फ़ाइल शेयरिंग के लिए डेटा क्लासिफिकेशन बेस्ट प्रैक्टिसेज

DPDP Act 2023 की धारा 2(t) के तहत "संवेदनशील व्यक्तिगत डेटा" को अलग तरीके से संभालने की आवश्यकता है — लेकिन अधिकांश टीमें बिना वर्गीकरण के सब कुछ एक ही तरह से भेजती हैं। फ़ाइल शेयरिंग के लिए डेटा क्लासिफिकेशन का अर्थ है प्रत्येक फ़ाइल को संवेदनशीलता से टैग करना, फिर टैग से मेल खाने वाले हैंडलिंग नियम लागू करना। 2026 में एक कार्यशील योजना में चार स्तर हैं: Public (मार्केटिंग PDF, प्रकाशित रिपोर्ट), Internal (बैठक नोट, ड्राफ्ट बजट), Confidential (कर्मचारी रिकॉर्ड, 10,000 से कम पंक्तियों की ग्राहक सूचियाँ, गैर-सार्वजनिक वित्त), और Restricted (PHI, कार्डहोल्डर डेटा, व्यापार रहस्य, M&A दस्तावेज़)। Microsoft Purview, Varonis, Google DLP, और open-source Apache Atlas लेबलिंग और प्रवर्तन प्रदान करते हैं।

क्लासिफिकेशन अधिकांश टीमों के विचार से अधिक क्यों महत्वपूर्ण है

क्लासिफिकेशन के बिना टीमें सब कुछ एक ही तरह से भेजती हैं। एक सार्वजनिक ब्रोशर और 50 MB HR एक्सपोर्ट एक ही ईमेल सर्वर से एक ही अटैचमेंट आकार सीमा और एक ही एन्क्रिप्शन (आमतौर पर TLS से परे कुछ नहीं) के साथ जाते हैं। क्लासिफिकेशन एक अलग बातचीत को मजबूर करता है: यह फ़ाइल क्या है, किसे इसकी आवश्यकता है, और यह कितनी सुरक्षा की हकदार है? CERT-In के साइबर सुरक्षा दिशानिर्देश और Data Protection Board of India की आगामी अधिसूचनाएँ भी संगठनों से डेटा संवेदनशीलता के आधार पर विभेदित नियंत्रण की अपेक्षा करती हैं। उत्तर ट्रांसफर पथ निर्धारित करता है: Public फ़ाइल ईमेल से जाती है; Restricted फ़ाइल एंड-टू-एंड एन्क्रिप्शन, स्पष्ट अनुमोदन, और विस्तृत लॉगिंग का उपयोग करती है।

स्तर योजना डिज़ाइन करना

चार स्तर सामान्य सबसे अच्छी जगह है। तीन बहुत मोटे लगते हैं; पाँच सीमाएँ धुंधला करते हैं और उपयोगकर्ताओं को भ्रमित करते हैं। स्तरों को सरल भाषा में नाम दें। "Public, Internal, Confidential, Restricted" रंग कोड से बेहतर काम करता है क्योंकि उपयोगकर्ता इन्हें ज़ोर से कहते हैं। प्रत्येक स्तर को आपके व्यवसाय से ठोस उदाहरणों के साथ परिभाषित करें: ड्राफ्ट उत्पाद रोडमैप SaaS कंपनी में Confidential है लेकिन पूर्व-घोषणा पर Restricted हो सकता है। Board सामग्री Restricted है। कर्मचारी वेतन डेटा Restricted है। मिश्रित स्तरों वाले दस्तावेज़ों के लिए एक स्पष्ट नियम जोड़ें: फ़ाइल उपस्थित उच्चतम स्तर विरासत में लेती है।

