Επίπεδα ταξινόμησης δεδομένων: 4 επίπεδα με παραδείγματα

Τέσσερις στις δέκα επιχειρήσεις του Ηνωμένου Βασιλείου (43%) και τρεις στις δέκα φιλανθρωπικές οργανώσεις (30%) ανέφεραν παραβίαση ή επίθεση στον κυβερνοχώρο τους τελευταίους 12 μήνες, σύμφωνα με την κυβέρνηση του Ηνωμένου Βασιλείου. Έρευνα για τις παραβιάσεις της κυβερνοασφάλειας 2025Αυτή είναι μια έρευνα του Ηνωμένου Βασιλείου, αλλά το σημείο ισχύει και αλλού. Το μεγαλύτερο μέρος του προσωπικού δεν μπορεί να προστατεύσει πληροφορίες που δεν μπορεί να κατονομάσει και το ερώτημα «είναι αυτό το υπολογιστικό φύλλο εσωτερικό ή εμπιστευτικό;» τίθεται πολύ πριν δεχτεί επίθεση κάποιος.

Αυτή η ανάρτηση σας παρέχει τα 4 επίπεδα ταξινόμησης δεδομένων που χρησιμοποιούν οι περισσότεροι οργανισμοί: Δημόσιο, Εσωτερικό, Εμπιστευτικό και Περιορισμένο. Κάθε ένα έχει 5 παραδείγματα και έναν κανόνα χειρισμού. Στη συνέχεια, δείχνει πώς σχετίζονται με δύο επίσημα σχήματα, ώστε να γνωρίζετε τι είναι σύμβαση και τι πρότυπο.

Τι είναι η ταξινόμηση δεδομένων

Η ταξινόμηση δεδομένων είναι μια ετικέτα που υποδεικνύει στους ανθρώπους πώς να χειρίζονται μια πληροφορία. Η ετικέτα βρίσκεται σε ένα έγγραφο, ένα αρχείο ή ένα σύνολο δεδομένων και υποδεικνύει έναν κανόνα: ποιος μπορεί να την δει, πώς μπορεί να αποσταλεί και πώς αποθηκεύεται.

Δεν απαιτείται ενιαία λίστα επιπέδων για κάθε οργανισμό. Τα 4 παρακάτω αποτελούν έναν συνηθισμένο τρόπο για τη δημιουργία μιας πολιτικής και όχι ένα πρότυπο που ορίζεται από το NIST ή από οποιαδήποτε κυβέρνηση. Η δική σας πολιτική μπορεί να χρησιμοποιεί 3 επίπεδα, 5 επίπεδα ή διαφορετικά ονόματα και ο κάτοχος των δεδομένων αποφασίζει ποια ετικέτα ταιριάζει. Τα παραδείγματα είναι γενικά, επομένως ανταλλάξτε τα στα δικά σας έγγραφα όταν τα διδάσκετε.

Γύρος 1: Δημόσιο (5 παραδείγματα)

Οι δημόσιες πληροφορίες προορίζονται για προβολή από οποιονδήποτε. Η κοινοποίησή τους εκτός του οργανισμού δεν προκαλεί καμία βλάβη.

Κανόνας χειρισμού: Δεν υπάρχει περιορισμός στην κοινή χρήση, αλλά μόνο ο κάτοχος το δημοσιεύει και παραμένει ακριβές.

1. Δημοσιευμένο δελτίο τύπου.
2. Μια αγγελία εργασίας.
3. Ένα φυλλάδιο προϊόντος.
4. Ένα κοινό blog Θέση.
5. Δημοσιευμένες τιμές στην ιστοσελίδα.

Η επιλογή μας: η αγγελία εργασίας. Οι άνθρωποι συχνά το αντιμετωπίζουν ως ευαίσθητο επειδή προήλθε από το τμήμα Ανθρώπινου Δυναμικού. Γράφτηκε για να διαβαστεί από αγνώστους, επομένως είναι Δημόσιο.

Γύρος 2: Εσωτερικός (5 παραδείγματα)

Οι εσωτερικές πληροφορίες αφορούν άτομα που εργάζονται για τον οργανισμό. Δεν είναι μυστικές, αλλά δεν είναι και για τρίτους.

Κανόνας χειρισμού: μόνο για τους υπαλλήλους, φυλάσσονται εντός των συστημάτων της εταιρείας και δεν κοινοποιούνται σε εξωτερικούς χώρους χωρίς την έγκριση του ιδιοκτήτη.

