Tiedon luokittelutasot: 4 tasoa esimerkkeineen

Neljä kymmenestä brittiläisestä yrityksestä (43 %) ja kolme kymmenestä hyväntekeväisyysjärjestöstä (30 %) ilmoitti kyberturvallisuusmurrosta tai -hyökkäyksestä viimeisen 12 kuukauden aikana, Ison-Britannian hallituksen tilastojen mukaan. Kyberturvallisuusloukkausten tutkimus 2025Tuo on Isossa-Britanniassa tehty tutkimus, mutta sama pätee muuallekin. Useimmat työntekijät eivät pysty suojaamaan tietoja, joita he eivät voi nimetä, ja kysymys "onko tämä laskentataulukko sisäinen vai luottamuksellinen?" herää jo kauan ennen kuin ketään vastaan ​​hyökätään.

Tässä viestissä esitellään neljä useimpien organisaatioiden käyttämää tietojen luokittelutasoa: julkinen, sisäinen, luottamuksellinen ja rajoitettu. Jokaisella on viisi esimerkkiä ja käsittelysääntö. Sitten se näyttää, miten ne liittyvät kahteen muodolliseen järjestelmään, jotta tiedät, mikä on sopimus ja mikä on standardi.

Mitä datan luokittelu on

Tiedon luokittelu on tunniste, joka kertoo ihmisille, miten tietoa käsitellään. Tunniste sijaitsee dokumentissa, tiedostossa tai tietojoukossa, ja se viittaa sääntöön: kuka voi nähdä sen, miten se voidaan lähettää ja miten se tallennetaan.

Jokaiselta organisaatiolta ei vaadita yhtä ainoaa tasoluetteloa. Alla olevat neljä tasoa ovat yleinen tapa laatia käytäntö, eivätkä ne ole NISTin tai minkään hallituksen määrittelemä standardi. Omassa käytännössäsi voi olla kolme tai viisi tasoa tai eri nimiä, ja tiedon omistaja päättää, mikä nimike sopii. Esimerkit ovat yleisiä, joten vaihda niitä omissa dokumenteissasi, kun opetat niitä.

Kierros 1: Julkinen (5 esimerkkiä)

Julkisen tiedon on tarkoitus olla kaikkien nähtävillä. Sen jakaminen organisaation ulkopuolelle ei aiheuta haittaa.

Käsittelysääntö: jakamista ei rajoiteta, mutta vain omistaja julkaisee sen, ja se pysyy oikeina.

1. Julkaistu lehdistötiedote.
2. Työpaikkailmoitus.
3. Tuote-esite.
4. Julkinen blog lähettää.
5. Julkaistut hinnat verkkosivuilla.

Valintamme: työpaikkailmoitus. Ihmiset usein käsittelevät sitä arkaluonteisena, koska se on tullut henkilöstöhallinnolta. Se on kirjoitettu tuntemattomien luettavaksi, joten se on julkinen.

Kierros 2: Sisäinen (5 esimerkkiä)

Sisäinen tieto on tarkoitettu organisaation työntekijöille. Se ei ole salainen, mutta sitä ei ole tarkoitettu ulkopuolisille.

Käsittelysääntö: vain työntekijöille, pidetään yrityksen järjestelmien sisällä eikä jaeta ulos ilman omistajan lupaa.

1. Henkilöstöhakemisto.
2. Sisäinen uutiskirje.
3. Kokouksen muistiinpanot.
4. Poliittinen asiakirja.
5. Projektisuunnitelma.

Valintamme: kokousmuistiinpanot. Ne näyttävät harmittomilta, mutta niissä usein mainitaan asiakkaiden, hintojen tai ihmisten nimiä. Tarkista niiden sisältö ennen kuin lähetät ne toimittajalle.

Kierros 3: Luottamuksellinen (5 esimerkkiä)

Luottamukselliset tiedot aiheuttaisivat todellista vahinkoa, jos ne päätyisivät väärille ihmisille, kuten menetettyjä asiakkaita, oikeudellista altistumista tai heikompaa asemaa neuvotteluissa.

Käsittelysääntö: vain tarvitsemansa henkilön tiedoksi, salataan lähetettäessä ja jaetaan hyväksyttyjen työkalujen kautta, ei henkilökohtaisen sähköpostin kautta.

1. Asiakasluettelo.
2. Allekirjoitettu sopimus.
3. Taloudellinen ennuste.
4. Suoritusarviointi.
5. Toimittajien hinnoittelu.

