Niveaux de classification des données : 4 niveaux avec exemples

Selon le gouvernement britannique, quatre entreprises britanniques sur dix (43 %) et trois organisations caritatives sur dix (30 %) ont signalé une violation ou une attaque de cybersécurité au cours des 12 derniers mois. Enquête sur les failles de cybersécurité 2025Il s'agit d'une enquête britannique, mais le constat est valable ailleurs. La plupart des employés ne peuvent pas protéger des informations qu'ils ne peuvent pas nommer, et la question « Cette feuille de calcul est-elle interne ou confidentielle ? » se pose bien avant qu'une attaque ne survienne.

Cet article présente les quatre niveaux de classification des données les plus couramment utilisés par les organisations : Public, Interne, Confidentiel et Restreint. Chaque niveau est illustré par cinq exemples et une règle de traitement. L’article explique ensuite leur lien avec deux référentiels formels, permettant ainsi de distinguer les conventions des normes.

Qu'est-ce que la classification des données ?

La classification des données est une étiquette qui indique comment traiter une information. Cette étiquette, apposée sur un document, un fichier ou un ensemble de données, précise les règles de consultation, de transmission et de stockage.

Aucune liste unique de niveaux n'est imposée à toutes les organisations. Les quatre exemples ci-dessous constituent une méthode courante pour définir une politique, et non une norme définie par le NIST ou un organisme gouvernemental. Votre propre politique peut utiliser trois, cinq niveaux ou des appellations différentes ; le responsable des données choisit l'intitulé le plus approprié. Ces exemples sont génériques ; n'hésitez pas à les adapter à vos propres documents lors de vos formations.

Tour 1 : Public (5 exemples)

L'information publique est destinée à être consultée par tous. La partager en dehors de l'organisation ne présente aucun inconvénient.

Règle de gestion : Aucune restriction de partage, mais seul le propriétaire peut le publier, et il reste exact.

1. Un communiqué de presse publié.
2. Une offre d'emploi.
3. Une brochure produit.
4. Un public blog poster.
5. Les prix sont publiés sur le site web.

Notre choix : l'annonce d'emploi. On le considère souvent comme sensible car il provient des ressources humaines. Il a été rédigé pour être lu par des inconnus, il est donc public.

Deuxième tour : Interne (5 exemples)

Les informations internes sont destinées aux personnes travaillant pour l'organisation. Elles ne sont pas secrètes, mais elles ne sont pas destinées aux personnes extérieures.

Règle de gestion : Informations réservées aux employés, conservées au sein des systèmes de l'entreprise et non partagées à l'extérieur sans l'accord du propriétaire.

1. L'annuaire du personnel.
2. Une lettre d'information interne.
3. Notes de réunion.
4. Un document de politique générale.
5. Un plan de projet.

Notre choix : les comptes rendus de réunion. Elles paraissent inoffensives, pourtant elles contiennent souvent des noms de clients, de prix ou de personnes. Vérifiez leur contenu avant de les transmettre à un fournisseur.

Troisième manche : Confidentiel (5 exemples)

La divulgation d'informations confidentielles pourrait causer de réels dommages si elles tombaient entre les mains de personnes non autorisées, tels que la perte de clients, des risques juridiques ou une position affaiblie lors d'une négociation.

Règle de gestion : Seules les personnes qui en ont besoin doivent le savoir ; ces informations sont chiffrées lors de l'envoi et partagées via des outils approuvés, et non par courriel personnel.

1. Une liste de clients.
2. Un contrat signé.
3. Une prévision financière.
4. Une évaluation des performances.
5. Prix ​​fournisseur.

Notre choix : la liste des clients. Il est facile à exporter et à coller dans un e-mail. Une seule erreur suffit à donner à un concurrent l'intégralité de votre portefeuille clients.

Tour 4 : Restreint (5 exemples)

Le niveau « Restreint » est le plus restrictif. Une fuite pourrait causer un préjudice grave à l’organisation ou à des individus ; l’accès est donc limité aux personnes nommément désignées.

Règle de gestion : Accès réservé aux personnes nommément désignées, contrôles stricts et journalisation des accès.

1. Mots de passe et clés.
2. Données de carte de paiement.
3. Dossiers médicaux.
4. Résultats financiers non publiés.
5. Détails de l'incident de sécurité.

Notre choix : les identifiants dans un document partagé. La plupart des gens reconnaissent cette erreur au sein de leur propre équipe. Un mot de passe sur une feuille partagée est considéré comme une donnée restreinte, stockée comme s'il s'agissait de données internes.

Comment les niveaux correspondent aux schémas formels

Les quatre niveaux constituent une convention ; aucun schéma formel ne les reproduit donc à la lettre. Le tableau présente la correspondance la plus proche. Cette correspondance est approximative.

FIPS199 ne définit pas quatre niveaux. Il définit trois niveaux d'impact potentiel (faible, modéré et élevé) pour les informations et les systèmes d'information fédéraux, en fonction de l'ampleur du préjudice qu'une perte de confidentialité, d'intégrité ou de disponibilité pourrait causer (NIST FIPS 199Un effet indésirable limité est faible, un effet indésirable grave est modéré et un effet indésirable sévère ou catastrophique est élevé.

Le Politique de classification de sécurité du gouvernement britannique utilise trois niveaux : OFFICIEL, SECRET et TRÈS SECRET. La page GOV.UK a été mise à jour pour la dernière fois le 5 août 2024. Le niveau OFFICIEL couvre la plupart des informations gouvernementales, et la mention « -SENSIBLE » est une indication supplémentaire apposée sur les informations OFFICIELLES dont la divulgation pourrait causer des dommages plus importants. La politique précise qu’il ne s’agit pas d’un dispositif légal.GOV.UK : Classifications de sécurité gouvernementales).

