مستويات تصنيف البيانات: 4 مستويات مع أمثلة

أفادت الحكومة البريطانية أن أربعة من كل عشرة شركات في المملكة المتحدة (43%) وثلاثة من كل عشرة مؤسسات خيرية (30%) أبلغت عن خرق أو هجوم إلكتروني خلال الاثني عشر شهرًا الماضية. مسح خروقات الأمن السيبراني 2025هذا استطلاع رأي أُجري في المملكة المتحدة، لكن هذه النقطة تنطبق على أماكن أخرى. فمعظم الموظفين لا يستطيعون حماية المعلومات التي لا يمكنهم ذكر أسمائها، ويُطرح السؤال "هل هذه الجداول الإلكترونية داخلية أم سرية؟" قبل وقت طويل من وقوع أي هجوم.

تُقدّم هذه المقالة أربعة مستويات لتصنيف البيانات تستخدمها معظم المؤسسات: عامة، داخلية، سرية، ومقيدة. وتتضمن كل منها خمسة أمثلة وقاعدة للتعامل معها. ثم توضح المقالة كيفية ارتباطها بنظامين رسميين، لتمييز ما هو عرفي وما هو معياري.

ما هو تصنيف البيانات؟

تصنيف البيانات هو عبارة عن تسمية تُحدد كيفية التعامل مع معلومة معينة. توضع هذه التسمية على مستند أو ملف أو مجموعة بيانات، وتشير إلى قاعدة: من يمكنه الاطلاع عليها، وكيف يمكن إرسالها، وكيف يتم تخزينها.

لا يُشترط على جميع المؤسسات تحديد قائمة واحدة للمستويات. المستويات الأربعة المذكورة أدناه هي طريقة شائعة لوضع السياسات، وليست معيارًا مُحددًا من قِبل المعهد الوطني للمعايير والتكنولوجيا (NIST) أو أي جهة حكومية. قد تستخدم سياستك الخاصة ثلاثة مستويات أو خمسة أو أسماءً مختلفة، ويُحدد مالك البيانات التسمية الأنسب. الأمثلة عامة، لذا يُرجى استبدالها بوثائقك الخاصة عند تدريسها.

الجولة الأولى: الجمهور (5 أمثلة)

المعلومات العامة متاحة للجميع، ولا يسبب نشرها خارج المنظمة أي ضرر.

قاعدة التعامل: لا توجد قيود على المشاركة، ولكن المالك فقط هو من ينشرها، وتبقى دقيقة.

1. بيان صحفي منشور.
2. إعلان وظيفة.
3. كتيب المنتج.
4. عامة blog بريد.
5. الأسعار المنشورة على الموقع الإلكتروني.

اختيارنا: إعلان الوظيفة. غالباً ما يتعامل الناس مع هذا الأمر على أنه حساس لأنه صادر عن قسم الموارد البشرية. لقد كُتب ليقرأه الغرباء، لذا فهو متاح للعامة.

الجولة الثانية: الداخلية (5 أمثلة)

المعلومات الداخلية مخصصة للعاملين في المنظمة. إنها ليست سرية، ولكنها ليست متاحة للغرباء.

قاعدة التعامل: للموظفين فقط، ويتم الاحتفاظ بها داخل أنظمة الشركة ولا يتم مشاركتها مع جهات خارجية إلا بموافقة المالك.

1. دليل الموظفين.
2. نشرة إخبارية داخلية.
3. ملاحظات الاجتماع.
4. وثيقة سياسات.
5. خطة مشروع.

اختيارنا: ملاحظات الاجتماعات. تبدو هذه الرسائل غير ضارة، لكنها غالباً ما تتضمن أسماء عملاء أو أسعار أو أشخاص. تحقق من محتواها قبل إرسالها إلى المورد.

الجولة الثالثة: سري (5 أمثلة)

إن المعلومات السرية ستسبب ضرراً حقيقياً إذا وصلت إلى الأشخاص الخطأ، مثل فقدان العملاء، أو التعرض للمساءلة القانونية، أو ضعف الموقف في المفاوضات.

قاعدة التعامل: المعلومات التي يحتاج إلى معرفتها فقط، مشفرة عند إرسالها، ويتم مشاركتها من خلال أدوات معتمدة، وليس عبر البريد الإلكتروني الشخصي.

1. قائمة العملاء.
2. عقد موقع.
3. توقعات مالية.
4. تقييم الأداء.
5. أسعار الموردين.

