Čtyři z deseti britských firem (43 %) a tři z deseti charitativních organizací (30 %) nahlásily v posledních 12 měsících narušení kybernetické bezpečnosti nebo útok, uvádí britská vláda. Průzkum narušení kybernetické bezpečnosti 2025To je průzkum ve Spojeném království, ale tento bod platí i jinde. Většina zaměstnanců nedokáže ochránit informace, které nemohou pojmenovat, a otázka „je tato tabulka interní nebo důvěrná?“ se objevuje dlouho předtím, než je někdo napaden.
Tento příspěvek vám ukáže 4 úrovně klasifikace dat, které používá většina organizací: Veřejná, Interní, Důvěrná a Omezená. Každá z nich má 5 příkladů a pravidlo pro manipulaci. Poté ukazuje, jak se vztahují ke dvěma formálním schématům, abyste věděli, co je konvence a co je standard.
Co je to klasifikace dat
Klasifikace dat je štítek, který lidem říká, jak s danou informací zacházet. Štítek se nachází na dokumentu, souboru nebo datové sadě a odkazuje na pravidlo: kdo ji může vidět, jak ji lze odeslat a jak ji uložit.
Pro každou organizaci není vyžadován jednotný seznam úrovní. Níže uvedené 4 úrovně představují běžný způsob nastavení zásad, nikoli standard definovaný NIST nebo jakoukoli vládou. Vaše vlastní zásady mohou používat 3 úrovně, 5 úrovní nebo různé názvy a vlastník dat rozhodne, který název se hodí. Příklady jsou obecné, proto při jejich výuce vyměňte své vlastní dokumenty.
1. kolo: Veřejné (5 příkladů)
Veřejné informace jsou určeny k prohlížení komukoli. Jejich sdílení mimo organizaci nezpůsobuje žádnou škodu.
Pravidlo pro manipulaci: žádné omezení sdílení, ale publikuje jej pouze vlastník a zůstává přesný.
- Zveřejněná tisková zpráva.
- Pracovní inzerát.
- Produktová brožura.
- Veřejnost blog pošta.
- Ceny zveřejněné na webových stránkách.
Naše volba: pracovní inzerát. Lidé to často považují za citlivé, protože to pochází z personálního oddělení. Bylo to napsáno pro cizí lidi, takže je to veřejné.
2. kolo: Interní (5 příkladů)
Interní informace jsou určeny pro lidi, kteří pro organizaci pracují. Nejsou tajné, ale nejsou ani pro osoby mimo organizaci.
Pravidlo pro manipulaci: pouze pro zaměstnance, uchovávané uvnitř firemních systémů a nesdílené mimo systém bez souhlasu majitele.
- Adresář zaměstnanců.
- Interní zpravodaj.
- Poznámky ze schůze.
- Politický dokument.
- Projektový plán.
Náš výběr: poznámky ze schůzky. Vypadají neškodně, ale často uvádějí jména zákazníků, ceny nebo osoby. Než je pošlete dodavateli, zkontrolujte, co v nich je.
3. kolo: Důvěrné (5 příkladů)
Důvěrné informace by způsobily skutečné škody, pokud by se dostaly k nesprávným lidem, jako je ztráta zákazníků, právní prozrazení nebo slabší pozice při vyjednávání.
Pravidlo pro manipulaci: pouze pro ty, kteří to potřebují vědět, zašifrované při odeslání a sdílené prostřednictvím schválených nástrojů, nikoli osobních e-mailů.
- Seznam zákazníků.
- Podepsaná smlouva.
- Finanční prognóza.
- Hodnocení výkonu.
- Ceny dodavatelů.
Naše volba: seznam zákazníků. Snadno se exportuje a vkládá do e-mailu. Jeden útržek předá konkurenci celou vaši obchodní bilanci.
4. kolo: Omezeno (5 příkladů)
Omezená úroveň je nejpřísnější. Únik informací by mohl způsobit vážné škody organizaci nebo jednotlivcům, takže přístup je omezen na jmenované osoby.
Pravidlo pro manipulaci: pouze jmenované osoby, nejsilnější kontroly a protokolovaný přístup.
- Hesla a klíče.
- Údaje o platební kartě.
- Zdravotní záznamy.
- Nezveřejněné finanční výsledky.
- Podrobnosti o bezpečnostním incidentu.
Naše volba: přihlašovací údaje ve sdíleném dokumentu. Většina lidí tuto chybu poznává z vlastního týmu. Heslo na sdíleném listu je uloženo jako interní data s omezeným přístupem.
Jak se úrovně mapují na formální schémata
Čtyři úrovně jsou konvencí, takže žádné z formálních schémat jim neodpovídá jednoznačně. Tabulka ukazuje nejbližší shodu. Mapování považujte za přibližné.
| Běžné 4 úrovně | NIST FIPS 199 (federální systémy USA) | Bezpečnostní klasifikace britské vlády |
|---|---|---|
| Veřejné | Důvěrnost se zhruba nepoužije | Není zahrnuto, protože britský systém utajuje vládní informace |
| Interní | Nízký dopad, zhruba | OFICIÁLNÍ, zhruba |
| důvěrný | Mírný dopad, zhruba | OFICIÁLNÍ s označením -CITLIVÉ, zhruba |
| Omezený | Vysoký dopad, zhruba | TAJNÉ a PŘÍSNĚ TAJNÉ, zhruba |
FIPS 199 nedefinuje čtyři úrovně. Definuje tři úrovně potenciálního dopadu (nízká, střední a vysoká) pro federální informace a informační systémy na základě toho, jak velkou škodu by způsobila ztráta důvěrnosti, integrity nebo dostupnosti (NIST FIPS 199). Omezený nepříznivý účinek je nízký, závažný je střední a závažný nebo katastrofický je vysoký.
