhân viên
- Hợp đồng
- Điều khoản thương mại
- Báo cáo tài chính
- Chi tiết cơ hội bán hàng
- Yêu cầu hỗ trợ chứa dữ liệu cá nhân
- Kế hoạch kinh doanh chưa công bố
- Thỏa thuận nhà cung cấp không công khai
Dữ liệu bảo mật chỉ nên dành cho các vai trò đã được phê duyệt truy cập. Dữ liệu này không nên nằm trong các ổ đĩa cá nhân, thư mục chia sẻ công khai, bảng tính không được quản lý hoặc hộp thư đến không có ai kiểm tra quyền truy cập. Nếu cần chia sẻ ra bên ngoài, doanh nghiệp nên sử dụng lưu trữ đám mây doanh nghiệp đã mã hóa đầu cuối (E2EE) và giới hạn chia sẻ cho những người nhận được ủy quyền có mục đích công việc rõ ràng.
Hạn chế
Dữ liệu hạn chế là danh mục nhạy cảm nhất. Nếu bị lộ, lạm dụng hoặc thay đổi, doanh nghiệp có thể phải đối mặt với những hậu quả nghiêm trọng về tài chính, pháp lý, vận hành hoặc bảo mật.
Các ví dụ bao gồm:
- Thông tin đăng nhập của quản trị viên
- Mã khôi phục
- Bí mật xác thực
- Chi tiết thanh toán của khách hàng
- Hồ sơ nhân sự cực kỳ nhạy cảm
- Tệp tranh chấp pháp lý
- Báo cáo sự cố bảo mật
- Nhật ký truy cập đặc quyền
- Khóa mã hóa
- Chi tiết truy cập sao lưu
Dữ liệu hạn chế cần có các biện pháp kiểm soát mạnh mẽ nhất: hạn chế truy cập, xác thực mạnh mẽ và quản lý thông tin đăng nhập, lưu trữ đám mây đã mã hóa đầu cuối, chia sẻ an toàn và khả năng kiểm toán.
| Cấp độ phân loại | Độ nhạy cảm | Ví dụ | Cấp độ truy cập | Quy tắc chia sẻ |
| Công khai | Thấp | Các bài viết đã xuất bản, nội dung trang web, thông cáo báo chí, bài đăng tuyển dụng công khai, tài liệu bán hàng đã phê duyệt | Được phê duyệt để sử dụng bên ngoài | Có thể chia sẻ công khai sau khi được xem xét và phê duyệt |
| Nội bộ | Trung bình | Ghi chú của nhóm, bản thảo tóm tắt chiến dịch, danh sách kiểm tra đào tạo hội nhập, tài liệu quy trình nội bộ | Nhân viên và cộng tác viên đã được phê duyệt | Lưu giữ bên trong các hệ thống doanh nghiệp đã được phê duyệt |
| Bảo mật | Cao | Hồ sơ khách hàng, tệp nhân viên, hợp đồng, báo cáo tài chính, yêu cầu hỗ trợ chứa dữ liệu cá nhân | Chỉ các vai trò được phê duyệt | Chỉ chia sẻ với người nhận được ủy quyền và có mục đích công việc rõ ràng |
| Hạn chế | Cao nhất | Thông tin đăng nhập của quản trị viên, mã khôi phục, chi tiết thanh toán, báo cáo sự cố bảo mật, nhật ký truy cập đặc quyền | Người dùng được chỉ định danh tính hoặc các nhóm được kiểm soát chặt chẽ | Không chia sẻ qua email, trò chuyện, ảnh chụp màn hình hoặc tài liệu không được quản lý |
Ví dụ phân loại dữ liệu cho các nhóm doanh nghiệp
Việc phân loại trở nên dễ dàng hơn khi các nhóm có thể nhận biết được dữ liệu đó trong công việc của chính mình. Nhóm tài chính có thể coi trang định giá công khai là công khai, trong khi hóa đơn, tệp bảng lương, tài liệu thuế và hồ sơ thanh toán thường là bảo mật. Thông tin đăng nhập ngân hàng và quyền truy cập quản trị viên nền tảng thanh toán nên được hạn chế vì chúng có thể làm lộ thông tin, thay đổi cài đặt hoặc chuyển tiền.
