Adatosztályozási szintek: 4 szint példákkal

A brit kormány adatai szerint az elmúlt 12 hónapban tízből négy brit vállalkozás (43%) és tízből három jótékonysági szervezet (30%) jelentett kiberbiztonsági incidenst vagy támadást. Kiberbiztonsági incidensek felmérése 2025Ez egy brit felmérés, de a lényeg máshol is érvényes. A legtöbb alkalmazott nem tudja megvédeni azokat az információkat, amelyeket nem nevezhet meg, és a kérdés, hogy „ez a táblázat belső vagy bizalmas?”, már jóval azelőtt felmerül, hogy bárkit megtámadnának.

Ez a bejegyzés bemutatja a legtöbb szervezet által használt 4 adatosztályozási szintet: nyilvános, belső, bizalmas és korlátozott. Mindegyikhez 5 példa és egy kezelési szabály tartozik. Ezután bemutatja, hogyan kapcsolódnak két formális sémához, így tudni fogod, mi a konvenció és mi a szabvány.

Mi az adatosztályozás

Az adatosztályozás egy címke, amely megmondja az embereknek, hogyan kezeljenek egy információt. A címke egy dokumentumon, fájlon vagy adathalmazon található, és egy szabályra utal: ki láthatja, hogyan küldhető el és hogyan tárolható.

Nincs szükség minden szervezet számára egységes szintlistára. Az alábbi 4 egy általános módszer a szabályzatok létrehozására, nem pedig a NIST vagy bármely kormány által meghatározott szabvány. A saját szabályzatod használhat 3 szintet, 5 szintet vagy különböző neveket, és az adattulajdonos dönti el, hogy melyik címke illik hozzájuk. A példák általánosak, ezért cseréld ki őket a saját dokumentumaidban, amikor tanítod őket.

1. kör: Nyilvános (5 példa)

A nyilvános információkat bárki láthatja. A szervezeten kívüli megosztásuk nem okoz kárt.

Kezelési szabály: Nincs megosztási korlátozás, de csak a tulajdonos teszi közzé, és az pontos marad.

1. Egy közzétett sajtóközlemény.
2. Egy álláshirdetés.
3. Egy termékismertető.
4. Egy nyilvános blog post.
5. A weboldalon közzétett árak.

A mi választásunk: az álláshirdetés. Az emberek gyakran bizalmasként kezelik, mivel a HR-től származik. Idegenek számára íródott, tehát nyilvános.

2. kör: Belső (5 példa)

A belső információk a szervezetnél dolgozók számára készültek. Nem titkosak, de kívülállók számára nem elérhetőek.

Kezelési szabály: csak az alkalmazottak számára, a vállalati rendszereken belül tárolva és a tulajdonos beleegyezése nélkül nem megosztva.

1. A személyzeti címtár.
2. Egy belső hírlevél.
3. Megbeszélésjegyzetek.
4. Egy irányelvi dokumentum.
5. Egy projektterv.

A mi választásunk: megbeszélésjegyzetek. Ártalmatlannak tűnnek, mégis gyakran nevezik meg az ügyfeleket, árakat vagy személyeket. Ellenőrizze, hogy mi van bennük, mielőtt továbbadná őket egy beszállítónak.

3. kör: Bizalmas (5 példa)

A bizalmas információk valódi károkat okozhatnak, ha rossz emberekhez jutnak el, például elveszett ügyfeleket, jogi kockázatot vagy gyengébb pozíciót jelenthetnek egy tárgyaláson.

Kezelési szabály: csak a szükséges tudnivalók, küldéskor titkosítva, és jóváhagyott eszközökön keresztül megosztva, nem személyes e-mailben.

1. Egy ügyféllista.
2. Aláírt szerződés.
3. Pénzügyi előrejelzés.
4. Teljesítményértékelés.
5. Beszállítói árképzés.

A mi választásunk: az ügyféllista. Könnyen exportálható és könnyen beilleszthető egy e-mailbe. Egyetlen cetlivel a versenytársad az egész üzleti könyvedet birtokba veheti.