लेबलिंग मैकेनिक्स

लेबल तीन में से एक तरीके से फ़ाइलों से जुड़ते हैं। मैन्युअल चयन — जहाँ उपयोगकर्ता सेव या अपलोड के समय ड्रॉपडाउन से स्तर चुनता है (Microsoft Information Protection in Word, Excel, PowerPoint)। स्वचालित — जहाँ टूल पैटर्न और नियमों (Microsoft Purview, Google DLP, Nightfall) के विरुद्ध सामग्री का निरीक्षण करता है। विरासत में — जहाँ एक लाइब्रेरी या फ़ोल्डर वहाँ संग्रहीत सब कुछ के लिए एक डिफ़ॉल्ट स्तर प्रदान करता है। सर्वोत्तम परिणाम सभी तीन को मिलाने से आते हैं। लेबल स्वयं मेटाडेटा में बैठता है (फ़ाइल गुण, OOXML custom attributes, PDF के लिए XMP) और दस्तावेज़ हेडर और फ़ूटर में दिखाई देता है। स्थायी लेबल फ़ाइलों की प्रतिलिपि और साझा करने पर भी बने रहते हैं।

स्केल के लिए स्वचालित क्लासिफिकेशन

मैन्युअल क्लासिफिकेशन स्केल पर टूट जाता है। प्रति माह 50,000 नए दस्तावेज़ तैयार करने वाली कंपनी प्रत्येक को टैग करने के लिए उपयोगकर्ताओं पर निर्भर नहीं रह सकती। स्वचालित क्लासिफिकेशन इंजन पैटर्न के लिए सामग्री स्कैन करते हैं: Luhn जाँच के माध्यम से क्रेडिट कार्ड नंबर, Social Security Numbers, स्वास्थ्य रिकॉर्ड पहचानकर्ता, निर्यात-नियंत्रण वर्गीकरण। आपके दस्तावेज़ कोष पर प्रशिक्षित मशीन लर्निंग मॉडल संदर्भ (अनुबंध, चालान, रिज्यूमे) का पता लगाते हैं और लेबल प्रदान करते हैं। Microsoft Purview के Sensitive Information Types और Trainable Classifiers, Symantec DLP, Forcepoint, और Netskope यह प्रदान करते हैं। DPDP Act 2023 के तहत संवेदनशील व्यक्तिगत डेटा को स्वचालित रूप से पहचानने के लिए भारतीय संगठनों को इन टूल्स को स्थानीय डेटा पैटर्न के अनुसार अनुकूलित करना होगा।

प्रति स्तर हैंडलिंग नियम

प्रत्येक स्तर के लिए ठोस नियम परिभाषित करें। Public: शेयरिंग पर कोई प्रतिबंध नहीं, लेकिन आकस्मिक पुनः-वर्गीकरण को रोकने के लिए लेबल बना रहता है। Internal: केवल प्रमाणित कर्मचारियों के साथ साझा करें, पूर्व अनुमोदन के बिना कोई बाहरी प्राप्तकर्ता नहीं, ट्रांसफर पर 30-दिन डिफ़ॉल्ट समाप्ति। Confidential: बाहरी शेयरिंग के लिए अनुमोदित भागीदारों की आवश्यकता, एन्क्रिप्शन आवश्यक (AES-256 रेस्ट पर, TLS 1.3), प्राप्तकर्ता-विशिष्ट प्रमाणीकरण, 7-दिन समाप्ति, 12 महीने के लिए बनाए गए डाउनलोड लॉग। Restricted: शेयरिंग से पहले अनुमोदन आवश्यक, एंड-टू-एंड एन्क्रिप्शन अनिवार्य, केवल नामित प्राप्तकर्ता, पहले डाउनलोड पर समाप्त, 6+ साल रिटेंशन के साथ पूर्ण ऑडिट ट्रेल, सभी पक्षों के लिए MFA आवश्यक।

फ़ाइल ट्रांसफर टूल के साथ एकीकरण

ट्रांसफर टूल को लेबल पढ़ना और नियम लागू करने चाहिए। यदि कोई उपयोगकर्ता Restricted फ़ाइल अपलोड करता है, तो टूल को एंड-टू-एंड एन्क्रिप्शन सेटिंग्स की आवश्यकता होनी चाहिए और शेयर करने योग्य-लिंक विकल्पों को अस्वीकार करना चाहिए। यदि Confidential फ़ाइल भेजी जाती है, तो प्राप्तकर्ता के प्रमाणित होने तक डाउनलोड ब्लॉक होनी चाहिए। Microsoft Purview OneDrive और Teams के साथ मूल रूप से एकीकृत होता है। Egress और Virtru क्लासिफिकेशन-जागरूक नियंत्रणों के साथ आउटबाउंड ट्रांसफर के आसपास बनाए गए हैं। WeTransfer, Smash, या SwissTransfer जैसे ad-hoc टूल के लिए, प्रवर्तन गेटवे पर या उपयोगकर्ता प्रशिक्षण के माध्यम से होता है।