Trên thực tế, quyền truy cập đó nên được kiểm soát thông qua phân quyền dựa trên vai trò, xác thực mạnh mẽ, đánh giá truy cập định kỳ và trình quản lý mật khẩu doanh nghiệp giúp các nhóm quản lý và kiểm soát thông tin đăng nhập của các hệ thống nhạy cảm.
Dữ liệu nhân sự cũng tuân theo mô hình tương tự. Bài đăng tuyển dụng có thể công khai, trong khi hợp đồng lao động, thông tin tiền lương, hồ sơ bệnh tật, chi tiết phúc lợi và dữ liệu ứng viên thường là bảo mật. Các cuộc điều tra nhạy cảm, thông tin đăng nhập của quản trị viên nhân sự và quyền truy cập rộng rãi vào hồ sơ nhân viên nên được hạn chế.
Đây không phải là một ngoại lệ trong lịch sử: khoản phạt ICO năm 2022 đối với Interserve(cửa sổ mới), với tổng trị giá 4,4 triệu bảng Anh, là một cảnh báo rõ ràng rằng dữ liệu nhân viên cần được phân loại và bảo vệ như thông tin doanh nghiệp nhạy cảm, chứ không được xử lý như tài liệu nội bộ thông thường.
Các nhóm bán hàng, chăm sóc khách hàng, tiếp thị và CNTT cũng cần ranh giới rõ ràng. Hồ sơ khách hàng và yêu cầu hỗ trợ chứa thông tin cá nhân hoặc cấp tài khoản thường là bảo mật. Việc phân khúc nội bộ, lập kế hoạch chiến dịch và báo cáo hiệu suất có thể là nội bộ hoặc bảo mật tùy thuộc vào việc chúng có bao gồm dữ liệu cấp khách hàng, độ nhạy cảm thương mại hay chiến lược kinh doanh không công khai hay không.
Tài liệu của nhà cung cấp nên được phân loại dựa trên nội dung bên trong, đặc biệt nếu bao gồm chi tiết truy cập, điều khoản thương mại hoặc thông tin bảo mật. Các tập dữ liệu khách hàng được xuất, quyền truy cập quản trị viên CRM, quyền truy cập quản trị viên vào các nền tảng quảng cáo như Google Ads hoặc Meta Business Manager, thông tin đăng nhập sao lưu, mã khôi phục, nhật ký truy cập đặc quyền và thông tin đăng nhập công cụ bảo mật nên được hạn chế vì chỉ một tệp hoặc tài khoản bị lộ có thể ảnh hưởng đến rất nhiều người.
Cách phân loại thúc đẩy kiểm soát truy cập
Sau khi dữ liệu được phân loại, việc truy cập không còn là cài đặt quyền chung chung nữa mà trở thành quyết định của doanh nghiệp. Câu hỏi không còn chỉ là liệu ai đó có thể mở một hệ thống hay không, mà là liệu vai trò của họ có hợp lý hóa quyền truy cập vào thông tin bên trong hệ thống đó hay không.
Nhóm hỗ trợ có thể cần các cuộc hội thoại với khách hàng, nhưng không phải mọi tệp khách hàng được xuất. Bộ phận tài chính có thể cần hồ sơ thanh toán và kế toán, nhưng không cần các cuộc điều tra nhân sự. Nhà thầu có thể cần quyền truy cập vào một không gian làm việc của dự án, chứ không phải toàn bộ tài liệu lưu trữ tệp khách hàng của công ty.
Đối với dữ liệu bảo mật và hạn chế, việc truy cập phải để lại lịch sử kiểm toán. Doanh nghiệp cần biết ai đã truy cập những gì, tại sao có quyền truy cập và liệu các quyền có bị thu hồi ngay lập tức sau khi thay đổi vai trò hoặc hoàn tất thủ tục nghỉ việc hay không.
Trình quản lý mật khẩu cho nhóm CNTT hỗ trợ quản lý tập trung, chia sẻ an toàn, chính sách, báo cáo và nhật ký của quản trị viên, cấp phát SCIM và tích hợp SSO. Việc này giúp các nhóm giới hạn quyền truy cập vào thông tin đăng nhập dùng để mở khóa các hệ thống nhạy cảm, thay vì để lại mật khẩu trong trình duyệt, bảng tính hoặc các chuỗi trò chuyện.