Valintamme: asiakasluettelo. Se on helppo viedä ja helppo liittää sähköpostiin. Yksi lipsahdus antaa kilpailijalle koko liiketoimintasi kirjanpidon.

Kierros 4: Rajoitettu (5 esimerkkiä)

Rajoitettu on tiukin taso. Vuoto voi aiheuttaa vakavaa vahinkoa organisaatiolle tai yksilöille, joten pääsy on rajoitettu nimetyille henkilöille.

Käsittelysääntö: vain nimetyt henkilöt, vahvimmat hallintakeinot ja lokikirjattu käyttöoikeus.

1. Salasanat ja avaimet.
2. Maksukorttitiedot.
3. Terveystiedot.
4. Julkaisemattomat taloudelliset tulokset.
5. Tietoturvahäiriön tiedot.

Valintamme: tunnistetiedot jaetussa asiakirjassa. Useimmat ihmiset tunnistavat tämän virheen omasta tiimistään. Jaetun taulukon salasana on rajoitettua dataa, joka tallennetaan ikään kuin se olisi sisäistä.

Miten tasot vastaavat virallisia järjestelmiä

Neljä tasoa ovat sopimusperusteisia, joten mikään muodollisista kaavioista ei vastaa niitä yksi kerrallaan. Taulukko näyttää lähimmän vastaavuuden. Käsittele vastaavuutta likimääräisenä.

FIPS 199 ei määrittele neljää tasoa. Se määrittelee kolme potentiaalisen vaikutuksen tasoa (matala, kohtalainen ja korkea) liittovaltion tiedolle ja tietojärjestelmille sen perusteella, kuinka paljon vahinkoa luottamuksellisuuden, eheyden tai saatavuuden menetys aiheuttaisi (NIST FIPS 199Rajallinen haittavaikutus on vähäinen, vakava kohtalainen ja vakava tai katastrofaalinen voimakas.

Yhdistyneen kuningaskunnan hallituksen turvallisuusluokituskäytäntö käyttää kolmea tasoa: VIRALLINEN, SALAINEN ja YLI SALAINEN. GOV.UK-sivua päivitettiin viimeksi 5. elokuuta 2024. VIRALLINEN kattaa suurimman osan valtion tiedoista, ja "-ARVONALINEN" on lisämerkintä VIRALLISILLE tiedoille, joiden vaarantuminen voisi aiheuttaa enemmän vahinkoa. Käytännön mukaan se ei ole lakisääteinen järjestelmä (GOV.UK: Valtion turvallisuusluokitukset).

Yhdysvaltain kansallisarkisto ylläpitää myös rekisteriä valvotuista luokittelemattomista tiedoista (CUI). Se on luettelo aiheen, kuten kriittisen infrastruktuurin, puolustuksen ja rahoituksen, mukaan ryhmitellyistä luokista, eikä se ole tasoluettelo (NARA CUI -rekisteri). Jos organisaatiosi käsittelee Yhdysvaltain hallituksen tietoja, lue sopimuksestasi, mitkä luokat soveltuvat.

Merkinnät ja käsittely

Etiketti auttaa vain, jos ihmiset soveltavat sitä samalla tavalla. Neljä tapaa pitää sen johdonmukaisena.

1. Merkintä luomisen yhteydessä. Tekijä tietää parhaiten, mitä tiedostossa on, joten pyydä häntä merkitsemään se tallennettaessa.
2. Epävarmoissa tilanteissa käytä korkeampaa tasoa. Tiedoston käsittely luottamuksellisena vie hieman aikaa. Luottamuksellisten tietojen käsittely sisäisenä voi käydä asiakkaalle kalliiksi.
3. Älä koskaan alenna luokitusta ilman omistajaa. Vain tiedon omistaja voi käytäntöä noudattaen alentaa tunnistetta.
4. Luokittele uudelleen, kun herkkyys muuttuu. Ennuste on luottamuksellinen ennen tulosten julkaisemista ja voi olla julkinen jälkikäteen.

Näillä tavoilla on merkitystä, koska tietomurrot ovat yleisiä. Yllä olevassa kyselyssä havaittiin, että 43 % Yhdistyneen kuningaskunnan yrityksistä ilmoitti yhden viimeisen vuoden aikana, ja tiedosto, jolla ei ole tunnistetta, on tiedosto, jota kukaan ei tiennyt suojata. Hyökkäysten inhimillisestä puolesta katso artikkeliamme. sosiaalisen manipuloinnin esimerkkejä.

