डेटा वर्गीकरण स्तर: उदाहरणों सहित 4 स्तर

ब्रिटेन सरकार के आंकड़ों के अनुसार, पिछले 12 महीनों में ब्रिटेन के दस में से चार व्यवसायों (43%) और दस में से तीन चैरिटी संस्थाओं (30%) ने साइबर सुरक्षा उल्लंघन या हमले की सूचना दी है। साइबर सुरक्षा उल्लंघन सर्वेक्षण 2025यह ब्रिटेन का सर्वेक्षण है, लेकिन यह बात अन्य जगहों पर भी लागू होती है। अधिकांश कर्मचारी ऐसी जानकारी की सुरक्षा नहीं कर सकते जिसका वे नाम नहीं बता सकते, और किसी पर हमला होने से बहुत पहले ही यह सवाल उठ खड़ा होता है कि "क्या यह स्प्रेडशीट आंतरिक है या गोपनीय?"

इस पोस्ट में आपको डेटा वर्गीकरण के वे चार स्तर बताए गए हैं जिनका उपयोग अधिकांश संगठन करते हैं: सार्वजनिक, आंतरिक, गोपनीय और प्रतिबंधित। प्रत्येक स्तर के 5 उदाहरण और एक हैंडलिंग नियम दिए गए हैं। इसके बाद यह दिखाया गया है कि वे दो औपचारिक योजनाओं से कैसे संबंधित हैं, ताकि आप जान सकें कि कौन सा नियम है और कौन सा मानक है।

डेटा वर्गीकरण क्या है?

डेटा वर्गीकरण एक लेबल है जो लोगों को यह बताता है कि किसी जानकारी को कैसे संभालना है। यह लेबल किसी दस्तावेज़, फ़ाइल या डेटा सेट पर होता है और एक नियम की ओर इशारा करता है: इसे कौन देख सकता है, इसे कैसे भेजा जा सकता है और इसे कैसे संग्रहीत किया जाता है।

हर संगठन के लिए स्तरों की कोई एक निश्चित सूची अनिवार्य नहीं है। नीचे दिए गए 4 स्तर नीति स्थापित करने के सामान्य तरीके हैं, न कि NIST या किसी सरकार द्वारा परिभाषित मानक। आपकी अपनी नीति में 3 स्तर, 5 स्तर या अलग-अलग नाम हो सकते हैं, और डेटा स्वामी यह तय करता है कि कौन सा नाम उपयुक्त है। ये उदाहरण सामान्य हैं, इसलिए इन्हें सिखाते समय अपने दस्तावेज़ों का उपयोग करें।

पहला चरण: आम जनता (5 उदाहरण)

सार्वजनिक जानकारी सभी के देखने के लिए होती है। इसे संगठन के बाहर साझा करने से कोई नुकसान नहीं होता।

नियम का पालन: इसे साझा करने पर कोई प्रतिबंध नहीं है, लेकिन इसे केवल इसका मालिक ही प्रकाशित करता है, और यह सटीक रहता है।

1. एक प्रकाशित प्रेस विज्ञप्ति।
2. नौकरी का विज्ञापन।
3. एक उत्पाद विवरणिका।
4. एक सार्वजनिक blog पद।
5. वेबसाइट पर कीमतें प्रकाशित की गई हैं।

हमारी पसंद: नौकरी का विज्ञापन। लोग अक्सर इसे संवेदनशील मानते हैं क्योंकि यह मानव संसाधन विभाग से आया है। इसे अजनबियों द्वारा पढ़े जाने के लिए लिखा गया था, इसलिए यह सार्वजनिक है।

दूसरा चरण: आंतरिक (5 उदाहरण)

आंतरिक जानकारी केवल संगठन में काम करने वाले लोगों के लिए होती है। यह गोपनीय नहीं है, लेकिन बाहरी लोगों के लिए नहीं है।

नियम का पालन: यह जानकारी केवल कर्मचारियों के लिए है, कंपनी के सिस्टम के भीतर ही रखी जाती है और मालिक की अनुमति के बिना इसे बाहर साझा नहीं किया जाता है।