اختيارنا: قائمة العملاء. يسهل تصديرها ولصقها في البريد الإلكتروني. خطأ واحد قد يُعرّض منافسك لخسارة جميع أعمالك.

الجولة الرابعة: مقيدة (5 أمثلة)

يُعدّ مستوى "مقيّد" هو المستوى الأكثر صرامة. قد يتسبب تسريب المعلومات في أضرار جسيمة للمنظمة أو للأفراد، لذا فإن الوصول إليه يقتصر على أشخاص محددين.

قاعدة التعامل: الأشخاص المحددون فقط، وأقوى الضوابط، وتسجيل الوصول.

1. كلمات المرور والمفاتيح.
2. بيانات بطاقة الدفع.
3. السجلات الصحية.
4. نتائج مالية لم يتم نشرها.
5. تفاصيل الحادث الأمني.

خيارنا المفضل: بيانات الاعتماد في مستند مشترك. يدرك معظم الناس هذا الخطأ من فريقهم. كلمة المرور الموجودة على ورقة مشتركة تُعتبر بيانات مقيدة مخزنة كما لو كانت بيانات داخلية.

كيفية ربط المستويات بالمخططات الرسمية

تُعدّ المستويات الأربعة اصطلاحًا، لذا لا يوجد نظام رسمي يُطابقها تمامًا. يُظهر الجدول أقرب تطابق. اعتبر هذا التطابق تقريبيًا.

فيبس 199 لا يحدد أربعة مستويات. بل يحدد ثلاثة مستويات من التأثير المحتمل (منخفض، متوسط، وعالي) على المعلومات الفيدرالية وأنظمة المعلومات، بناءً على حجم الضرر الذي قد يسببه فقدان السرية أو النزاهة أو التوافر (معيار NIST FIPS 199). التأثير الضار المحدود منخفض، والتأثير الضار الخطير متوسط، والتأثير الضار الشديد أو الكارثي مرتفع.

استخدم سياسة التصنيفات الأمنية لحكومة المملكة المتحدة يستخدم النظام ثلاثة مستويات: رسمي، سري، وسري للغاية. تم تحديث صفحة GOV.UK آخر مرة في 5 أغسطس 2024. يشمل المستوى الرسمي معظم المعلومات الحكومية، و"-حساس" علامة إضافية على المعلومات الرسمية التي قد يؤدي تسريبها إلى أضرار أكبر. تنص السياسة على أنها ليست نظامًا قانونيًا (GOV.UK: التصنيفات الأمنية الحكومية).

يحتفظ الأرشيف الوطني الأمريكي أيضًا بسجل للمعلومات غير المصنفة الخاضعة للرقابة (CUI). وهو عبارة عن قائمة بالفئات المصنفة حسب الموضوع، مثل البنية التحتية الحيوية والدفاع والمالية، وليس سلمًا من المستويات (سجل NARA CUIإذا كانت مؤسستك تتعامل مع معلومات حكومة الولايات المتحدة، فاقرأ عقدك لمعرفة الفئات التي تنطبق عليها.

وضع العلامات والتعامل

لا يُجدي التصنيف نفعاً إلا إذا استخدمه الناس بالطريقة نفسها. أربع عادات تضمن اتساقه.

1. وضع علامة عند الإنشاء. المؤلف هو الأدرى بما يحتويه الملف، لذا اطلب منه وضع علامة عليه عند حفظه.
2. عند الشك، استخدم المستوى الأعلى. لا يتطلب التعامل مع ملف على أنه سري سوى القليل من الوقت. أما التعامل مع البيانات السرية على أنها داخلية فقد يكلف العميل الكثير.
3. لا تقم بتخفيض مستوى الخدمة بدون موافقة المالك. لا يمكن إلا لمالك البيانات، وفقًا للسياسة المتبعة، خفض التصنيف.
4. أعد تصنيف البيانات عند تغير الحساسية. تُعتبر التوقعات سرية قبل نشر النتائج، وقد تصبح عامة بعد ذلك.

تُعدّ هذه العادات مهمة لأنّ الاختراقات شائعة. وقد أظهر الاستطلاع المذكور أعلاه أنّ 43% من الشركات في المملكة المتحدة أبلغت عن اختراق واحد خلال العام الماضي، والملف غير المصنّف هو ملف لم يكن أحد يعلم بضرورة حمايته. للاطلاع على الجانب الإنساني للهجمات، راجع منشورنا حول أمثلة على الهندسة الاجتماعية.