Les Archives nationales américaines tiennent également un registre des informations non classifiées contrôlées (CUI). Il s'agit d'une liste de catégories regroupées par sujet, comme les infrastructures critiques, la défense et la finance, et non d'une hiérarchie de niveaux (Registre CUI de la NARASi votre organisation traite des informations du gouvernement américain, consultez votre contrat pour connaître les catégories concernées.

Étiquetage et manutention

Une étiquette n'est utile que si elle est appliquée de la même manière par tous. Quatre habitudes permettent d'assurer cette cohérence.

1. Étiquette lors de la création. L'auteur connaît mieux que quiconque le contenu du fichier ; demandez-lui donc de l'indiquer lors de l'enregistrement.
2. En cas de doute, utilisez le niveau supérieur. Traiter un fichier comme confidentiel prend un peu de temps. Traiter des données confidentielles comme internes peut coûter cher au client.
3. Ne jamais rétrograder sans le propriétaire. Seul le propriétaire des données, conformément à la politique en vigueur, peut abaisser le niveau de classification.
4. Reclasser en cas de changement de sensibilité. Les prévisions sont confidentielles avant la publication des résultats et peuvent être rendues publiques par la suite.

Ces habitudes sont importantes car les violations de données sont fréquentes. L'enquête mentionnée ci-dessus a révélé que 43 % des entreprises britanniques en ont signalé une au cours de l'année écoulée, et un fichier sans étiquette est un fichier que personne ne pense à protéger. Pour en savoir plus sur l'aspect humain des attaques, consultez notre article sur exemples d'ingénierie sociale.

Façons d'organiser un quiz de classification avec AhaSlides

Vous pouvez enseigner les 4 niveaux en une seule séance de 20 minutes. Les réponses des participants permettent une meilleure mémorisation des règles qu'avec un document PDF. Inspirez-vous des exemples ci-dessus pour créer chaque diapositive.

1. Choisissez la réponse : « À quel niveau correspond ce document ? » Montrez un exemple pour chaque manche, ajoutez un classement et attribuez les points correspondant au niveau correct.
2. Mot nuage: « Quel est le sujet le plus sensible que vous traitez ? » Les réponses indiquent quelles équipes de votre équipe travaillent quotidiennement avec des données confidentielles ou à diffusion restreinte.
3. Échelle de notation: « Dans quelle mesure êtes-vous sûr(e) de votre capacité à étiqueter un fichier ? » Évaluez la tâche de 1 à 5, puis contactez les personnes ayant obtenu une note faible.
4. Question ouverte, anonyme : « Quelle question souhaitez-vous poser à l'équipe de sécurité ? » Les gens poseront des questions qu'ils ne diraient pas à voix haute.

Vous cherchez d'autres façons de le gérer ? Voir formation de sensibilisation à la cybersécurité, Contrôles de sécurité informatique et de lutte contre le phishing Slack et Documentation sur l'IA et formation à la protection de la vie privéeLe modèle de cours sur la classification et le traitement des données vous fournit des diapositives prêtes à être adaptées.

Foire aux questions

Quels sont les 4 niveaux de classification des données ?

Le système le plus courant est celui des catégories Public, Interne, Confidentiel et Restreint, bien que chaque organisation définisse le sien. Les informations publiques peuvent être partagées avec tous, les informations internes restent confidentielles, les informations confidentielles sont réservées aux personnes qui ont besoin d'en connaître et les informations restreintes sont destinées uniquement aux personnes nommément désignées.

Existe-t-il un ensemble standard de niveaux de classification des données ?

Non, il n'existe pas de norme unique. La norme FIPS 199 définit trois niveaux d'impact (faible, modéré et élevé) pour les systèmes fédéraux américains, tandis que le gouvernement britannique utilise ses propres trois classifications : OFFICIEL, SECRET et TRÈS SECRET. Les organisations privées choisissent les leurs, et une classification à quatre niveaux est courante.

Quels sont des exemples de données confidentielles ?

Listes de clients, contrats, prévisions financières et évaluations de performance. Les tarifs fournisseurs y ont également leur place. Tous ces documents pourraient avoir des conséquences désastreuses s'ils parvenaient aux mauvaises personnes ; ils ne sont donc partagés qu'avec les personnes qui en ont besoin.

Quelle est la différence entre les données confidentielles et les données à diffusion restreinte ?

Le niveau de confidentialité le plus strict est réservé aux personnes nommément autorisées et soumis aux contrôles les plus rigoureux. Les données confidentielles sont partagées avec toute personne qui en a besoin pour son travail. Les données à accès restreint, telles que les mots de passe ou les données de cartes de paiement, sont accessibles à un nombre beaucoup plus limité de personnes et leur consultation est enregistrée.

Qui décide de la classification des données ?

Le responsable des données, conformément à la politique de l'organisation, attribue l'étiquette en premier. L'auteur l'applique généralement en premier, puis le responsable la confirme ou la modifie. Le personnel ne doit pas modifier lui-même l'étiquette.

Par où commencer

Choisissez une équipe, étiquetez ses 10 fichiers les plus courants selon les 4 niveaux, et lancez le quiz pour identifier les points de désaccord. Ces désaccords vous indiqueront les exemples à améliorer dans votre politique.