1. Ο κατάλογος προσωπικού.
2. Ένα εσωτερικό ενημερωτικό δελτίο.
3. Σημειώσεις συνάντησης.
4. Ένα έγγραφο πολιτικής.
5. Ένα σχέδιο έργου.

Η επιλογή μας: σημειώσεις συνάντησης. Φαίνονται ακίνδυνα, ωστόσο συχνά κατονομάζουν πελάτες, τιμές ή άτομα. Ελέγξτε τι περιέχουν πριν τα προωθήσετε σε έναν προμηθευτή.

Γύρος 3: Εμπιστευτικό (5 παραδείγματα)

Οι εμπιστευτικές πληροφορίες θα προκαλούσαν πραγματική ζημιά εάν έφταναν σε λάθος άτομα, όπως απώλεια πελατών, νομική έκθεση ή ασθενέστερη θέση σε μια διαπραγμάτευση.

Κανόνας χειρισμού: μόνο όσα χρειάζεται να γνωρίζετε, κρυπτογραφημένα κατά την αποστολή και κοινοποιημένα μέσω εγκεκριμένων εργαλείων, όχι προσωπικού email.

1. Μια λίστα πελατών.
2. Υπογεγραμμένο συμβόλαιο.
3. Μια οικονομική πρόβλεψη.
4. Μια αξιολόγηση απόδοσης.
5. Τιμολόγηση προμηθευτών.

Η επιλογή μας: η λίστα πελατών. Είναι εύκολο να εξαχθεί και να επικολληθεί σε ένα email. Με ένα μόνο κουπόνι, ο ανταγωνιστής μπορεί να αποκτήσει ολόκληρη την επιχειρηματική του εμπειρία.

Γύρος 4: Περιορισμένος (5 παραδείγματα)

Η επιλογή «Περιορισμένη» είναι η πιο αυστηρή βαθμίδα. Μια διαρροή θα μπορούσε να προκαλέσει σοβαρή βλάβη στον οργανισμό ή σε άτομα, επομένως η πρόσβαση περιορίζεται σε συγκεκριμένα άτομα.

Κανόνας χειρισμού: μόνο επώνυμα άτομα, τα ισχυρότερα στοιχεία ελέγχου και η πρόσβαση που καταγράφεται.

1. Κωδικοί πρόσβασης και κλειδιά.
2. Στοιχεία κάρτας πληρωμής.
3. Αρχεία υγείας.
4. Μη δημοσιευμένα οικονομικά αποτελέσματα.
5. Λεπτομέρειες περιστατικού ασφαλείας.

Η επιλογή μας: διαπιστευτήρια σε ένα κοινόχρηστο έγγραφο. Οι περισσότεροι άνθρωποι αναγνωρίζουν αυτό το λάθος από την ομάδα τους. Ένας κωδικός πρόσβασης σε ένα κοινόχρηστο φύλλο είναι περιορισμένα δεδομένα που αποθηκεύονται σαν να ήταν εσωτερικά.

Πώς αντιστοιχίζονται τα επίπεδα σε επίσημα σχήματα

Τα 4 επίπεδα είναι μια σύμβαση, επομένως κανένα από τα επίσημα σχήματα δεν τα ταιριάζει ένα προς ένα. Ο πίνακας δείχνει την πλησιέστερη προσαρμογή. Αντιμετωπίστε την αντιστοίχιση ως κατά προσέγγιση.

FIPS 199 δεν ορίζει τέσσερα επίπεδα. Ορίζει τρία επίπεδα πιθανού αντίκτυπου (χαμηλό, μέτριο και υψηλό) για τις ομοσπονδιακές πληροφορίες και τα συστήματα πληροφοριών, με βάση το πόσο βλάβη θα προκαλούσε η απώλεια εμπιστευτικότητας, ακεραιότητας ή διαθεσιμότητας (NIST FIPS 199). Μια περιορισμένη ανεπιθύμητη ενέργεια είναι χαμηλή, μια σοβαρή είναι μέτρια και μια σοβαρή ή καταστροφική είναι υψηλή.

