データ分類 – 確固たるプログラムの構築と提案
最終回では、これまでに取り上げた概念をどのように行動計画にまとめるかについて説明します。データ分類プログラムの成功と失敗の違いは、行動の欠如にあります。私の職業人生で10以上のプログラムをレビューしてきましたが、すべてにおいて行動の欠如が主な失敗の原因です。アイデアは理解しやすく、伝えやすいですが、実行するのは難しいです。したがって、計画が必要です。このブログ記事の目的は、経験に基づいて計画を立てるための十分な背景と理解を提供することです。明確にしておきますが、これは計画ではありません。これはむしろ計画に発展させ、経営陣に賢く提案するためのフレームワークです。以下は、成功するデータ分類プログラムを実施するために必要なビジネスリーダーを説得するためのツールを提供します。
企業の障害
まず、目の前の問題に取り組む必要があります。データ分類は、ほとんどの企業のデータ管理戦略における欠落を浮き彫りにします。データ処理、または情報ガバナンスは21世紀の概念です。以前は、すべてを保存するか、すべてを削除するかの戦略が取られていました。99%の企業はすべてを永遠に保存していました。なぜ企業がこれほど多くのデータを保持するのかという疑問は、2014年のソニー・ピクチャーズの侵害で浮上しました。露出したデータの量と種類（映画、メール、財務記録）は驚異的でした。この侵害は、すべての企業の取締役会に一瞬立ち止まって自社のデータ露出を反省させました。
しかし、その中断は長く続きませんでした。組織はこの問題に包括的に取り組みたいと考えましたが、実際にはそうしませんでした。その理由は簡単です。組織が最初からそのように設計されていない場合、この問題に対処するのは非常に高額です。この問題を完全に解決できないと気づくと、チームは企業の最も機密性の高いデータに焦点を当てた選択的でアドホックなプロセスに移行します。
スキップすべきデータタイプやグループはありますか？
短い答えは「はい」です。企業の法務部門は通常、文書管理システム（例：eDOCS、NetDocs、Documentum）を使用して文書を整理し管理しています。これらの法務チームは、司法機関によって設定されたデータ保持と分類の基準と要件に従わなければなりません。歴史的にデータ分類活動から除外されているもう一つのグループは、コンプライアンスチームです。これもまた、組織を統治する規制機関によって設定された要件に従っています。
データの4つのレベル
以下の表は、データ分類スケジュールの非常に典型的な例です： 
組織が使用し生産するデータのほとんどが「機密」として分類されていることに気付くでしょう。これは通常のことです。
期待される結果
すべての組織は異なりますが、一般的なルールは同じです：
しかし、「高度機密」データの割合が最も重要なポイントです。ビジネスリーダーと話し合う際には、組織内で最も機密性の高いデータを特定する必要があります。これは簡単なはずです。しかし、高度機密データの合計が3%を超え始めた場合は、別の会話をする必要があります。高度機密データの範囲を更新または刷新する必要がある可能性があるからです。IT/サイバーの例がこの点を示しています。IT/サイバーで高度機密とされるファイルは通常1つだけです：リスクレジスター。それ以外はすべて機密として分類されます。
どのツールを購入する必要がありますか？
これまでデータ分類について話してきたことは、すべて人とプロセスに焦点を当てていました。それは、データ分類のツールが単なる1つのツールではなく、多くの異なるツールを必要とする能力だからです。これは他の能力と何ら変わりません。たとえば、メールDLPプラットフォームは、CASBやウェブコンテンツファイアウォールとは異なります。この分野では、何年にもわたって多くのベンダーが登場し、去っていきました。私が使用し、良い評判を聞き続けている大手はSpirion（旧IdentityFinder）です。私の知る限り、データラベリングを行うベンダーは少数です。Oracleがその一例です。データ分類ベンダーは、DLPベンダーか、VaronisやSTEALTHbitsのようなファイル活動監視ベンダーであることが多いです。
「成功するプログラムは、技術よりもビジネスプロセスに焦点を当てる必要があります。」
最良のベンダーは、あなたの要件とユースケースを満たすものです。最も安価なものが最良の選択肢である可能性が高いです。なぜなら、製品でデータ分類やラベリングを行うことに対する投資回収はほとんどないからです。個人識別情報（PII）、保護対象保健情報（PHI）、ペイメントカード業界（PCI）などの環境をカスタマイズする必要がありますが、ベンダーが何を提供してくれるのでしょうか？（効果を強調するために少し誇張しましたが、私の言いたいことは伝わると思います）。
結論として
CISOは、データ分類の能力を単独で構築することはできません。成功するプログラムには、リスク管理、法務、コンプライアンスが含まれます。成功するプログラムは、技術よりもビジネスプロセスに焦点を当てる必要があります。データウェアハウスソリューションへのグローバルな移行は、この必要性を強化しています。データウェアハウスは、無制限のデータ統合とアクセスを提供するように設計されています。これにより、ビジネスは販売、マーケティング、運用効率を促進する新たな機会を発見することができます。これは、アプリケーション固有のデータベースに見られる歴史的なデータのサイロ化を排除し、すべてのデータをプールし、他のデータソースで補強することによって達成されます。分類の観点から見ると、これらのシステムでは歴史的なサイバーセキュリティコントロールが完全に削除され、アクセス性が優先されています。成功するデータ分類プログラムは、最初から設計プロセスの一部となることで、これらの課題に先んじます。成功するプログラムの最終要素は、すべてを一度に解決しようとしないことを理解することです。重要なデータに焦点を当てることが重要です。これは、ビジネスチームと協力して高度機密データリストを作成することによってのみ達成されます。再度、ビジネスユニットの最も重要なデータに焦点を当ててください。高度機密データの合計が部門全体のデータプールの3%を超える場合は、データタイプを再評価してください。そうでなければ、高度機密データの取り扱いに関するコントロールがビジネスに大きな影響を与え、データ分類プログラムの終焉を迎えることになります。