4. kör: Korlátozott (5 példa)

A Korlátozott a legszigorúbb szint. Egy szivárgás súlyos károkat okozhat a szervezetnek vagy az egyéneknek, ezért a hozzáférés csak megnevezett személyekre korlátozódik.

Kezelési szabály: csak megnevezett személyek, a legszigorúbb ellenőrzések és naplózott hozzáférés.

1. Jelszavak és kulcsok.
2. Bankkártya adatok.
3. Egészségügyi feljegyzések.
4. Kiadatlan pénzügyi eredmények.
5. Biztonsági incidens részletei.

A mi választásunk: hitelesítő adatok egy megosztott dokumentumban. A legtöbb ember felismeri ezt a hibát a saját csapatánál. A megosztott munkalapon lévő jelszó korlátozott hozzáférésű adat, mintha belső adat lenne.

Hogyan feleltethetők meg a szintek a formális sémáknak?

A 4 szint konvenció, tehát egyik formális séma sem felel meg nekik egy az egyben. A táblázat a legközelebbi illeszkedést mutatja. A leképezést tekintsük hozzávetőlegesnek.

FIPS 199 nem határoz meg négy szintet. A szövetségi információk és információs rendszerek potenciális hatásának három szintjét (alacsony, közepes és magas) határozza meg, attól függően, hogy mekkora kárt okozna a bizalmasság, az integritás vagy a rendelkezésre állás elvesztése.NIST FIPS 199). A korlátozott káros hatás alacsony, a súlyos közepes, a súlyos vagy katasztrofális pedig magas.

Az Az Egyesült Királyság kormányának biztonsági besorolási szabályzata három szintet használ: HIVATALOS, TITKOS és SZIGORÚAN TITKOS. A GOV.UK oldal utoljára 2024. augusztus 5-én frissült. Az HIVATALOS a legtöbb kormányzati információt lefedi, a „-BIZALMAS” pedig egy kiegészítő jelölés a HIVATALOS információkon, amelyek veszélyeztetése nagyobb kárt okozhat. A szabályzat szerint ez nem törvényi előírás (GOV.UK: Kormányzati biztonsági besorolások).

Az Egyesült Államok Nemzeti Levéltárában is van egy nyilvántartás a nem minősített információkról (CUI). Ez egy témakörök szerint csoportosított kategóriák listája, például kritikus infrastruktúra, védelem és pénzügy, nem pedig egy szintrend.NARA CUI nyilvántartás). Ha szervezete amerikai kormányzati információkat kezel, olvassa el a szerződését, hogy megtudja, mely kategóriák vonatkoznak rá.

Címkézés és kezelés

Egy címke csak akkor segít, ha az emberek ugyanúgy alkalmazzák. Négy szokás van, ami állandóvá teszi.

1. Címke létrehozáskor. A szerző tudja a legjobban, hogy mi van a fájlban, ezért kérd meg, hogy mentéskor jelölje meg.
2. Ha bizonytalan, használja a magasabb szintet. Egy fájl bizalmasként kezelése némi időbe telik. A bizalmas adatok belsőként való kezelése viszont sokba kerülhet az ügyfélnek.
3. Soha ne minősíts lejjebb a tulajdonos nélkül. Csak az adat tulajdonosa, a szabályzatnak megfelelően, csökkentheti a címkét.
4. Osztályozzon újra, ha az érzékenység megváltozik. Az előrejelzés bizalmas az eredmények közzététele előtt, és utána nyilvánossá válhat.

Ezek a szokások fontosak, mivel a behatolások gyakoriak. A fenti felmérés szerint az Egyesült Királyságban a vállalkozások 43%-a jelentett ilyen esetet az elmúlt évben, és egy címkével nem ellátott fájlról senki sem tudta, hogy mit kell védeni. A támadások emberi oldaláról lásd a bejegyzésünket a következő témában: szociális mérnöki példák.