Chia sẻ dữ liệu đã phân loại một cách an toàn
Quy tắc chia sẻ nên tuân theo mức độ nhạy cảm của thông tin. Tài sản đã xuất bản có thể lưu hành tự do sau khi được phê duyệt, nhưng hợp đồng, tệp khách hàng, hồ sơ thanh toán hoặc mã khôi phục cần được kiểm soát nhiều hơn. Dữ liệu càng nhạy cảm thì càng ít người nhận và phương thức chia sẻ càng cần được cân nhắc kỹ lưỡng.
Điều này đặc biệt quan trọng đối với email. Nhiều doanh nghiệp vẫn gửi thông tin nhạy cảm qua tệp đính kèm, ảnh chụp màn hình hoặc văn bản sao chép, sau đó mất dấu vết của thông tin đó. Hướng dẫn của Proton về cách gửi thông tin nhạy cảm qua email một cách an toàn giải thích các cách xử lý thông tin nhạy cảm an toàn hơn khi cần sử dụng email.
Thông tin đăng nhập và các thông tin bí mật cần có quy tắc nghiêm ngặt hơn so với tài liệu thông thường. Mật khẩu, mã khôi phục, mã khóa và chi tiết truy cập của quản trị viên không được gửi qua email, trò chuyện, ảnh chụp màn hình hoặc tài liệu chia sẻ. Chúng nên được lưu trữ và chia sẻ thông qua trình quản lý mật khẩu doanh nghiệp như Proton Pass for Business, nơi quyền truy cập có thể được kiểm soát, xem xét và thu hồi một cách an toàn hơn.
Bắt đầu bằng việc kiểm toán dữ liệu
Trước khi soạn thảo chính sách phân loại dữ liệu, hãy lập bản đồ nơi dữ liệu doanh nghiệp đang tồn tại. Lần kiểm toán đầu tiên không cần phải hoàn hảo. Việc này chỉ cần hiển thị hệ thống nào đang nắm giữ thông tin nhạy cảm, ai có thể truy cập chúng và các bản sao không được kiểm soát có thể tồn tại ở đâu.
Bắt đầu với các vị trí hàng ngày như CRM, nền tảng nhân sự, phần mềm tài chính, lưu trữ đám mây, hộp thư đến email, ổ đĩa chia sẻ, công cụ hỗ trợ, trình quản lý mật khẩu, cổng thông tin nhà cung cấp, tệp tải xuống, bản xuất và bản sao lưu.
| Trường | Thông tin cần ghi lại |
| Vị trí | Nơi dữ liệu tồn tại |
| Loại dữ liệu | Dữ liệu khách hàng, nhân viên, tài chính, thông tin đăng nhập hoặc vận hành |
| Cấp độ phân loại | Công khai, nội bộ, bảo mật hoặc hạn chế |
| Chủ sở hữu | Người hoặc nhóm chịu trách nhiệm |
| Truy cập | Ai có thể xem, chỉnh sửa, xuất hoặc chia sẻ dữ liệu |
| MFA | Xác thực đa yếu tố đã được kích hoạt hay chưa |
| Chia sẻ với nhà cung cấp | Bên thứ ba có thể truy cập hay không |
| Trạng thái lưu giữ | Giữ lại, đánh giá, xóa hoặc ẩn danh |
Cách tạo chính sách phân loại dữ liệu
Chính sách phân loại dữ liệu nên đủ ngắn gọn để nhân viên sử dụng và đủ cụ thể để định hướng cho các quyết định thực tế. Chính sách này nên xác định các cấp độ phân loại, giải thích ai sở hữu dữ liệu nhạy cảm và kết nối từng cấp độ với việc truy cập, lưu trữ, chia sẻ, lưu giữ và đánh giá.
Một chính sách đơn giản có thể bao gồm:
- Mục đích và phạm vi: Nội dung chính sách bao gồm và đối tượng áp dụng.
- Cấp độ phân loại: Công khai, nội bộ, bảo mật và hạn chế, đi kèm ví dụ.