1. कर्मचारी निर्देशिका।
2. एक आंतरिक समाचार पत्र।
3. बैठक नोट्स.
4. एक नीति दस्तावेज।
5. एक परियोजना योजना।

हमारी पसंद: मीटिंग के नोट्स। ये देखने में तो हानिरहित लगते हैं, लेकिन अक्सर इनमें ग्राहकों, कीमतों या व्यक्तियों के नाम होते हैं। इन्हें आपूर्तिकर्ता को भेजने से पहले जांच लें कि इनमें क्या जानकारी है।

तीसरा चरण: गोपनीय (5 उदाहरण)

गोपनीय जानकारी गलत लोगों तक पहुँचने पर वास्तविक नुकसान पहुंचा सकती है, जैसे कि ग्राहकों का नुकसान, कानूनी जोखिम या बातचीत में कमजोर स्थिति।

नियम का पालन: केवल उन्हीं लोगों को सूचित किया जाएगा जिन्हें इसकी जानकारी होनी चाहिए, इसे भेजते समय एन्क्रिप्ट किया जाएगा और अनुमोदित उपकरणों के माध्यम से साझा किया जाएगा, न कि व्यक्तिगत ईमेल के माध्यम से।

1. ग्राहकों की सूची।
2. एक हस्ताक्षरित अनुबंध।
3. वित्तीय पूर्वानुमान।
4. प्रदर्शन समीक्षा।
5. आपूर्तिकर्ता मूल्य निर्धारण।

हमारी पसंद: ग्राहकों की सूची। इसे एक्सपोर्ट करना और ईमेल में पेस्ट करना आसान है। एक छोटी सी गलती से भी आपका पूरा बिजनेस आपके प्रतिद्वंद्वी के हाथ लग सकता है।

चौथा चरण: प्रतिबंधित (5 उदाहरण)

प्रतिबंधित स्तर सबसे सख्त है। जानकारी लीक होने से संगठन या व्यक्तियों को गंभीर नुकसान हो सकता है, इसलिए इसकी पहुंच केवल नामित लोगों तक ही सीमित है।

नियम का पालन: केवल नामित लोगों को ही प्रवेश की अनुमति, सबसे सख्त नियंत्रण और लॉग की गई पहुंच।

1. पासवर्ड और कुंजी।
2. भुगतान कार्ड डेटा।
3. स्वास्थ्य संबंधी रिकॉर्ड।
4. अप्रकाशित वित्तीय परिणाम।
5. सुरक्षा घटना का विवरण।

हमारी पसंद: साझा दस्तावेज़ में क्रेडेंशियल। अधिकांश लोग अपनी टीम में इस गलती को पहचान लेते हैं। साझा शीट पर पासवर्ड प्रतिबंधित डेटा को आंतरिक डेटा के रूप में संग्रहीत करता है।

विभिन्न स्तर औपचारिक योजनाओं से किस प्रकार मेल खाते हैं

ये चार स्तर एक मानक हैं, इसलिए कोई भी औपचारिक योजना इनसे हूबहू मेल नहीं खाती। तालिका सबसे सटीक मिलान दर्शाती है। इस मिलान को अनुमानित मानें।

FIPS 199 यह चार स्तरों को परिभाषित नहीं करता है। यह संघीय सूचना और सूचना प्रणालियों के लिए संभावित प्रभाव के तीन स्तरों (निम्न, मध्यम और उच्च) को परिभाषित करता है, इस आधार पर कि गोपनीयता, अखंडता या उपलब्धता के नुकसान से कितना नुकसान होगा।एनआईएसटी एफआईपीएस 199सीमित प्रतिकूल प्रभाव कम होता है, गंभीर प्रतिकूल प्रभाव मध्यम होता है, और अत्यधिक गंभीर या विनाशकारी प्रतिकूल प्रभाव उच्च होता है।

RSI ब्रिटेन सरकार की सुरक्षा वर्गीकरण नीति इसमें तीन स्तर हैं: आधिकारिक, गुप्त और अति गुप्त। GOV.UK पृष्ठ को अंतिम बार 5 अगस्त 2024 को अपडेट किया गया था। आधिकारिक श्रेणी में अधिकांश सरकारी जानकारी शामिल है, और "-संवेदनशील" आधिकारिक जानकारी पर एक अतिरिक्त चिह्न है जिसके उल्लंघन से अधिक नुकसान हो सकता है। नीति में कहा गया है कि यह एक वैधानिक योजना नहीं है।GOV.UK: सरकारी सुरक्षा वर्गीकरण).

