Dataklassificeringsniveauer: 4 niveauer med eksempler

Fire ud af ti britiske virksomheder (43 %) og tre ud af ti velgørenhedsorganisationer (30 %) rapporterede et cybersikkerhedsbrud eller -angreb inden for de seneste 12 måneder, ifølge den britiske regerings Undersøgelse af brud på cybersikkerhed 2025Det er en britisk undersøgelse, men pointen gælder også andre steder. De fleste medarbejdere kan ikke beskytte oplysninger, de ikke kan navngive, og spørgsmålet "er dette regneark internt eller fortroligt?" dukker op længe før nogen bliver angrebet.

Dette indlæg giver dig de 4 dataklassificeringsniveauer, som de fleste organisationer bruger: Offentlige, Interne, Fortrolige og Begrænsede. Hvert niveau har 5 eksempler og en håndteringsregel. Derefter vises, hvordan de relaterer sig til to formelle ordninger, så du ved, hvad der er en konvention, og hvad der er en standard.

Hvad er dataklassificering

Dataklassificering er en etiket, der fortæller folk, hvordan de skal håndtere en information. Etiketten sidder på et dokument, en fil eller et datasæt, og den peger på en regel: hvem må se den, hvordan den må sendes, og hvordan den gemmes.

Der kræves ikke en enkelt liste over niveauer for alle organisationer. De 4 nedenfor er en almindelig måde at opsætte en politik på, ikke en standard defineret af NIST eller af nogen regering. Din egen politik kan bruge 3 niveauer, 5 niveauer eller forskellige navne, og dataejeren bestemmer, hvilken etiket der passer. Eksemplerne er generiske, så byt med dine egne dokumenter, når du underviser i dem.

Runde 1: Offentlig (5 eksempler)

Offentlige oplysninger er beregnet til at være synlige for alle. Deling af dem uden for organisationen skader ikke.

Håndteringsregel: ingen begrænsning på deling, men kun ejeren udgiver det, og det forbliver nøjagtigt.

1. En offentliggjort pressemeddelelse.
2. En jobannonce.
3. En produktbrochure.
4. En offentlig blog stolpe.
5. Offentliggjorte priser på hjemmesiden.

Vores valg: jobannoncen. Folk behandler det ofte som følsomt, fordi det kommer fra HR. Det blev skrevet til at blive læst af fremmede, så det er offentligt.

Runde 2: Intern (5 eksempler)

Interne oplysninger er for folk, der arbejder for organisationen. De er ikke hemmelige, men de er ikke for udenforstående.

Håndteringsregel: kun for medarbejdere, opbevares i virksomhedens systemer og deles ikke eksternt uden ejerens samtykke.

1. Personalekataloget.
2. Et internt nyhedsbrev.
3. Mødenotater.
4. Et politisk dokument.
5. En projektplan.

Vores valg: mødenotater. De ser harmløse ud, men de nævner ofte kunder, priser eller personer. Tjek hvad der er i dem, før du videresender dem til en leverandør.

Runde 3: Fortroligt (5 eksempler)

Fortrolige oplysninger ville forårsage reel skade, hvis de nåede de forkerte personer, såsom tabte kunder, juridisk eksponering eller en svagere position i en forhandling.

Håndteringsregel: kun nødvendig viden, krypteret ved afsendelse og delt via godkendte værktøjer, ikke personlig e-mail.

1. En kundeliste.
2. En underskrevet kontrakt.
3. En finansiel prognose.
4. En præstationsvurdering.
5. Leverandørpriser.

Vores valg: kundelisten. Det er nemt at eksportere og nemt at indsætte i en e-mail. Én kvittering giver en konkurrent hele din forretningsbog.

Runde 4: Begrænset (5 eksempler)

Begrænset er det strengeste niveau. En lækage kan forårsage alvorlig skade på organisationen eller enkeltpersoner, så adgangen er begrænset til navngivne personer.

Håndteringsregel: kun navngivne personer, de stærkeste kontroller og adgang, der logges.

1. Adgangskoder og nøgler.
2. Betalingskortdata.
3. Sundhedsjournaler.
4. Ikke-offentliggjorte økonomiske resultater.
5. Detaljer om sikkerhedshændelse.

Vores valg: legitimationsoplysninger i et delt dokument. De fleste genkender denne fejl fra deres eget team. En adgangskode på et delt ark er begrænsede data, der gemmes, som om de var interne.

Hvordan niveauerne knyttes til formelle ordninger

De 4 niveauer er en konvention, så ingen af ​​de formelle ordninger matcher dem én for én. Tabellen viser den nærmeste tilpasning. Betragt kortlægningen som omtrentlig.

FIPS 199 definerer ikke fire niveauer. Den definerer tre niveauer af potentiel påvirkning (lav, moderat og høj) for føderal information og informationssystemer, baseret på hvor stor skade et tab af fortrolighed, integritet eller tilgængelighed ville forårsage (NIST FIPS 199En begrænset bivirkning er lav, en alvorlig er moderat, og en alvorlig eller katastrofal er høj.