उपयोगकर्ता प्रशिक्षण जो वास्तव में काम करता है

उपयोगकर्ता की भागीदारी के बिना क्लासिफिकेशन विफल होता है। प्रभावी प्रशिक्षण व्यवसाय से वास्तविक उदाहरण दिखाता है: यहाँ एक Confidential deal दस्तावेज़ कैसा दिखता है, यहाँ क्या गलत होता है जब इसे Internal लेबल किया जाता है, यहाँ नियामक जुर्माना है जो अनुसरण करता है। Finance टीमें विनियमित वित्तीय डेटा पहचानना सीखती हैं। HR कर्मचारी PII पहचानना सीखता है। वार्षिक रूप से रिफ्रेश करें, और पुनः-वर्गीकरण अभ्यास शामिल करें जहाँ टीमें पुरानी फ़ाइलों की समीक्षा करती हैं। जो मेट्रिक्स महत्वपूर्ण हैं: लेबल किए गए फ़ाइलों का प्रतिशत, ऑडिट पर सही ढंग से लेबल किए गए का प्रतिशत, रोलआउट के बाद संवेदनशील-डेटा घटनाओं में कमी।

क्लासिफिकेशन ड्रिफ्ट और ऑडिटिंग

समय के साथ लेबल बदल जाते हैं। फ़ाइलें कॉपी, ईमेल, नए संस्करण के रूप में सेव, और पुनः-निर्यात होती हैं — कभी-कभी लेबल खोते हुए। आवधिक ऑडिट ड्रिफ्ट पकड़ते हैं। मासिक 100 फ़ाइलों का नमूना स्कैन करें, लेबल सामग्री से मेल खाते हैं सत्यापित करें, और आवश्यकतानुसार पुनः-वर्गीकृत करें। SOC 2 Type II और ISO 27001 ऑडिट के लिए, एक कार्यशील क्लासिफिकेशन प्रोग्राम के साक्ष्य CC6.1 (तार्किक पहुँच) और A.8.2 (संपत्ति वर्गीकरण) नियंत्रणों पर बेहतर रेटिंग अर्जित करते हैं। DPDP Act 2023 की धारा 8 के तहत "उचित तकनीकी और संगठनात्मक उपाय" साबित करने में क्लासिफिकेशन कार्यक्रम सहायक होता है।

HexaTransfer प्रत्येक फ़ाइल के लिए स्तर की परवाह किए बिना AES-256-GCM एंड-टू-एंड लागू करता है, जो इसे विशेष कॉन्फ़िगरेशन की आवश्यकता के बिना Confidential और Restricted शेयरिंग के लिए उपयुक्त टूल बनाता है। इसे आज़माएँ https://hexatransfer.com पर — मुफ़्त, बिना खाते के, अधिकतम 10 GB।

क्लासिफिकेशन आकर्षक नहीं है, और इसे शायद ही कभी उल्लंघन से पहले वित्त पोषण मिलता है। लेकिन एक बार जगह में होने पर, यह हर फ़ाइल-शेयरिंग निर्णय को अनुमान से नियम में बदल देता है। स्तर चैनल निर्धारित करता है, चैनल सुरक्षा लागू करता है, और ऑडिट ट्रेल साबित करता है कि प्रक्रिया काम करती है। चार स्तरों से शुरू करें, जहाँ संभव हो स्वचालित करें, वास्तविक उदाहरणों के साथ उपयोगकर्ताओं को प्रशिक्षित करें, और हर साल उन विनियमों के विरुद्ध कार्यक्रम की समीक्षा करें जिनका आपका व्यवसाय उत्तर देता है।