Razine klasifikacije podataka: 4 razine s primjerima

Četiri od deset britanskih tvrtki (43%) i tri od deset dobrotvornih organizacija (30%) prijavile su kršenje kibernetičke sigurnosti ili napad u posljednjih 12 mjeseci, prema podacima britanske vlade. Anketa o povredama kibernetičke sigurnosti 2025To je anketa provedena u Ujedinjenom Kraljevstvu, ali poanta vrijedi i drugdje. Većina osoblja ne može zaštititi informacije koje ne mogu imenovati, a pitanje "je li ova proračunska tablica interna ili povjerljiva?" pojavljuje se puno prije nego što je netko napadnut.

Ovaj članak predstavlja 4 razine klasifikacije podataka koje većina organizacija koristi: Javno, Interno, Povjerljivo i Ograničeno. Svaka ima 5 primjera i pravilo rukovanja. Zatim pokazuje kako se odnose na dvije formalne sheme, tako da znate što je konvencija, a što standard.

Što je klasifikacija podataka

Klasifikacija podataka je oznaka koja ljudima govori kako rukovati nekim dijelom informacije. Oznaka se nalazi na dokumentu, datoteci ili skupu podataka i upućuje na pravilo: tko je može vidjeti, kako se može poslati i kako se pohranjuje.

Nije potreban jedinstveni popis razina za svaku organizaciju. 4 dolje navedene razine su uobičajeni način postavljanja politike, a ne standard koji je definirao NIST ili bilo koja vlada. Vaša vlastita politika može koristiti 3 razine, 5 razina ili različite nazive, a vlasnik podataka odlučuje koja oznaka odgovara. Primjeri su generički, stoga zamijenite vlastite dokumente kada ih podučavate.

1. krug: Javno (5 primjera)

Javne informacije namijenjene su svima. Dijeljenje izvan organizacije ne uzrokuje nikakvu štetu.

Pravilo rukovanja: Nema ograničenja dijeljenja, ali samo vlasnik objavljuje i ostaje točan.

1. Objavljeno priopćenje za medije.
2. Oglas za posao.
3. Brošura o proizvodu.
4. Javnost blog Post.
5. Objavljene cijene na web stranici.

Naš izbor: oglas za posao. Ljudi to često tretiraju kao osjetljivo jer dolazi iz kadrovske službe. Napisano je za čitanje strancima, pa je javno.

2. krug: Interno (5 primjera)

Interne informacije su za ljude koji rade za organizaciju. Nisu tajne, ali nisu ni za autsajdere.

Pravilo rukovanja: samo za zaposlenike, čuvaju se unutar tvrtkinih sustava i ne dijele se izvana bez odobrenja vlasnika.

1. Imenik osoblja.
2. Interni bilten.
3. Bilješke sa sastanka.
4. Dokument o politici.
5. Projektni plan.

Naš izbor: bilješke sa sastanka. Izgledaju bezopasno, a opet često imenuju kupce, cijene ili ljude. Provjerite što se u njima nalazi prije nego što ih proslijedite dobavljaču.

3. krug: Povjerljivo (5 primjera)

Povjerljive informacije bi prouzročile stvarnu štetu ako bi došle do pogrešnih ljudi, poput gubitka kupaca, pravnog izlaganja ili slabije pozicije u pregovorima.

Pravilo rukovanja: samo onome tko treba znati, šifrirano prilikom slanja i podijeljeno putem odobrenih alata, a ne osobne e-pošte.

1. Popis kupaca.
2. Potpisan ugovor.
3. Financijska prognoza.
4. Pregled performansi.
5. Cijene dobavljača.

Naš izbor: popis kupaca. Lako se izvozi i lako se lijepi u e-poštu. Jedan listić daje konkurentu cijelu vašu poslovnu knjigu.

4. krug: Ograničeno (5 primjera)

Ograničena je najstrožija razina. Curenje informacija moglo bi uzrokovati ozbiljnu štetu organizaciji ili pojedincima, pa je pristup ograničen na imenovane osobe.

Pravilo rukovanja: samo imenovane osobe, najjače kontrole i pristup koji se evidentira.

1. Lozinke i ključevi.
2. Podaci o platnoj kartici.
3. Zdravstveni kartoni.
4. Neobjavljeni financijski rezultati.
5. Detalji sigurnosnog incidenta.

Naš izbor: vjerodajnice u dijeljenom dokumentu. Većina ljudi prepoznaje ovu grešku iz vlastitog tima. Lozinka na dijeljenom listu pohranjena je kao da je interna.

Kako se razine preslikavaju u formalne sheme

Četiri razine su konvencija, tako da im nijedna od formalnih shema ne odgovara jedan za jedan. Tablica prikazuje najbliže podudaranje. Mapiranje tretirajte kao približno.

FIPS 199 ne definira četiri razine. Definira tri razine potencijalnog utjecaja (niska, umjerena i visoka) za savezne informacije i informacijske sustave, na temelju toga koliko bi štete prouzročio gubitak povjerljivosti, integriteta ili dostupnosti (NIST FIPS 199). Ograničeni štetni učinak je nizak, ozbiljan je umjeren, a težak ili katastrofalan je visok.