- Quyền sở hữu: Ai phê duyệt quyền truy cập và xử lý việc đánh giá các danh mục dữ liệu nhạy cảm.
- Quy tắc truy cập: Ai có thể truy cập từng cấp độ và cách phê duyệt hoặc xóa bỏ quyền truy cập.
- Quy tắc chia sẻ: Kênh nào được phê duyệt cho từng cấp độ phân loại.
- Lưu trữ và lưu giữ: Nơi từng loại dữ liệu sẽ tồn tại và thời gian lưu giữ.
- Tần suất đánh giá: Tần suất đánh giá chính sách và quy tắc truy cập.
- Quy trình tạm giữ pháp lý: Khi nào các quy tắc xóa hoặc lưu giữ phải tạm dừng trong quá trình điều tra, tranh chấp hoặc kiện tụng đang diễn ra.
Chính sách này cũng nên tạo không gian cho những đánh giá linh hoạt. Không phải mọi tài liệu đều sẽ khớp hoàn toàn vào một danh mục. Khi nghi ngờ, nhân viên cần biết nên hỏi ai và tuân theo mặc định nào. Đối với dữ liệu nhạy cảm, mặc định an toàn hơn thường là hạn chế quyền truy cập cho đến khi chủ sở hữu phù hợp xác nhận khác đi.
Cách Proton Pass for Business hỗ trợ phân loại dữ liệu
Phân loại dữ liệu cho doanh nghiệp biết thông tin nào cần được bảo vệ mạnh mẽ hơn. Kiểm soát truy cập chuyển quyết định đó thành thực tế hàng ngày.
Thông tin đăng nhập là một phần của lớp truy cập đó. Nếu một mật khẩu cung cấp quyền truy cập vào dữ liệu hạn chế, chẳng hạn như cài đặt quản trị viên, bản xuất khách hàng, hệ thống tài chính, mã khôi phục hoặc nhật ký bảo mật, thông tin đăng nhập đó cần được xử lý nghiêm ngặt hơn so với thông tin đăng nhập cho một dịch vụ nội bộ có rủi ro thấp.
Một trình quản lý mật khẩu doanh nghiệp an toàn như Proton Pass for Business giúp các nhóm áp dụng những quyết định truy cập đó vào thực tế. Thông tin đăng nhập có thể được lưu trữ trong các kho đã mã hóa, được tổ chức theo nhóm hoặc chức năng và chỉ chia sẻ với những người cần chúng.
Quản trị viên cũng có thể kiểm soát quyền truy cập thông tin đăng nhập tốt hơn thông qua báo cáo và nhật ký, trong khi các chính sách, tích hợp SSO và cấp phát SCIM giúp nhóm CNTT quản lý quy trình đào tạo hội nhập và hoàn tất thủ tục nghỉ việc một cách nhất quán hơn.
Việc này giúp việc thực thi phân loại dữ liệu trong công việc hàng ngày trở nên dễ dàng hơn. Thông tin đăng nhập tài chính có thể được giữ riêng cho bộ phận tài chính. Quyền truy cập quản trị viên nhân sự có thể dành riêng cho những người dẫn dắt nhân sự được ủy quyền. Mã khôi phục sao lưu và đăng nhập quản trị viên đặc quyền có thể được giới hạn cho những người chịu trách nhiệm khôi phục và bảo mật.
Đưa phân loại dữ liệu thành một phần của việc bảo vệ dữ liệu hàng ngày
Phân loại dữ liệu không phải là thủ tục giấy tờ vô nghĩa. Đó là một cách giúp việc bảo vệ chống rò rỉ dữ liệu trở nên dễ tuân thủ hơn trong công việc hàng ngày.
Khi doanh nghiệp biết dữ liệu nào nhạy cảm nhất, bước tiếp theo là kiểm soát ai có thể tiếp cận dữ liệu đó. Trình quản lý mật khẩu có thể giúp các nhóm kiểm soát và giám sát thông tin đăng nhập dùng để mở khóa các hệ thống nhạy cảm và dữ liệu hạn chế.
Kiểm soát quyền truy cập vào dữ liệu đã phân loại trong toàn bộ tổ chức bằng trình quản lý mật khẩu doanh nghiệp.