طرق تنظيم مسابقة تصنيف باستخدام AhaSlides

يمكنك شرح المستويات الأربعة في جلسة واحدة مدتها ٢٠ دقيقة. يتفاعل الحضور، مما يجعل القواعد أكثر رسوخًا في الأذهان مقارنةً بملف PDF للسياسات. صمم كل شريحة بناءً على الأمثلة المذكورة أعلاه.

1. اختر الإجابة: "ما هو مستوى هذه الوثيقة؟" اعرض مثالاً من كل جولة، وأضف لوحة الصدارة، وامنح النقاط للمستوى الصحيح.
2. كلمة سحابة: "ما هو أكثر شيء حساس تتعامل معه؟" تُظهر الإجابات أي من فرقك يعمل مع البيانات السرية أو المقيدة كل يوم.
3. مقياس التصنيف: "ما مدى ثقتك في تصنيف الملف؟" قم بالتقييم من 1 إلى 5، ثم تابع مع الأشخاص الذين حصلوا على درجات منخفضة.
4. مفتوح النهاية، مجهول الهوية: "ما السؤال الذي تود طرحه على فريق الأمن؟" سيسأل الناس أشياءً لن يقولوها بصوت عالٍ.

هل تبحث عن طرق أخرى لتشغيله؟ انظر التدريب على التوعية بالأمن السيبراني, فحوصات دورية لأمن تكنولوجيا المعلومات ومكافحة التصيد الاحتيالي Slack و توثيق الذكاء الاصطناعي والتدريب على الخصوصيةيوفر لك قالب دورة تصنيف البيانات ومعالجتها شرائح جاهزة للتعديل.

الأسئلة المتكررة

ما هي مستويات تصنيف البيانات الأربعة؟

يُعدّ نظام "عام، داخلي، سري، ومقيّد" الأكثر شيوعًا، مع العلم أن كل مؤسسة تضع نظامها الخاص. يمكن مشاركة المعلومات العامة مع أي شخص، بينما تبقى المعلومات الداخلية داخل المؤسسة، والمعلومات السرية مخصصة لمن يحتاجون إلى معرفتها، أما المعلومات المقيدة فهي مخصصة لأشخاص محددين فقط.

هل توجد مجموعة قياسية من مستويات تصنيف البيانات؟

لا، لا توجد مجموعة واحدة. يحدد معيار FIPS 199 ثلاثة مستويات للتأثير (منخفض، متوسط، وعالي) للأنظمة الفيدرالية الأمريكية، وتستخدم حكومة المملكة المتحدة تصنيفاتها الثلاثة الخاصة: رسمي، سري، وسري للغاية. أما المنظمات الخاصة فتختار تصنيفاتها الخاصة، ويُعدّ استخدام أربعة مستويات نمطًا شائعًا.

ما هي أمثلة البيانات السرية؟

قوائم العملاء، والعقود، والتوقعات المالية، وتقييمات الأداء. أسعار الموردين تُدرج هنا أيضاً. جميع هذه المعلومات قد تُسبب ضرراً بالغاً إذا وصلت إلى الأشخاص غير المناسبين، لذا تتم مشاركتها فقط عند الضرورة.

ما الفرق بين البيانات السرية والبيانات المقيدة؟

يُعدّ مستوى "مُقيّد" المستوى الأكثر صرامة، ويقتصر على أشخاص مُحدّدين يتمتّعون بأقوى صلاحيات الوصول. تُشارك البيانات السرية مع أي شخص يحتاجها لأداء مهامه. أما البيانات المُقيّدة، مثل كلمات المرور أو بيانات بطاقات الدفع، فهي متاحة لعدد أقل بكثير من الأشخاص، ويتم تسجيل الوصول إليها.

من يقرر كيفية تصنيف البيانات؟

يتبع مالك البيانات سياسة المؤسسة. عادةً ما يقوم المؤلف بتطبيق التصنيف أولاً، ثم يقوم المالك بتأكيده أو تعديله. لا يجوز للموظفين تخفيض تصنيف البيانات بأنفسهم.

من أين أبدا

اختر فريقًا واحدًا، وصنّف ملفاته العشرة الأكثر شيوعًا وفقًا للمستويات الأربعة، ثم أجرِ الاختبار لمعرفة مواطن الاختلاف بين الأعضاء. ستوضح لك هذه الاختلافات الأمثلة التي تحتاجها سياستك.