Ühendkuningriigi valitsuse andmetel teatasid neli kümnest Ühendkuningriigi ettevõttest (43%) ja kolm kümnest heategevusorganisatsioonist (30%) viimase 12 kuu jooksul küberturvalisuse rikkumisest või rünnakust. Küberturvalisuse rikkumiste uuring 2025See on Ühendkuningriigi uuring, aga sama mõte kehtib ka mujal. Enamik töötajaid ei saa kaitsta infot, mida nad ei saa nimetada, ja küsimus "kas see arvutustabel on sisemine või konfidentsiaalne?" kerkib juba ammu enne, kui kedagi rünnatakse.
See postitus annab teile neli andmete klassifitseerimise taset, mida enamik organisatsioone kasutab: avalik, sisemine, konfidentsiaalne ja piiratud. Igal tasandil on 5 näidet ja käsitlemisreegel. Seejärel näidatakse, kuidas need on seotud kahe ametliku skeemiga, et teaksite, mis on konventsioon ja mis on standard.
Mis on andmete klassifitseerimine
Andmete klassifikatsioon on silt, mis annab inimestele teada, kuidas teabega ümber käia. Silt asub dokumendil, failil või andmekogumil ja viitab reeglile: kes seda näeb, kuidas seda saata ja kuidas seda salvestatakse.
Igal organisatsioonil pole vaja ühtset tasemete loendit. Allolevad neli on levinud viis poliitika loomiseks, mitte NISTi või ühegi valitsuse määratletud standard. Teie enda poliitika võib kasutada 3, 5 taset või erinevaid nimetusi ning andmete omanik otsustab, milline silt sobib. Näited on üldised, seega vahetage neid oma dokumentides, kui neid õpetate.
1. voor: Avalikkus (5 näidet)
Avalik teave on mõeldud kõigile nähtavaks. Selle jagamine väljaspool organisatsiooni ei tekita kahju.
Käitlemise reegel: Jagamisel pole piiranguid, kuid ainult omanik avaldab selle ja see jääb täpseks.
- Avaldatud pressiteade.
- Töökuulutus.
- Tootebrošüür.
- Avalik blog postitus
- Avaldatud hinnad veebilehel.
Meie valik: töökuulutus. Inimesed käsitlevad seda sageli tundliku sisuga, kuna see pärineb personaliosakonnast. See oli kirjutatud võõrastele lugemiseks, seega on see avalik.
2. voor: Sisemine (5 näidet)
Siseinfo on mõeldud organisatsiooni töötajatele. See ei ole salajane, kuid see ei ole mõeldud ka kõrvalistele isikutele.
Käitlemise reegel: ainult töötajatele, hoitakse ettevõtte süsteemides ja neid ei jagata väljaspool omaniku nõusolekuta.
- Personali kataloog.
- Sisemine uudiskiri.
- Koosoleku märkmed.
- Poliitikadokument.
- Projekti plaan.
Meie valik: koosoleku märkmed. Need näevad välja kahjutud, kuid nimetavad sageli kliente, hindu või inimesi. Enne tarnijale edastamist kontrollige, mis neis on.
3. voor: Konfidentsiaalne (5 näidet)
Konfidentsiaalne teave tekitaks valede inimesteni jõudes reaalset kahju, näiteks kaotatud kliendid, õiguslik kokkupuude või nõrgem positsioon läbirääkimistel.
Käitlemise reegel: ainult vajalik teada, saatmisel krüpteeritakse ja jagatakse heakskiidetud tööriistade kaudu, mitte isikliku e-posti teel.
- Klientide nimekiri.
- Allkirjastatud leping.
- Finantsprognoos.
- Tulemuslikkuse ülevaade.
- Tarnija hinnakujundus.
Meie valik: klientide nimekiri. Seda on lihtne eksportida ja lihtne e-kirja kleepida. Üks liblikas annab konkurendile kogu teie äriraamatu.
4. voor: Piiratud (5 näidet)
Piiratud on kõige rangem tasand. Lekke korral võib tekkida organisatsioonile või üksikisikutele tõsine kahju, seega on juurdepääs piiratud nimelistele isikutele.