अमेरिकी राष्ट्रीय अभिलेखागार नियंत्रित अवर्गीकृत सूचना (सीयूआई) का एक रजिस्टर भी रखता है। यह विषयों के आधार पर वर्गीकृत श्रेणियों की एक सूची है, जैसे कि महत्वपूर्ण अवसंरचना, रक्षा और वित्तीय, न कि स्तरों की एक सीढ़ी।NARA CUI रजिस्ट्रीयदि आपका संगठन अमेरिकी सरकार की जानकारी को संभालता है, तो यह जानने के लिए अपना अनुबंध पढ़ें कि कौन सी श्रेणियां लागू होती हैं।

लेबलिंग और हैंडलिंग

किसी लेबल का उपयोग तभी उपयोगी होता है जब लोग उसे एक ही तरीके से लागू करें। चार आदतें इसे सुसंगत बनाए रखती हैं।

1. बनाते समय लेबल लगाएं। फाइल में क्या है, यह लेखक को सबसे अच्छी तरह पता होता है, इसलिए उनसे कहें कि फाइल को सेव करते समय इसे चिह्नित कर दें।
2. जब अनिश्चितता हो, तो उच्च स्तर का उपयोग करें। किसी फाइल को गोपनीय मानना ​​थोड़ा समय लेता है। गोपनीय डेटा को आंतरिक मानना ​​ग्राहक को नुकसान पहुंचा सकता है।
3. मालिक की अनुमति के बिना कभी भी डाउनग्रेड न करें। नीति का पालन करने वाला डेटा स्वामी ही लेबल को हटा सकता है।
4. संवेदनशीलता में परिवर्तन होने पर पुनः वर्गीकरण करें। परिणाम प्रकाशित होने से पहले पूर्वानुमान गोपनीय रहता है और परिणाम प्रकाशित होने के बाद सार्वजनिक हो सकता है।

ये आदतें महत्वपूर्ण हैं क्योंकि डेटा लीक होना आम बात है। उपरोक्त सर्वेक्षण में पाया गया कि ब्रिटेन के 43% व्यवसायों ने पिछले वर्ष एक डेटा लीक की सूचना दी, और बिना लेबल वाली फ़ाइल वह फ़ाइल है जिसे सुरक्षित रखने की आवश्यकता किसी को पता ही नहीं थी। हमलों के मानवीय पहलू के लिए, हमारी पोस्ट देखें। सामाजिक इंजीनियरिंग के उदाहरण.

वर्गीकरण प्रश्नोत्तरी आयोजित करने के तरीके AhaSlides

आप चारों स्तरों को 20 मिनट के एक सत्र में पढ़ा सकते हैं। कक्षा में मौजूद प्रतिभागी जवाब देते हैं, इसलिए नियम किसी पॉलिसी पीडीएफ से पढ़ने की तुलना में अधिक प्रभावी ढंग से याद रहते हैं। ऊपर दिए गए उदाहरणों से प्रत्येक स्लाइड बनाएं।

1. उत्तर चुनें: "यह दस्तावेज़ किस स्तर का है?" प्रत्येक दौर से एक उदाहरण दिखाएँ, एक लीडरबोर्ड जोड़ें और सही स्तर के लिए अंक प्रदान करें।
2. शब्द बादल: "आप सबसे संवेदनशील चीज़ क्या संभालते हैं?" आपके जवाबों से पता चलेगा कि आपकी कौन सी टीमें प्रतिदिन गोपनीय या प्रतिबंधित डेटा के साथ काम करती हैं।
3. दर्ज़ा पैमाने: "फ़ाइल को लेबल करने में आपको कितना भरोसा है?" 1 से 5 के पैमाने पर रेटिंग दें, फिर कम स्कोर पाने वाले लोगों से संपर्क करें।
4. खुला प्रश्न, गुमनाम प्रश्न: "आप सुरक्षा टीम से क्या सवाल पूछना चाहेंगे?" लोग ऐसी बातें भी पूछ लेते हैं जो वे खुलकर नहीं कहते।