The Πολιτική Διαβαθμίσεων Ασφαλείας της Κυβέρνησης του Ηνωμένου Βασιλείου χρησιμοποιεί τρία επίπεδα: ΕΠΙΣΗΜΟ, ΑΠΟΡΡΗΤΟ και ΑΚΡΩΣ ΑΠΟΡΡΗΤΟ. Η σελίδα GOV.UK ενημερώθηκε τελευταία φορά στις 5 Αυγούστου 2024. Το ΕΠΙΣΗΜΟ καλύπτει τις περισσότερες κυβερνητικές πληροφορίες και το "-ΕΥΑΙΣΘΗΤΟ" είναι μια πρόσθετη σήμανση σε ΕΠΙΣΗΜΕΣ πληροφορίες των οποίων η διαρροή θα μπορούσε να προκαλέσει μεγαλύτερη ζημιά. Η πολιτική αναφέρει ότι δεν πρόκειται για νομοθετικά κατοχυρωμένο σύστημα (GOV.UK: Ταξινομήσεις Κυβερνητικής Ασφάλειας).

Τα Εθνικά Αρχεία των ΗΠΑ τηρούν επίσης ένα μητρώο Ελεγχόμενων Μη Διαβαθμισμένων Πληροφοριών (CUI). Πρόκειται για έναν κατάλογο κατηγοριών ομαδοποιημένων ανά θέμα, όπως κρίσιμες υποδομές, άμυνα και χρηματοοικονομικά, όχι μια κλίμακα επιπέδων (Μητρώο NARA CUI). Εάν ο οργανισμός σας χειρίζεται πληροφορίες της κυβέρνησης των ΗΠΑ, διαβάστε τη σύμβασή σας για τις οποίες ισχύουν οι κατηγορίες.

Επισήμανση και χειρισμός

Μια ετικέτα βοηθάει μόνο αν οι άνθρωποι την εφαρμόζουν με τον ίδιο τρόπο. Τέσσερις συνήθειες τη διατηρούν συνεπή.

1. Ετικέτα κατά τη δημιουργία. Ο συγγραφέας γνωρίζει καλύτερα τι υπάρχει στο αρχείο, γι' αυτό ζητήστε του να το επισημάνει όταν το αποθηκεύει.
2. Όταν δεν είστε σίγουροι, χρησιμοποιήστε το υψηλότερο επίπεδο. Η αντιμετώπιση ενός αρχείου ως Εμπιστευτικού κοστίζει λίγο χρόνο. Η αντιμετώπιση εμπιστευτικών δεδομένων ως Εσωτερικού μπορεί να κοστίσει σε έναν πελάτη.
3. Ποτέ μην κάνετε υποβάθμιση χωρίς τον κάτοχο. Μόνο ο κάτοχος των δεδομένων, σύμφωνα με την πολιτική, μπορεί να υποβαθμίσει μια ετικέτα.
4. Αναταξινομήστε όταν αλλάζει η ευαισθησία. Μια πρόβλεψη είναι εμπιστευτική πριν από τη δημοσίευση των αποτελεσμάτων και μπορεί να δημοσιοποιηθεί αργότερα.

Αυτές οι συνήθειες έχουν σημασία επειδή οι παραβιάσεις είναι συχνές. Η παραπάνω έρευνα διαπίστωσε ότι το 43% των επιχειρήσεων στο Ηνωμένο Βασίλειο ανέφεραν μία παραβίαση τον τελευταίο χρόνο και ένα αρχείο χωρίς ετικέτα είναι ένα αρχείο που κανείς δεν ήξερε να προστατεύσει. Για την ανθρώπινη πλευρά των επιθέσεων, δείτε την ανάρτησή μας στο παραδείγματα κοινωνικής μηχανικής.

Τρόποι για να φιλοξενήσετε ένα κουίζ ταξινόμησης με AhaSlides

Μπορείτε να διδάξετε τα 4 επίπεδα σε μία συνεδρία 20 λεπτών. Η τάξη απαντά, επομένως οι κανόνες παραμένουν πιο αποτελεσματικοί από ό,τι σε ένα PDF πολιτικής. Δημιουργήστε κάθε διαφάνεια από τα παραπάνω παραδείγματα.

1. Επιλέξτε την απάντηση: «Ποιο επίπεδο είναι αυτό το έγγραφο;» Δείξτε ένα παράδειγμα από κάθε γύρο, προσθέστε έναν πίνακα κατάταξης και απονείμετε τους πόντους για το σωστό επίπεδο.
2. Word Cloud: «Ποιο είναι το πιο ευαίσθητο θέμα που χειρίζεστε;» Οι απαντήσεις δείχνουν ποιες από τις ομάδες σας εργάζονται με Εμπιστευτικά ή Περιορισμένα δεδομένα καθημερινά.
3. Κλίμακα αξιολόγησης: «Πόσο σίγουροι είστε για την επισήμανση ενός αρχείου;» Βαθμολογήστε από το 1 έως το 5 και, στη συνέχεια, επικοινωνήστε με τα άτομα που έχουν χαμηλή βαθμολογία.
4. Ανοιχτού Τύπου, Ανώνυμο: «Τι ερώτηση θα θέλατε να κάνετε στην ομάδα ασφαλείας;» Οι άνθρωποι θα κάνουν πράγματα που δεν θα έλεγαν φωναχτά.