Käitlemise reegel: ainult nimelistele inimestele, kõige tugevamad kontrollid ja logitud juurdepääs.
- Paroolid ja võtmed.
- Maksekaardi andmed.
- Terviseandmed.
- Avaldamata finantstulemused.
- Turvaintsidendi üksikasjad.
Meie valik: jagatud dokumendis olevad volitused. Enamik inimesi tunneb selle vea oma meeskonnas ära. Jagatud lehel olev parool on piiratud juurdepääsuga andmed, mida salvestatakse nii, nagu oleksid need sisemised.
Kuidas tasemed vastavad formaalsetele skeemidele
Need 4 tasandit on kokkulepe, seega ükski formaalsetest skeemidest ei vasta neile üks-ühele. Tabel näitab lähimat sobivust. Käsitle kaardistust ligikaudsena.
| Üldine 4 taset | NIST FIPS 199 (USA föderaalsüsteemid) | Ühendkuningriigi valitsuse turvaklassifikatsioonid |
|---|---|---|
| avalik | Konfidentsiaalsus ei ole kohaldatav, umbes | Ei ole hõlmatud, kuna Ühendkuningriigi skeem liigitab valitsuse teabe |
| sisemine | Madal mõju, umbes | AMETLIK, umbes |
| Konfidentsiaalne | Mõõdukas mõju, umbes | AMETLIK märgistusega -SENSITIVE, umbes |
| Piiratud | Suur mõju, umbes | SALAJANE ja ÄÄRISALJANE, umbes |
FIPS 199 ei defineeri nelja taset. See defineerib föderaalse teabe ja infosüsteemide jaoks kolm potentsiaalse mõju taset (madal, mõõdukas ja kõrge), lähtudes sellest, kui palju kahju konfidentsiaalsuse, terviklikkuse või käideldavuse kaotus põhjustaks (NIST FIPS 199). Piiratud kahjulik mõju on madal, tõsine on mõõdukas ja raske või katastroofiline on kõrge.
. Ühendkuningriigi valitsuse turvaklassifikatsioonide poliitika kasutab kolme tasandit: AMETLIK, SALAJANE ja ÄÄRISALJANE. GOV.UK lehte värskendati viimati 5. augustil 2024. AMETLIK hõlmab enamikku valitsuse teabest ja „-SENSITIVE” on täiendav märge AMETLIKU teabe kohta, mille avalikustamine võib tekitada rohkem kahju. Poliitika kohaselt ei ole see seadusjärgne skeem (GOV.UK: Valitsuse turvaklassifikatsioonid).
USA Rahvusarhiiv peab ka kontrollitud salastamata teabe (CUI) registrit. See on kategooriate loend, mis on rühmitatud teemade kaupa, näiteks kriitiline infrastruktuur, kaitse- ja finantsvaldkond, mitte tasemete redel (NARA CUI register). Kui teie organisatsioon töötleb USA valitsuse teavet, lugege oma lepingust läbi, millised kategooriad kehtivad.
Märgistamine ja käitlemine
Silt aitab ainult siis, kui inimesed rakendavad seda ühtemoodi. Neli harjumust hoiavad selle järjepidevana.
- Märgistus loomisel. Autor teab kõige paremini, mis failis on, seega paluge tal see salvestamisel ära märkida.
- Kahtluse korral kasutage kõrgemat taset. Faili konfidentsiaalsena käsitlemine võtab veidi aega. Konfidentsiaalsete andmete käsitlemine sisemistena võib kliendile kalliks maksma minna.
- Ära kunagi alanda klassi ilma omanikuta. Ainult andmete omanik saab silti alandada, järgides poliitikat.
- Tundlikkuse muutumisel klassifitseerige ümber. Prognoos on enne tulemuste avaldamist konfidentsiaalne ja võib pärast tulemuste avaldamist avalikuks muutuda.
