مع تدفق البيانات عبر المشهد الرقمي القائم على البيانات، يتزايد خطر تسريبها. خلال العامين الماضيين، تعرضت أكثر من 60% من الشركات لاختراق بيانات شمل بيانات حساسة. ونظرًا لأن متوسط التكلفة الإجمالية لاختراق البيانات يصل إلى 4.88 مليون دولار أمريكي لكل حادثة، فإن إدارة البيانات الحساسة وتصنيفها وحمايتها بشكل سليم باتت أكثر أهمية من أي وقت مضى.
على الرغم من هذا الرقم المذهل، فإن معظم المنظمات تعاني من خطوة أساسية: تصنيف البيانات الحساسة .
إن تحديد ما يشكل بيانات حساسة وتنفيذ ممارسات التصنيف والتقسيم بشكل استراتيجي يمكن أن يكون الفرق بين data security posture management وحادثة أمنية مكلفة تضر بالسمعة.
سيتناول هذا الدليل الشامل أساسيات تصنيف البيانات الحساسة، وأهميته، وكيف يشكل أساس أي استراتيجية فعالة لحماية البيانات، وكيفية Securiti تساعد Sensitive Data Intelligence (SDI) المؤسسات على تصنيف البيانات الحساسة.
ما هي البيانات الحساسة؟
على الرغم من اختلاف التعريف الدقيق للبيانات الحساسة باختلاف المناطق والقوانين، إلا أنها تشمل أي معلومات قد تشكل، في حال كشفها، خطراً جسيماً على الأفراد. لذا، يجب حماية البيانات الحساسة من الوصول غير المصرح به لضمان خصوصية الأفراد أو المؤسسات وأمنهم ومصالحهم.
على سبيل المثال، يتم تعريف البيانات الحساسة بموجب اللائحة العامة لحماية البيانات في الاتحاد الأوروبي على أنها بيانات شخصية تكشف عن الأصل العرقي أو الإثني للفرد، أو آرائه السياسية، أو معتقداته الدينية أو الفلسفية، أو عضويته في النقابات العمالية، أو بياناته الجينية، أو بياناته البيومترية التي تتم معالجتها فقط لتحديد هوية الفرد، أو بياناته الصحية، أو بياناته المتعلقة بتوجهه الجنسي أو حياته الجنسية، أو بياناته المتعلقة بحياته الجنسية.
أنواع البيانات الحساسة
توجد أنواع مختلفة من البيانات الحساسة، بما في ذلك:
- المعلومات الشخصية أو المعلومات التي يمكن تحديد هوية الشخص من خلالها (PII) - الأسماء والعناوين وأرقام الضمان الاجتماعي أو التفاصيل المالية.
- المعلومات الصحية المحمية (PHI) – السجلات الطبية، ومعلومات التأمين الصحي، وتاريخ المرضى، وما إلى ذلك.
- المعلومات المالية – أرقام بطاقات الائتمان، وتفاصيل الحسابات المصرفية، والسجلات الائتمانية، والمعلومات الضريبية.
- معلومات تجارية سرية مثل الأسرار التجارية أو البيانات الخاصة، وما إلى ذلك.
- البيانات البيومترية – بصمات الأصابع، بصمات الصوت، بيانات التعرف على الوجه، أو مسح الشبكية.
لماذا من الضروري حماية البيانات الحساسة؟
يُعدّ حماية البيانات الحساسة أمرًا بالغ الأهمية لمنع الوصول غير المصرح به، وسرقة الهوية ، والاحتيال، وانتهاكات البيانات، والتي قد تُؤدي إلى خسائر مالية، وعواقب قانونية، وتشويه السمعة. والأهم من ذلك، أن حماية البيانات الحساسة ضرورية لتجنب عقوبات عدم الامتثال بموجب معظم قوانين خصوصية البيانات، مثل اللائحة العامة data privacy (GDPR) وقانون حماية خصوصية المستهلك في كندا (CCRA/CPRA) في الاتحاد الأوروبي، وغيرها.
قد يُشكّل عدم حماية البيانات الحساسة بموجب اللائحة العامة لحماية البيانات (GDPR) كارثيةً على الشركات، إذ تصل الغرامات بموجبها إلى 20 مليون يورو أو 4% من إجمالي الإيرادات العالمية السنوية، أيهما أعلى. وبالمثل، توجد لوائح أمريكية مثل قانون حماية خصوصية المستهلك في كاليفورنيا (CPRA) ، حيث تتراوح الغرامات بين 2500 و7500 دولار أمريكي لكل مخالفة، وقانون قابلية نقل التأمين الصحي والمساءلة (HIPAA)، حيث تصل الغرامات إلى 1.5 مليون دولار أمريكي لكل مخالفة.
