Definieren Sie ein effektives Datenklassifizierungsschema für Microsoft 365

Wir haben mit Marc D Anderson (@sympmarc), Microsoft MVP und Mitbegründer von Sympraxis Consulting, darüber gesprochen, wie Sie ein effektives Datenklassifizierungsschema definieren, das eine sicherere Microsoft 365-Bereitstellung ermöglicht.

‍

Weiterführende Lektüre für IT: Der ultimative Leitfaden zur Microsoft 365-Freigabe für externe Benutzer

‍

Die Datenklassifizierung macht es einfacher, Ihre wertvollen Daten zu lokalisieren, zu nutzen und zu schützen – und ist entscheidend für effektives Risikomanagement und Compliance.

Die Sache ist, dass nicht alle Daten gleich sind. Sie müssen nicht die gleichen Kontrollen auf die intern geteilte Mittagskarte anwenden wie auf eine hochvertrauliche Tabelle mit Informationen zu Quartalsergebnissen.

Tatsächlich können unnötige Beschränkungen die Benutzerakzeptanz negativ beeinträchtigen und dazu führen, dass Menschen sich anderen, nicht genehmigten Tools zuwenden. Die Klassifizierung Ihrer Daten ermöglicht es Ihnen, diese entsprechend ihrem Wert und Sensibilitätsniveau zu verwalten, anstatt alle Daten gleich zu behandeln.

Viele Organisationen verstehen die Notwendigkeit der Datenklassifizierung und möchten sie implementieren, wissen aber nicht, wo sie anfangen sollen. Deshalb haben wir Microsoft MVP Marc D Anderson nach bewährten Praktiken, Tipps und Tricks gefragt, die Ihnen beim Einstieg helfen.

Was ist Datenklassifizierung?

Wenn Sie schon einmal einen Aktenschrank verwendet haben, um Ihre Steuererklärungen zu verwalten, sind Sie wahrscheinlich mit dem Konzept der Datenklassifizierung vertraut. Einfach ausgedrückt ist es der Prozess der Organisation von Daten in Kategorien, die es Ihnen erleichtern, sie zu nutzen und zu schützen.

"Die Implementierung ist anders, aber die Konzepte sind dieselben", sagt Marc D Anderson zu ShareGate. "Sie müssen nicht jedes Mal alles völlig überdenken, wenn neue Technologie aufkommt. Die meisten Organisationen haben wahrscheinlich eine Vorstellung davon, was es ist, 'Datenklassifizierung' ist einfach das, was Microsoft es mit dieser Technologie nennt."

Die Kategorisierung Ihrer Daten auf eine Weise, die ihre Sensibilitätsstufe vermittelt, hilft Ihnen besser zu verstehen, wo sich sensible Daten befinden, was Benutzer damit machen und warum sie gefährdet sein könnten. Nach der Kategorisierung können entsprechende Kontrollen angewendet werden, um Datenzugriff, -transport und -speicherung zu überwachen und zu kontrollieren.

Eine Datenklassifizierungsrichtlinie stellt sicher, dass sensible Informationen ordnungsgemäß in Bezug auf die Bedrohung behandelt werden, die sie für Ihre Organisation darstellen könnten.

Datenklassifizierungsschema

Um Ihre Daten zu kategorisieren, müssen Sie zuerst wissen, was die Kategorien sind! Hier kommt ein Datenklassifizierungsschema ins Spiel. Es stellt alle verfügbaren Optionen dar und definiert sie.

Microsofts Klassifizierungsschema ist beeindruckend, weil sie es geschafft haben, es auf nur vier Kategorien zu reduzieren: Hochvertraulich, Vertraulich, Allgemein und Öffentlich.

Sie müssen Ihres nicht genau wie das von Microsoft gestalten – tatsächlich sind Sie besser dran, wenn Sie eines erstellen, das auf die spezifischen Bedürfnisse Ihrer Organisation zugeschnitten ist. Aber Microsofts System ist durchdacht und es gibt einige großartige Erkenntnisse zu berücksichtigen.