Ψάχνετε για περισσότερους τρόπους για να το εκτελέσετε; Δείτε εκπαίδευση ευαισθητοποίησης για την ασφάλεια στον κυβερνοχώρο, Έλεγχοι παλμών ασφάλειας IT και ηλεκτρονικού "ψαρέματος" (phishing) Slack και Τεκμηρίωση Τεχνητής Νοημοσύνης και εκπαίδευση για την προστασία της ιδιωτικής ζωήςΤο πρότυπο μαθήματος Ταξινόμηση και διαχείριση δεδομένων σάς παρέχει τις διαφάνειες έτοιμες για προσαρμογή.

Συχνές ερωτήσεις

Ποια είναι τα 4 επίπεδα ταξινόμησης δεδομένων;

Τα πιο συνηθισμένα σχήματα είναι τα Δημόσιο, Εσωτερικό, Εμπιστευτικό και Περιορισμένο, αν και κάθε οργανισμός ορίζει το δικό του. Το Δημόσιο μπορεί να κοινοποιηθεί σε οποιονδήποτε, το Εσωτερικό παραμένει εντός του οργανισμού, το Εμπιστευτικό είναι απαραίτητο και το Περιορισμένο είναι μόνο για επώνυμα άτομα.

Υπάρχει κάποιο τυποποιημένο σύνολο επιπέδων ταξινόμησης δεδομένων;

Όχι, δεν υπάρχει ένα μόνο σύνολο. Το FIPS 199 ορίζει τρία επίπεδα αντίκτυπου (χαμηλό, μέτριο και υψηλό) για τα ομοσπονδιακά συστήματα των ΗΠΑ και η κυβέρνηση του Ηνωμένου Βασιλείου χρησιμοποιεί τις δικές της τρεις ταξινομήσεις, ΕΠΙΣΗΜΟ, ΑΠΟΡΡΗΤΟ και ΑΚΡΩΣ ΑΠΟΡΡΗΤΟ. Οι ιδιωτικοί οργανισμοί επιλέγουν τις δικές τους και τα 4 επίπεδα είναι ένα κοινό μοτίβο.

Ποια είναι παραδείγματα εμπιστευτικών δεδομένων;

Λίστες πελατών, συμβόλαια, οικονομικές προβλέψεις και αξιολογήσεις απόδοσης. Η τιμολόγηση των προμηθευτών ανήκει επίσης σε αυτό το σημείο. Όλα αυτά θα προκαλούσαν πραγματική ζημιά αν έφταναν σε λάθος άτομα, επομένως κοινοποιούνται με βάση την ανάγκη γνώσης.

Ποια είναι η διαφορά μεταξύ εμπιστευτικών και περιορισμένων δεδομένων;

Η επιλογή "Περιορισμένα" είναι η πιο αυστηρή βαθμίδα, η οποία περιορίζεται σε συγκεκριμένα άτομα με τα ισχυρότερα δικαιώματα ελέγχου. Τα εμπιστευτικά δεδομένα κοινοποιούνται σε όποιον τα χρειάζεται για την εργασία του. Τα περιορισμένα δεδομένα, όπως οι κωδικοί πρόσβασης ή τα δεδομένα καρτών πληρωμής, είναι διαθέσιμα σε πολύ λιγότερα άτομα και η πρόσβασή τους καταγράφεται.

Ποιος αποφασίζει πώς ταξινομούνται τα δεδομένα;

Ο κάτοχος των δεδομένων, σύμφωνα με την πολιτική του οργανισμού. Ο συντάκτης συνήθως εφαρμόζει πρώτα την ετικέτα και ο κάτοχος την επιβεβαιώνει ή την αλλάζει. Το προσωπικό δεν πρέπει να υποβαθμίζει το ίδιο μια ετικέτα.

Από πού να αρχίσω

Διαλέξτε μία ομάδα, ονομάστε τα 10 πιο συνηθισμένα αρχεία της με τα 4 επίπεδα και εκτελέστε το κουίζ για να δείτε πού διαφωνούν οι άνθρωποι. Αυτές οι διαφωνίες σας δείχνουν ποια παραδείγματα χρειάζεται η πολιτική σας.