Jedno Zásady britské vlády pro utajování informací používá tři úrovně: OFICIÁLNÍ, TAJNÉ a PŘÍSNĚ TAJNÉ. Stránka GOV.UK byla naposledy aktualizována 5. srpna 2024. OFICIÁLNÍ zahrnuje většinu vládních informací a „-CITLIVÉ“ je další označení u OFICIÁLNÍCH informací, jejichž narušení by mohlo způsobit větší škody. Zásady uvádějí, že se nejedná o zákonný systém (GOV.UK: Vládní bezpečnostní klasifikace).
Americký Národní archiv také vede registr kontrolovaných neutajovaných informací (CUI). Jedná se o seznam kategorií seskupených podle tématu, jako je kritická infrastruktura, obrana a finance, nikoli o žebříček úrovní (Registr NARA CUI). Pokud vaše organizace zpracovává informace vlády USA, přečtěte si ve smlouvě, které kategorie se na ně vztahují.
Označování a manipulace
Označení pomáhá pouze tehdy, když ho lidé používají stejným způsobem. Čtyři návyky ho udržují konzistentního.
- Označení při vytvoření. Autor nejlépe ví, co se v souboru nachází, proto ho požádejte, aby si to při ukládání označil.
- Pokud si nejste jisti, použijte vyšší úroveň. Zacházení se souborem jako s důvěrným stojí trochu času. Zacházení s důvěrnými daty jako s interními může zákazníka stát peníze.
- Nikdy nesnižujte verzi bez majitele. Pouze vlastník dat může v souladu se zásadami snížit úroveň popisku.
- Překlasifikovat při změně citlivosti. Předpověď je důvěrná před zveřejněním výsledků a poté může být veřejná.
Tyto návyky jsou důležité, protože narušení bezpečnosti jsou běžná. Výše uvedený průzkum zjistil, že 43 % britských firem nahlásilo v uplynulém roce jeden takový případ a soubor bez označení je soubor, o kterém nikdo nevěděl, že ho má chránit. Informace o lidské stránce útoků naleznete v našem příspěvku na příklady sociálního inženýrství.
Způsoby, jak uspořádat klasifikační kvíz s AhaSlides
Všechny 4 úrovně můžete probrat během jedné 20minutové lekce. Místnost odpovídá, takže pravidla se lépe zapamatují než z PDF s pravidly. Každý snímek sestavte z výše uvedených příkladů.
- Vyberte odpověď: „Jaké úrovně je tento dokument?“ Ukažte příklad z každého kola, přidejte žebříček a udělte body za správnou úroveň.
- Word Cloud: „Co je pro vás nejcitlivější záležitostí?“ Odpovědi ukazují, které z vašich týmů denně pracují s důvěrnými nebo omezenými daty.
- Stupnice hodnocení: „Jak si jistě popisuješ soubor?“ Ohodnoť od 1 do 5 a poté se spoj s lidmi, kteří mají nízké skóre.
- Otevřený, anonymní: „Jakou otázku byste chtěli položit bezpečnostnímu týmu?“ Lidé se budou ptát na věci, které by nahlas neřekli.
Hledáte další způsoby, jak to spustit? Viz školení o kybernetické bezpečnosti, Kontroly IT bezpečnosti a phishingu Slack a Dokumentace k umělé inteligenci a školení o ochraně osobních údajůŠablona kurzu Klasifikace a zpracování dat vám poskytne snímky připravené k adaptaci.
Často kladené otázky
Jaké jsou 4 úrovně klasifikace dat?
Veřejné, Interní, Důvěrné a Omezené je nejběžnější schéma, ačkoli každá organizace si stanoví vlastní. Veřejné lze sdílet s kýmkoli, Interní zůstává uvnitř organizace, Důvěrné je nutné znát a Omezené je pouze pro určené osoby.
Existuje standardní sada úrovní klasifikace dat?
Ne, neexistuje jedna sada. Norma FIPS 199 definuje pro federální systémy USA tři úrovně dopadu (nízká, střední a vysoká) a vláda Spojeného království používá vlastní tři klasifikace: OFICIÁLNÍ, TAJNÉ a PŘÍSNĚ TAJNÉ. Soukromé organizace si volí vlastní a 4 úrovně jsou běžným vzorem.
Jaké jsou příklady důvěrných údajů?
Seznamy zákazníků, smlouvy, finanční prognózy a hodnocení výkonnosti. Patří sem i ceny dodavatelů. Všechny tyto informace by způsobily skutečné škody, pokud by se dostaly k nesprávným lidem, takže se sdílejí pouze v nezbytných případech.
Jaký je rozdíl mezi důvěrnými a omezenými údaji?
Omezená úroveň je nejpřísnější, omezená na určené osoby s nejsilnějšími kontrolami. Důvěrná data jsou sdílena s každým, kdo je potřebuje pro svou práci. Omezená data, jako jsou hesla nebo údaje o platebních kartách, jsou dostupná mnohem menšímu počtu lidí a jejich přístup je protokolován.
Kdo rozhoduje o tom, jak jsou data klasifikována?
Vlastník dat v souladu s pravidly organizace. Autor obvykle nejprve použije štítek a vlastník jej potvrdí nebo změní. Zaměstnanci by si sami neměli štítek snižovat.
Kde začít
Vyberte si jeden tým, označte jeho 10 nejběžnějších souborů 4 úrovněmi a spusťte kvíz, abyste zjistili, v čem se lidé neshodují. Tyto neshody vám ukážou, jaké příklady vaše politika potřebuje.