بالإضافة إلى ذلك، يمكن أن يؤدي عدم الامتثال إلى إجراءات قانونية واضطرابات تشغيلية وإلحاق الضرر بالسمعة، مما يستلزم من المؤسسات تبني تدابير أمنية قوية تساعد على التخفيف من المخاطر المتطورة وضمان الإدارة الفعالة للبيانات والامتثال للوائح.
ما هو تصنيف البيانات الحساسة؟
يُعدّ تصنيف البيانات الحساسة عملية شاملة لتحديد البيانات وتصنيفها ووضع علامات عليها بناءً على مستوى حساسيتها والأثر المحتمل لكشفها. ويساعد هذا التصنيف المؤسسات على تحديد التدابير الأمنية المناسبة لحماية أنواع البيانات المختلفة ، مثل المعلومات الشخصية والمالية والسرية.
فهو يمكّن المؤسسات من التوافق مع المتطلبات التنظيمية، مما يعزز مكانتها data security posture management بالإضافة إلى ذلك، فهو يساعد في تحديد البيانات الظلية (المصادر غير المعروفة أو غير المصرح بها) والبيانات المظلمة (المعلومات الموجودة ولكن غير الموضحة في سياقها)، مما يحسن إدارة البيانات بشكل عام.
كيفية تصنيف البيانات الحساسة
يتطلب تصنيف البيانات الحساسة اتباع نهج منهجي لتحديد البيانات وتصنيفها ووضع علامات عليها بناءً على مستوى حساسيتها والأثر المحتمل للتعرض لها. وعادةً ما تتضمن هذه العملية أساليب يدوية أو آلية أو هجينة.
| يقترب |
وصف |
الإيجابيات |
السلبيات |
| تصنيف البيانات اليدوي |
يعتمد على التدخل البشري لتقييم البيانات وتصنيفها. يسمح بالتعرف على الفروق الدقيقة السياقية، ولكنه قد يستغرق وقتاً طويلاً، وعرضة للأخطاء، ويصعب توسيع نطاقه. |
يتعرف على الدلائل السياقية الدقيقة، ويقدم رؤى إنسانية. |
يستغرق وقتاً طويلاً، وعرضة للأخطاء، ويصعب توسيع نطاقه. |
| التصنيف الآلي للبيانات |
يستخدم برامج وخوارزميات لتصنيف البيانات بسرعة وكفاءة، مستفيدًا من الذكاء الاصطناعي والتعلم الآلي لتحسين الدقة. يتميز بقابلية التوسع والاتساق، ويتعامل مع كميات كبيرة من البيانات بسرعة عالية. |
كفاءة عالية، وقابلية للتوسع، واتساق، وسرعة. |
يفتقر إلى الفهم البشري، وقد يسيء تفسير السياق في بعض الحالات. |
| تصنيف البيانات الهجينة |
يجمع بين الأدوات الآلية للتصنيف الأولي والمراجعة البشرية لتحسين وضمان الدقة الخاصة بالسياق، مع تحقيق التوازن بين الكفاءة والدقة. |
يوازن بين السرعة والإشراف البشري، مما يحسن الدقة. |
لا يزال الأمر يتطلب تدخلاً بشرياً، ولكنه أقل من التدخل اليدوي الكامل. |
فيما يلي خطوات تصنيف البيانات على أنها حساسة:
اكتشاف أصول البيانات لتحديد أنواع البيانات
يُعد اكتشاف أصول البيانات المرحلة الأولية في تصنيف البيانات، حيث يركز على تحديد وفهرسة جميع أصول البيانات المنتشرة في جميع أنحاء المؤسسة، سواء محليًا أو عبر الحدود.
ابدأ بتحديد الفئات المتميزة للبيانات، مثل المعلومات الشخصية والسجلات المالية والملكية الفكرية والمعلومات الصحية، من بين أمور أخرى، لتحديد ما إذا كانت البيانات تندرج تحت أي معايير تنظيمية، مثل اللائحة العامة لحماية البيانات (GDPR) أو قانون قابلية نقل التأمين الصحي والمساءلة (HIPAA) أو معيار أمان بيانات صناعة بطاقات الدفع (PCI DSS ).
تصنيف البيانات وتقسيمها إلى فئات لتقييم مستويات الحساسية
حدد حساسية البيانات من خلال النظر في العواقب المحتملة لكشفها. تشمل المستويات النموذجية ما يلي:
- عام : معلومات لا تشكل أي خطر في حال الكشف عنها (مثل محتوى موقع الويب الموجه للجمهور).
- داخلي : معلومات غير متاحة لعامة الناس ولكنها تشكل خطراً ضئيلاً في حالة الكشف عنها (مثل السياسات الداخلية).
- سري : معلومات عن العملاء أو الموظفين التي قد تشكل، في حال الكشف عنها، خطراً متوسطاً.
- مقيد : معلومات حساسة للغاية، مثل أرقام الضمان الاجتماعي أو الأسرار التجارية، والتي قد يكون لها عواقب وخيمة إذا تم الكشف عنها.