‍

Vertiefen Sie sich: So erstellen und wenden Sie eine Datenklassifizierungs- und -schutzrichtlinie in Microsoft Purview an

‍

Bewährte Praktiken für die Erstellung eines effektiven Datenklassifizierungsschemas

Wenn Sie bereit sind, Ihr eigenes Datenklassifizierungsschema zu definieren, können die folgenden bewährten Praktiken, Ratschläge und Tipps Ihnen dabei helfen, mit dem richtigen Fuß zu beginnen!

#1: Identifizieren Sie Ihre wertvollen Inhalte

Genau wie nicht alle Daten gleich sind, sind auch keine zwei Organisationen genau gleich. Ein Online-Händler hat andere Sicherheitsbedürfnisse als ein Hersteller, der mit Regierungsverträgen arbeitet.

Ich denke, der Schlüssel ist für jede Organisation, tatsächlich darüber nachzudenken, welche Inhalte sie haben und was für sie wichtig ist. Nicht was Microsoft demonstriert hat, nicht was ein Berater in einer Session auf einer Konferenz gesagt hat. Es geht darum zu verstehen, ob – und in vielen Fällen ist es nicht so – etwas diese zusätzliche Schutzebene benötigt.

Marc D Anderson, Microsoft MVP

Denken Sie daran, dass die Datenklassifizierung einem größeren Zweck dient als nur ein Etikett auf ein Stück Inhalt zu kleben. Sie möchten Ihre Inhalte kategorisieren, damit Sie Richtlinien auf eine sinnvolle Weise anwenden können. Wenn Sie eine Aufbewahrungsrichtlinie anwenden, hat das eine Wirkung: Sie können nichts löschen, worauf diese Richtlinie angewendet wurde.

Ich denke, es ist wichtig, dass Menschen Dinge auf eine sinnvolle Weise sperren und nicht das Denken "eine Größe passt für alle" anwenden.

Marc D Anderson, Microsoft MVP

"Manchmal schockiert das die Leute", sagt Anderson. "Sie sagen: 'Ja, aber ich möchte es löschen.' Und es ist wie 'Nun, Sie haben gesagt, Sie können es nicht.' Also denke ich, es ist sehr wichtig, dass Menschen verstehen, wie es für ihre Organisation funktioniert, dass sie Dinge auf eine sinnvolle Weise sperren und dass sie nicht das Denken 'eine Größe passt für alle' anwenden."

#2: Wichtige Stakeholder einbeziehen

Da die Datenklassifizierung als Grundlage für Richtlinien rund um Sicherheit und Compliance fungiert, sollten Sie mit den Geschäfts- und Compliance-Bereichen Ihrer Organisation zusammenarbeiten, um Kategorien klar zu definieren, die sinnvoll sind.

"Das Problem", sagt Anderson, "ist oft, dass der IT-Administrator die letzte Person ist, die es tun sollte."

Sie sollten mit diesen Stakeholdern arbeiten. Sie sollten der Implementierer und eine Art Torwächter sein, aber sie sollten keine Entscheidungen treffen, ohne Menschen einzubeziehen, die verstehen, was sie zu erreichen versuchen – es muss von den Menschen kommen, die die regulatorischen und gesetzlichen Anforderungen verstehen.

Marc D Anderson, Microsoft MVP

Er schlägt vor, etwas namens das RACI-Modell zu verwenden:

• Verantwortlich (Responsible): Die Person, die für die Durchführung der notwendigen Arbeit zur Erreichung einer Aufgabe verantwortlich ist.
• Rechenschaftspflichtig (Accountable): Die Person, die dafür verantwortlich ist, sicherzustellen, dass die Aufgabe gründlich und korrekt abgeschlossen wird.
• Konsultiert (Consulted): Menschen, die Input und Informationen für das Projekt über bidirektionale Kommunikation bereitstellen, oft Fachexperten.
• Informiert (Informed): Alle, die über den Fortschritt des Projekts über einseitige Kommunikation informiert werden.