Osztályozási kvíz lebonyolításának módjai AhaSlides

Egyetlen 20 perces foglalkozás alatt megtaníthatod mind a 4 szintet. A teremben lévő tanulók válaszolnak, így a szabályok jobban megmaradnak, mint egy szabályzat PDF-ből. A fenti példákból építsd fel az egyes diákat.

1. Válaszd ki a választ: „Melyik szintű ez a dokumentum?” Mutass egy példát minden körből, adj hozzá egy ranglistát, és add oda a pontokat a megfelelő szintnek megfelelően.
2. Szófelhő: „Mi a legérzékenyebb dolog, amivel foglalkozik?” A válaszok megmutatják, hogy melyik csapata dolgozik nap mint nap bizalmas vagy korlátozott hozzáférésű adatokkal.
3. Értékelési skála: „Mennyire biztos vagy benne, hogy címkézel egy fájlt?” Értékelj 1-től 5-ig, majd beszéld meg azokkal, akik alacsony pontszámot értek el.
4. Nyílt végű, anonim: „Milyen kérdést szeretne feltenni a biztonsági csapatnak?” Az emberek olyan dolgokat is feltesznek, amiket nem mondanának ki hangosan.

További módszereket keres a futtatására? Lásd: kiberbiztonsági tudatosító tréning, IT biztonsági és adathalászati ​​​​pulzusellenőrzések Slack és a AI dokumentáció és adatvédelmi képzésAz Adatosztályozás és -kezelés kurzus sablonja előkészített diákat biztosít az adaptálásra.

Gyakran Ismételt Kérdések

Melyek az adatosztályozás 4 szintje?

A leggyakoribb séma a Nyilvános, Belső, Bizalmas és Korlátozott, bár minden szervezet a sajátját határozza meg. A nyilvános bárkivel megosztható, a belső a szervezeten belül marad, a Bizalmas az, amit tudni kell, a Korlátozott pedig csak megnevezett személyek számára elérhető.

Létezik szabványos adatosztályozási szintek?

Nem, nincs egyetlen készlet. A FIPS 199 három hatásszintet (alacsony, közepes és magas) határoz meg az amerikai szövetségi rendszerek számára, az Egyesült Királyság kormánya pedig a saját három osztályozását használja: HIVATALOS, TITKOS és SZIGORÚAN TITKOS. A magánszervezetek maguk választják ki a sajátjukat, és a 4 szint egy gyakori minta.

Milyen példák vannak a bizalmas adatokra?

Ügyféllisták, szerződések, pénzügyi előrejelzések és teljesítményértékelések. A beszállítói árazás is ide tartozik. Mindegyik valódi kárt okozna, ha rossz emberekhez jutna el, ezért csak a szükséges ismeret elve alapján osztjuk meg őket.

Mi a különbség a bizalmas és a korlátozott hozzáférésű adatok között?

A Korlátozott a legszigorúbb szint, amely a legszigorúbb ellenőrzéssel rendelkező, megnevezett személyekre korlátozódik. A bizalmas adatokat bárkivel megosztjuk, akinek szüksége van rájuk a munkája elvégzéséhez. A korlátozott adatok, például a jelszavak vagy a bankkártya-adatok, sokkal kevesebb ember számára érhetők el, és a hozzáférésük naplózásra kerül.

Ki dönti el, hogyan osztályozzuk az adatokat?

Az adattulajdonos, a szervezet szabályzatát követve. A szerző általában először alkalmazza a címkét, majd a tulajdonos megerősíti vagy módosítja azt. A munkatársak nem minősíthetik vissza a címkét.

Hol kezdjem

Válassz ki egy csapatot, címkézd fel a 10 leggyakoribb fájlt a 4 szinttel, és futtasd le a kvízt, hogy kiderüljön, miben nem értenek egyet az emberek. Ezek a nézeteltérések megmutatják, hogy milyen példákra van szükséged a szabályzatodhoz.