Assets and Data

Inventory ทำให้รู้สิ่งที่ต้องดูแล Classification ระบุความสำคัญหรือความอ่อนไหวตามนโยบาย แล้วใช้กำหนดสิทธิ์ ที่เก็บ retention และวิธีส่งข้อมูล ต้องมีเจ้าของที่ตัดสินบริบท

ไฟล์ public manual กับรายชื่อเงินเดือนมีวิธีแชร์ต่างกัน การติดคำว่า confidential โดยไม่มี control หรือคนรับผิดชอบไม่ทำให้ปลอดภัย ต้องเชื่อมระดับกับพฤติกรรมที่ทำได้จริง

Data at rest อยู่ในที่เก็บ in transit เดินทาง และ in use ถูกประมวลผล Lifecycle ตั้งแต่เก็บ ใช้ แชร์ เก็บรักษาจนลบ ชี้ว่าข้อมูลอยู่ที่ไหนและใครเข้าถึงแต่ละช่วง

เข้ารหัสฐานข้อมูลช่วย at rest แต่ข้อมูลที่แอปถอดมาใน memory หรือ export CSV ต้องมีการปกป้องอีกแบบ Retention ที่หมดอายุต้องครอบคลุมสำเนาที่กำหนด ไม่ลบไฟล์หน้าแอปอย่างเดียว

PII เป็นข้อมูลที่ระบุบุคคลได้โดยตรงหรือรวมกับข้อมูลอื่น Privacy พิจารณาว่าเก็บใช้ข้อมูลเพื่ออะไร มีความจำเป็นแค่ไหน และกระทบสิทธิ์คนอย่างไร Security เป็นส่วนช่วยปกป้องแต่ไม่ทดแทนเหตุผลการใช้ข้อมูล

Log ที่รวม email IP และเวลาอาจเชื่อมกลับถึงคนได้ เก็บเท่าที่งานต้องใช้และกำหนดผู้เข้าถึง การลบชื่อแต่ยังมีตัวระบุที่เชื่อมกลับได้ไม่เท่ากับทำ anonymous อย่างรับรองได้