Need harjumused on olulised, sest rikkumised on levinud. Ülaltoodud uuring näitas, et 43% Ühendkuningriigi ettevõtetest teatasid viimase aasta jooksul ühest rikkumisest ja sildita fail on fail, mida keegi ei teadnud kaitsta. Rünnakute inimliku poole kohta vaadake meie postitust. sotsiaalse insenerimise näited.
Kuidas korraldada klassifitseerimisviktoriini AhaSlides
Saate õpetada kõiki nelja taset ühe 20-minutilise sessiooniga. Ruum vastab, seega jäävad reeglid paremini meelde kui PDF-dokumentidest. Koostage iga slaid ülaltoodud näidete põhjal.
- Vali vastus: "Mis taseme dokument see on?" Too igast voorust näide, lisa edetabel ja anna punktid õige taseme eest.
- Sõnapilv: „Mis on kõige tundlikum asi, millega te tegelete?“ Vastused näitavad, millised teie meeskondadest töötavad iga päev konfidentsiaalsete või piiratud juurdepääsuga andmetega.
- Hindamisskaala: „Kui kindel sa oled faili sildistamises?“ Hinda skaalal 1 kuni 5 ja seejärel võta ühendust inimestega, kes said madala hinde.
- Avatud, anonüümne: „Millist küsimust te turvameeskonnalt küsida tahaksite?“ Inimesed küsivad asju, mida nad valjusti ei ütleks.
Kas otsite rohkem viise selle käitamiseks? Vaadake küberturvalisuse teadlikkuse tõstmise koolitus, IT-turvalisuse ja andmepüügi impulsskontrollid Slack ja Tehisintellekti dokumentatsioon ja privaatsuskoolitusAndmete klassifitseerimise ja käitlemise kursuse mall annab sulle kohandamiseks valmis slaidid.
Korduma kippuvad küsimused
Millised on andmete klassifitseerimise 4 taset?
Kõige levinumad skeemid on avalik, sisemine, konfidentsiaalne ja piiratud, kuigi iga organisatsioon määrab oma. Avalikku saab jagada kõigiga, sisemist jääb organisatsiooni siseseks, konfidentsiaalset on vaja teada ja piiratud on ainult nimetatud isikutele.
Kas on olemas standardne andmete klassifitseerimise tasemete komplekt?
Ei, ühte kindlat komplekti ei ole. FIPS 199 määratleb USA föderaalsüsteemide jaoks kolm mõjutaset (madal, mõõdukas ja kõrge) ning Ühendkuningriigi valitsus kasutab oma kolme klassifikatsiooni: AMETLIK, SALAJANE ja ÄÄRISALJANE. Eraorganisatsioonid valivad oma tasemed ja neli taset on levinud muster.
Millised on näited konfidentsiaalsetest andmetest?
Klientide nimekirjad, lepingud, finantsprognoosid ja tulemuslikkuse ülevaated. Tarnijate hinnakujundus kuulub samuti siia. Kõik need tekitaksid valede inimesteni jõudes tõelist kahju, seega jagatakse neid ainult vajaduse korral.
Mis vahe on konfidentsiaalsetel ja piiratud juurdepääsuga andmetel?
Piiratud on kõige rangem tase, mis on piiratud nimetatud inimestega ja millel on kõige tugevamad kontrollimeetmed. Konfidentsiaalseid andmeid jagatakse kõigiga, kes neid oma töö jaoks vajavad. Piiratud andmed, näiteks paroolid või maksekaardi andmed, on kättesaadavad palju vähematele inimestele ja nendele juurdepääs logitakse.
Kes otsustab, kuidas andmeid klassifitseeritakse?
Andmete omanik, järgides organisatsiooni poliitikat. Tavaliselt lisab autor sildi esmalt ning omanik kinnitab selle või muudab seda. Töötajad ei tohiks silti ise alandada.
Kust alustada
Vali üks meeskond, märgista selle 10 kõige levinumat faili nelja tasemega ja tee viktoriin, et näha, mille osas inimesed eriarvamusel on. Need erimeelsused näitavad sulle, milliseid näiteid sinu poliitika vajab.