Tapoja järjestää luokittelutietokilpailu AhaSlides

Voit opettaa kaikki neljä tasoa yhdessä 20 minuutin istunnossa. Huone vastaa, joten säännöt pysyvät paremmin kuin käytäntö-PDF:stä. Rakenna jokainen dia yllä olevien esimerkkien perusteella.

1. Valitse vastaus: "Mikä taso tämä dokumentti on?" Näytä esimerkki jokaiselta kierrokselta, lisää tulostaulukko ja anna pisteet oikealle tasolle.
2. Sanapilvi: "Mikä on arkaluontoisin asia, jota käsittelet?" Vastaukset osoittavat, mitkä tiimeistäsi työskentelevät luottamuksellisten tai rajoitettujen tietojen kanssa päivittäin.
3. Arviointiasteikko: "Kuinka varma olet tiedoston nimeämisestä?" Arvioi asteikolla 1–5 ja keskustele sitten niiden kanssa, jotka saavat alhaisen pistemäärän.
4. Avoin, anonyymi: "Mitä kysymystä haluaisit kysyä turvallisuustiimiltä?" Ihmiset kysyvät asioita, joita he eivät sanoisi ääneen.

Etsitkö lisää tapoja käyttää sitä? Katso kyberturvallisuustietoisuuskoulutus, IT-tietoturva ja tietojenkalastelupulssitarkistukset Slack ja Tekoälydokumentaatio ja tietosuojakoulutusTiedon luokittelu- ja käsittelykurssin mallipohja antaa sinulle valmiit diat muokattavaksi.

Usein kysyttyjä kysymyksiä

Mitkä ovat datan luokittelun neljä tasoa?

Yleisin järjestelmä on julkinen, sisäinen, luottamuksellinen ja rajoitettu, vaikka jokainen organisaatio määrittää omat järjestelmänsä. Julkinen voidaan jakaa kenen tahansa kanssa, sisäinen pysyy organisaation sisällä, luottamuksellinen on pakollinen ja rajoitettu on vain nimetyille henkilöille.

Onko olemassa standardoitua dataluokittelutasojen joukkoa?

Ei, ei ole olemassa yhtä ainoaa tasoa. FIPS 199 määrittelee kolme suojaustasoa (matala, kohtalainen ja korkea) Yhdysvaltain liittovaltion järjestelmille, ja Yhdistyneen kuningaskunnan hallitus käyttää omia kolmea luokitustaan: OFFICIAL, SECRET ja TOP SECRET. Yksityiset organisaatiot valitsevat omat luokituksensa, ja neljä tasoa on yleinen kaava.

Mitä esimerkkejä luottamuksellisista tiedoista on?

Asiakasluettelot, sopimukset, talousennusteet ja suorituskykyarvioinnit. Myös toimittajien hinnoittelu kuuluu tähän ryhmään. Kaikki nämä aiheuttaisivat todellista vahinkoa, jos ne päätyisivät väärille ihmisille, joten niitä jaetaan vain niille, joilla on tarve tietää.

Mitä eroa on luottamuksellisella ja rajoitetulla tiedolla?

Rajoitettu on tiukin taso, joka on rajoitettu nimettyihin henkilöihin, joilla on vahvimmat oikeudet. Luottamuksellisia tietoja jaetaan kaikkien niiden kanssa, jotka tarvitsevat niitä työssään. Rajoitetut tiedot, kuten salasanat tai maksukorttitiedot, ovat paljon harvempien ihmisten saatavilla, ja niiden käyttöoikeus kirjataan lokiin.

Kuka päättää, miten data luokitellaan?

Tiedon omistaja organisaation käytäntöjen mukaisesti. Yleensä tiedon luoja lisää tunnisteen ensin, ja omistaja vahvistaa sen tai muuttaa sitä. Henkilökunnan ei tule itse alentaa tunnisteen luokitusta.

Mistä aloittaa

Valitse yksi joukkue, nimeä sen 10 yleisintä tiedostoa neljällä eri tasolla ja suorita testi nähdäksesi, mistä asioista ihmiset ovat eri mieltä. Erimielisyydet osoittavat, mitä esimerkkejä käytäntösi tarvitsee.