The Politika sigurnosne klasifikacije britanske vlade koristi tri razine: SLUŽBENO, TAJNO i VRLO TAJNO. Stranica GOV.UK zadnji je put ažurirana 5. kolovoza 2024. SLUŽBENO pokriva većinu vladinih informacija, a "-OSJETLJIVO" je dodatna oznaka na SLUŽBENIM informacijama čije bi kompromitiranje moglo uzrokovati veću štetu. Politika kaže da to nije zakonska shema (GOV.UK: Klasifikacije vladine sigurnosti).

Američki Nacionalni arhiv također vodi registar kontroliranih neklasificiranih informacija (CUI). To je popis kategorija grupiranih po temama, kao što su kritična infrastruktura, obrana i financije, a ne ljestvica razina (Registar NARA CUI-a). Ako vaša organizacija obrađuje podatke američke vlade, pročitajte svoj ugovor kako biste saznali koje se kategorije primjenjuju.

Označavanje i rukovanje

Oznaka pomaže samo ako je ljudi primjenjuju na isti način. Četiri navike je održavaju dosljednom.

1. Oznaka prilikom kreiranja. Autor najbolje zna što se nalazi u datoteci, stoga ga zamolite da to označi kada je spremi.
2. Kada niste sigurni, koristite višu razinu. Tretiranje datoteke kao povjerljive košta malo vremena. Tretiranje povjerljivih podataka kao internih može koštati korisnika.
3. Nikad ne snižavajte verziju bez vlasnika. Samo vlasnik podataka, slijedeći pravila, može sniziti oznaku.
4. Preklasificirati kada se promijeni osjetljivost. Prognoza je povjerljiva prije objave rezultata i može biti javna nakon toga.

Ove navike su važne jer su povrede sigurnosti česte. Gornja anketa pokazala je da je 43% tvrtki u Ujedinjenom Kraljevstvu prijavilo jednu u protekloj godini, a datoteka bez oznake je datoteka koju nitko nije znao zaštititi. Za ljudsku stranu napada, pogledajte našu objavu o primjeri socijalnog inženjeringa.

Načini organiziranja klasifikacijskog kviza s AhaSlides

Možete podučavati 4 razine u jednoj sesiji od 20 minuta. Učionica odgovara, tako da se pravila bolje pridržavaju nego što se pridržavaju PDF-a s pravilima. Izgradite svaki slajd iz gornjih primjera.

1. Odaberite odgovor: "Koje je razine ovaj dokument?" Prikažite primjer iz svakog kruga, dodajte ljestvicu najboljih rezultata i dodijelite bodove za ispravnu razinu.
2. Oblak riječi: „Koja je najosjetljivija stvar s kojom se bavite?“ Odgovori pokazuju koji od vaših timova svakodnevno rade s povjerljivim ili ograničenim podacima.
3. Ljestvica ocjenjivanja: "Koliko ste sigurni u označavanje datoteke?" Ocijenite od 1 do 5, a zatim se obratite osobama koje imaju nisku ocjenu.
4. Otvorenog tipa, anonimno: "Koje biste pitanje željeli postaviti sigurnosnom timu?" Ljudi će pitati stvari koje ne bi izgovorili naglas.

Tražite više načina za pokretanje? Pogledajte obuka za podizanje svijesti o kibernetičkoj sigurnosti, Provjere IT sigurnosti i phishinga Slack i Dokumentacija umjetne inteligencije i obuka o privatnostiPredložak tečaja Klasifikacija i rukovanje podacima daje vam slajdove spremne za prilagodbu.

Često postavljana pitanja

Koje su 4 razine klasifikacije podataka?

Javno, Interno, Povjerljivo i Ograničeno je najčešća shema, iako svaka organizacija postavlja svoju vlastitu. Javno se može dijeliti sa svima, Interno ostaje unutar organizacije, Povjerljivo je potrebno znati, a Ograničeno je samo za imenovane osobe.

Postoji li standardni skup razina klasifikacije podataka?

Ne, ne postoji jedan skup. FIPS 199 definira tri razine utjecaja (nisku, umjerenu i visoku) za američke savezne sustave, a vlada Ujedinjenog Kraljevstva koristi vlastite tri klasifikacije, SLUŽBENO, TAJNO i VRLO TAJNO. Privatne organizacije biraju svoje, a 4 razine su uobičajeni obrazac.

Koji su primjeri povjerljivih podataka?

Popisi kupaca, ugovori, financijske prognoze i pregledi učinka. Cijene dobavljača također pripadaju ovdje. Sve bi to prouzročilo stvarnu štetu ako bi došlo do pogrešnih ljudi, stoga se dijeli na temelju nužnosti.

Koja je razlika između povjerljivih i ograničenih podataka?

Ograničena je najstrožija razina, ograničena na imenovane osobe s najjačim kontrolama. Povjerljivi podaci dijele se sa svima kojima su potrebni za posao. Ograničeni podaci, poput lozinki ili podataka o platnim karticama, dostupni su puno manjem broju ljudi i njihov pristup se bilježi.

Tko odlučuje kako se podaci klasificiraju?

Vlasnik podataka, u skladu s politikom organizacije. Autor obično prvi primjenjuje oznaku, a vlasnik je potvrđuje ili mijenja. Osoblje ne bi trebalo samo snižavati oznaku.

Gdje započeti

Odaberite jedan tim, označite njegovih 10 najčešćih datoteka s 4 razine i pokrenite kviz kako biste vidjeli u čemu se ljudi ne slažu. Ta neslaganja vam pokazuju koji primjeri su potrebni vašoj politici.