"Das IT-Dilemma ist oft, dass der IT-Administrator alle diese Rollen übernimmt, obwohl er vielleicht nur die 'Verantwortliche' haben sollte."

Mit der RACI-Methode sind mehrere wichtige Stakeholder während des gesamten Entscheidungsprozesses eingebunden. Leitende Entscheidungsträger in der "Rechenschaftspflichtigen Rolle" – das könnte der CIO oder sogar der CEO sein, je nach Größe des Unternehmens – sind diejenigen, die Entscheidungen abzeichnen und "besitzen", die im Laufe des Projekts getroffen werden. Jemand aus der Rechtsabteilung könnte sein Fachwissen als Berater einbringen. Und alle anderen, die betroffen sein werden, wie Endbenutzer, können einfach nach Bedarf über einseitige Kommunikation auf dem Laufenden gehalten werden.

#3: Klare und leicht verständliche Klassifizierungen erstellen

Die Schönheit von Microsofts Klassifizierungsschema liegt darin, wie klar die Klassifizierungen sind. Es gibt nur vier zur Auswahl, und es gibt keine Mehrdeutigkeit zwischen einem Begriff und dem nächsten.

"Es muss einfach und verständlich sein", sagt Anderson.

Ich hatte einen Kunden, der etwa 200 Kategorisierungen von Inhalten wollte. Sie wollten tatsächlich 200 Dinge aus Aufbewahrungssicht unterschiedlich behandeln, aber niemand konnte es anschauen und verstehen – nicht einmal die Person, die dafür verantwortlich war – weil es einfach zu komplex war.

Marc D Anderson, Microsoft MVP

Es ist absolut entscheidend, dass Ihre Endbenutzer Ihr Klassifizierungsschema verstehen. Anstelle von 200 Kategorien schlägt Anderson vor, im Bereich von drei bis fünf Ebenen für Ihr Klassifizierungsschema zu bleiben.

Die Kategorien, die Sie wählen, sollten den Benutzern auch helfen, das Warum Ihres Klassifizierungsschemas zu verstehen: Was bedeutet es, eine Kategorisierung über eine andere anzuwenden? Schließlich sind es die Benutzer, die tatsächlich vor der Tastatur sitzen und versuchen zu entscheiden, ob etwas "vertraulich" oder "hochvertraulich" ist – sie müssen verstehen, was der Unterschied ist.

"Es darf nicht kompliziert sein; es müssen Wörter sein, die Menschen verstehen. Sie müssen in der Lage sein, die Absicht mit so wenig Reibung wie möglich zu befolgen, oder sie werden es nicht tun."

Klassifizierung auf Container-Ebene anwenden (wo es sinnvoll ist)

Sobald Sie Ihr Klassifizierungsschema eingerichtet haben, gibt es viele Dinge, die Sie darauf aufbauend implementieren können – wie Vertraulichkeitsetiketten, Data Loss Prevention (DLP) und Aufbewahrungsetiketten, um nur einige zu nennen.

Um Ihr Leben bei der Anpassung von Einstellungen und Richtlinien zu erleichtern, ist es nützlich, die Klassifizierung auf Container-Ebene anzuwenden – d.h. auf der Microsoft 365-Gruppe, Team oder SharePoint-Website-Ebene – wann immer möglich.

"Wenn Sie eine Gruppe von Menschen haben, die an etwas hochklassifiziertem in einem Team innerhalb von Microsoft Teams arbeitet, werden Sie wahrscheinlich die Klassifizierung auf dieses Team anwenden", sagt Anderson. "Es ist genau wie die allgemeine Idee von Berechtigungen; Sie wenden sie auf der höchsten Container-