इसे चलाने के और तरीके खोज रहे हैं? देखें साइबर सुरक्षा जागरूकता प्रशिक्षण, आईटी सुरक्षा और फ़िशिंग पल्स चेक Slack और एआई प्रलेखन और गोपनीयता प्रशिक्षणडेटा वर्गीकरण और प्रबंधन पाठ्यक्रम टेम्पलेट आपको अनुकूलन के लिए तैयार स्लाइड प्रदान करता है।

ज़्यादातर पूछे जाने वाले सवाल

डेटा वर्गीकरण के 4 स्तर क्या हैं?

सार्वजनिक, आंतरिक, गोपनीय और प्रतिबंधित सबसे आम योजना है, हालांकि प्रत्येक संगठन अपनी योजना स्वयं निर्धारित करता है। सार्वजनिक जानकारी किसी के साथ भी साझा की जा सकती है, आंतरिक जानकारी संगठन के भीतर ही रहती है, गोपनीय जानकारी केवल अनिवार्य रूप से जानने योग्य होती है, और प्रतिबंधित जानकारी केवल नामित लोगों के लिए होती है।

क्या डेटा वर्गीकरण स्तरों का कोई मानक सेट है?

नहीं, ऐसा कोई एक निश्चित वर्गीकरण नहीं है। FIPS 199 अमेरिकी संघीय प्रणालियों के लिए तीन प्रभाव स्तर (निम्न, मध्यम और उच्च) परिभाषित करता है, और ब्रिटेन सरकार अपने स्वयं के तीन वर्गीकरणों - आधिकारिक, गुप्त और अति गुप्त - का उपयोग करती है। निजी संगठन अपने स्वयं के वर्गीकरण चुनते हैं, और चार स्तर एक सामान्य पैटर्न है।

गोपनीय डेटा के उदाहरण क्या हैं?

ग्राहक सूचियाँ, अनुबंध, वित्तीय पूर्वानुमान और प्रदर्शन समीक्षाएँ। आपूर्तिकर्ताओं की कीमतें भी इसमें शामिल हैं। यदि ये जानकारी गलत लोगों तक पहुँच जाए तो गंभीर नुकसान हो सकता है, इसलिए इसे केवल उन्हीं लोगों के साथ साझा किया जाता है जिन्हें इसकी आवश्यकता होती है।

गोपनीय और प्रतिबंधित डेटा में क्या अंतर है?

प्रतिबंधित श्रेणी सबसे सख्त श्रेणी है, जो केवल नामित लोगों तक सीमित है और इस पर सबसे कड़े नियंत्रण लागू होते हैं। गोपनीय डेटा उन सभी के साथ साझा किया जाता है जिन्हें अपने काम के लिए इसकी आवश्यकता होती है। प्रतिबंधित डेटा, जैसे पासवर्ड या भुगतान कार्ड डेटा, बहुत कम लोगों के लिए उपलब्ध होता है और इसकी पहुँच को रिकॉर्ड किया जाता है।

डेटा को किस प्रकार वर्गीकृत किया जाए, यह कौन तय करता है?

संगठन की नीति के अनुसार, डेटा का स्वामी लेबल लगाता है। लेबल आमतौर पर पहले लेखक द्वारा लगाया जाता है, और स्वामी इसकी पुष्टि करता है या इसमें बदलाव करता है। कर्मचारियों को स्वयं लेबल को डाउनग्रेड नहीं करना चाहिए।

कहा से शुरुवात करे

एक टीम चुनें, उसकी 10 सबसे आम फाइलों को 4 स्तरों के साथ लेबल करें, और यह देखने के लिए क्विज़ चलाएं कि लोग किन बिंदुओं पर असहमत हैं। ये असहमति आपको यह दिखाती हैं कि आपकी नीति में किन उदाहरणों की आवश्यकता है।