Den britiske regerings politik for sikkerhedsklassifikationer bruger tre niveauer: OFFICIEL, HEMMELIG og TOP HEMMELIG. GOV.UK-siden blev sidst opdateret den 5. august 2024. OFFICIEL dækker de fleste offentlige oplysninger, og "-SENSITIV" er en yderligere markering på OFFICIEL oplysninger, hvis kompromittering kan forårsage mere skade. Politikken siger, at det ikke er en lovpligtig ordning (GOV.UK: Klassifikationer af statslige sikkerhedsforanstaltninger).

Det amerikanske nationalarkiv fører også et register over kontrollerede, uklassificerede oplysninger (CUI). Det er en liste over kategorier grupperet efter emne, såsom kritisk infrastruktur, forsvar og finans, ikke en stige af niveauer (NARA CUI-registerHvis din organisation håndterer oplysninger fra den amerikanske regering, skal du læse din kontrakt for hvilke kategorier der gælder.

Mærkning og håndtering

En etiket hjælper kun, hvis folk anvender den på samme måde. Fire vaner holder den konsistent.

1. Etiket ved oprettelse. Forfatteren ved bedst, hvad der er i filen, så bed dem om at markere det, når de gemmer den.
2. Hvis du er usikker, så brug det højere niveau. Det koster lidt tid at behandle en fil som fortrolig. Det kan koste en kunde at behandle fortrolige data som interne.
3. Nedgrader aldrig uden ejeren. Kun dataejeren kan, i henhold til politikken, fjerne en etiket.
4. Omklassificer når følsomheden ændrer sig. En prognose er fortrolig, før resultaterne offentliggøres, og kan blive offentlig bagefter.

Disse vaner er vigtige, fordi sikkerhedsbrud er almindelige. Ovenstående undersøgelse viste, at 43 % af britiske virksomheder rapporterede et sikkerhedsbrud i det seneste år, og en fil uden etiket er en fil, som ingen vidste, at de skulle beskytte. For den menneskelige side af angreb, se vores indlæg om eksempler på social manipulation.

Måder at afholde en klassifikationsquiz med AhaSlides

Du kan undervise i de 4 niveauer i én 20-minutters session. Lokalet svarer, så reglerne holder sig bedre end fra en PDF-fil med retningslinjer. Byg hvert slide ud fra eksemplerne ovenfor.

1. Vælg svar: "Hvilket niveau er dette dokument?" Vis et eksempel fra hver runde, tilføj en rangliste, og tildel pointene for det korrekte niveau.
2. Word Cloud: "Hvad er det mest følsomme, I håndterer?" Svarene viser, hvilke af jeres teams der arbejder med fortrolige eller begrænsede data hver dag.
3. Bedømmelsesskala: "Hvor sikker er du på at mærke en fil?" Bedøm fra 1 til 5, og følg derefter op med de personer, der scorer lavt.
4. Åben, anonym: "Hvilket spørgsmål vil du stille sikkerhedsholdet?" Folk vil spørge om ting, de ikke ville sige højt.

Leder du efter flere måder at køre det på? Se cybersikkerhedsbevidsthedstræning, IT-sikkerhed og phishing pulse checks ind Slack og AI-dokumentation og privatlivstræningSkabelonen til kursus i dataklassificering og -håndtering giver dig slides, der er klar til tilpasning.

Ofte stillede spørgsmål

Hvad er de 4 niveauer af dataklassificering?

Offentlig, Intern, Fortrolig og Begrænset er den mest almindelige ordning, selvom hver organisation har sin egen. Offentlig kan deles med alle, Intern forbliver inde i organisationen, Fortrolig er nødvendigt at vide, og Begrænset er kun for navngivne personer.

Findes der et standardsæt af dataklassificeringsniveauer?

Nej, der er ikke ét sæt. FIPS 199 definerer tre påvirkningsniveauer (lav, moderat og høj) for amerikanske føderale systemer, og den britiske regering bruger sine egne tre klassifikationer: OFFICIEL, HEMMELIG og TOP HEMMELIG. Private organisationer vælger deres egne, og 4 niveauer er et almindeligt mønster.

Hvad er eksempler på fortrolige data?

Kundelister, kontrakter, økonomiske prognoser og præstationsvurderinger. Leverandørpriser hører også hjemme her. Alle disse ville forårsage reel skade, hvis de nåede de forkerte personer, så de deles på et "need-to-know"-basis.

Hvad er forskellen på fortrolige og begrænsede data?

Begrænset er det strengeste niveau, begrænset til navngivne personer med de stærkeste kontroller. Fortrolige data deles med alle, der har brug for dem til deres arbejde. Begrænsede data, såsom adgangskoder eller betalingskortdata, er tilgængelige for langt færre personer, og adgangen til dem logges.

Hvem bestemmer, hvordan data klassificeres?

Dataejeren følger organisationens politik. Forfatteren anvender normalt etiketten først, og ejeren bekræfter den eller ændrer den. Medarbejdere bør ikke selv nedgradere en etiket.

Hvor skal man begynde

Vælg et hold, mærk dets 10 mest almindelige filer med de 4 niveauer, og kør quizzen for at se, hvor folk er uenige. Disse uenigheder viser dig, hvilke eksempler din politik har brug for.