Tingkat klasifikasi data: 4 tingkat dengan contoh.

Menurut data pemerintah Inggris, empat dari sepuluh bisnis di Inggris (43%) dan tiga dari sepuluh badan amal (30%) melaporkan pelanggaran atau serangan keamanan siber dalam 12 bulan terakhir. Survei pelanggaran keamanan siber 2025Itu adalah survei di Inggris, tetapi poinnya berlaku di tempat lain. Sebagian besar staf tidak dapat melindungi informasi yang tidak dapat mereka sebutkan namanya, dan pertanyaan "apakah spreadsheet ini Internal atau Rahasia?" muncul jauh sebelum ada yang diserang.

Postingan ini memberikan Anda 4 tingkat klasifikasi data yang paling banyak digunakan oleh organisasi: Publik, Internal, Rahasia, dan Terbatas. Masing-masing memiliki 5 contoh dan aturan penanganan. Kemudian ditunjukkan bagaimana kaitannya dengan dua skema formal, sehingga Anda tahu apa yang merupakan konvensi dan apa yang merupakan standar.

Apa itu klasifikasi data?

Klasifikasi data adalah label yang memberi tahu orang cara menangani suatu informasi. Label tersebut terdapat pada dokumen, file, atau kumpulan data, dan mengarah pada suatu aturan: siapa yang boleh melihatnya, bagaimana cara mengirimkannya, dan bagaimana cara menyimpannya.

Tidak ada daftar level tunggal yang wajib digunakan oleh setiap organisasi. Keempat level di bawah ini adalah cara umum untuk menyusun kebijakan, bukan standar yang ditetapkan oleh NIST atau pemerintah mana pun. Kebijakan Anda sendiri dapat menggunakan 3 level, 5 level, atau nama yang berbeda, dan pemilik data yang memutuskan label mana yang sesuai. Contoh-contoh tersebut bersifat umum, jadi gantilah dengan dokumen Anda sendiri saat Anda mengajarkannya.

Babak 1: Publik (5 contoh)

Informasi publik dimaksudkan untuk dilihat oleh siapa pun. Membagikannya di luar organisasi tidak menimbulkan kerugian.

Aturan penanganan: Tidak ada pembatasan untuk berbagi, tetapi hanya pemiliknya yang mempublikasikannya, dan informasinya tetap akurat.

1. Siaran pers yang telah dipublikasikan.
2. Sebuah iklan lowongan pekerjaan.
3. Brosur produk.
4. Publik blog pos.
5. Harga yang tertera di situs web.

Pilihan kami: iklan lowongan kerja. Orang sering menganggapnya sebagai hal yang sensitif karena berasal dari bagian SDM. Dokumen itu ditulis untuk dibaca oleh orang asing, jadi bersifat publik.

Babak 2: Internal (5 contoh)

Informasi internal hanya untuk orang-orang yang bekerja di organisasi tersebut. Informasi ini bukan rahasia, tetapi bukan untuk pihak luar.

Aturan penanganan: Hanya untuk karyawan, disimpan di dalam sistem perusahaan dan tidak dibagikan ke luar tanpa persetujuan pemilik.

1. Direktori staf.
2. Buletin internal.
3. Catatan rapat.
4. Dokumen kebijakan.
5. Rencana proyek.

Pilihan kami: catatan rapat. Meskipun tampak tidak berbahaya, email-email tersebut sering kali menyebutkan nama pelanggan, harga, atau orang tertentu. Periksa isinya sebelum Anda meneruskannya ke pemasok.

Babak 3: Rahasia (5 contoh)

Informasi rahasia dapat menyebabkan kerugian nyata jika sampai ke tangan yang salah, seperti kehilangan pelanggan, risiko hukum, atau posisi yang lebih lemah dalam negosiasi.

Aturan penanganan: Hanya informasi yang perlu diketahui, dienkripsi saat dikirim, dan dibagikan melalui alat yang disetujui, bukan email pribadi.

1. Daftar pelanggan.
2. Kontrak yang telah ditandatangani.
3. Prakiraan keuangan.
4. Evaluasi kinerja.
5. Harga dari pemasok.

Pilihan kami: daftar pelanggan. Sangat mudah untuk mengekspor dan menempelkannya ke dalam email. Satu kesalahan saja dapat memberikan seluruh portofolio bisnis Anda kepada pesaing.

Babak 4: Terbatas (5 contoh)

"Restricted" adalah tingkatan paling ketat. Kebocoran dapat menyebabkan kerugian serius bagi organisasi atau individu, sehingga akses dibatasi hanya untuk orang-orang yang ditunjuk.

Aturan penanganan: Hanya orang-orang yang ditunjuk yang diizinkan, dengan kontrol terkuat, dan akses yang dicatat.

1. Kata sandi dan kunci.
2. Data kartu pembayaran.
3. Catatan kesehatan.
4. Hasil keuangan yang belum dirilis.
5. Rincian insiden keamanan.

Pilihan kami: kredensial dalam dokumen yang dibagikan. Sebagian besar orang mengenali kesalahan ini dari tim mereka sendiri. Kata sandi pada lembar kerja bersama adalah data Terbatas yang disimpan seolah-olah itu adalah data Internal.

Bagaimana tingkatan-tingkatan tersebut dipetakan ke dalam skema formal

Keempat tingkatan tersebut merupakan konvensi, sehingga tidak ada skema formal yang benar-benar cocok satu per satu. Tabel menunjukkan kecocokan terdekat. Anggap pemetaan ini sebagai perkiraan.

FIP 199 tidak mendefinisikan empat tingkatan. Ia mendefinisikan tiga tingkatan dampak potensial (rendah, sedang, dan tinggi) untuk informasi dan sistem informasi federal, berdasarkan seberapa besar kerugian yang akan ditimbulkan oleh hilangnya kerahasiaan, integritas, atau ketersediaan.NIST FIPS 199). Efek samping yang terbatas tergolong rendah, efek samping yang serius tergolong sedang, dan efek samping yang parah atau berakibat fatal tergolong tinggi.

The Kebijakan Klasifikasi Keamanan Pemerintah Inggris menggunakan tiga tingkatan: RESMI, RAHASIA, dan SANGAT RAHASIA. Halaman GOV.UK terakhir diperbarui pada 5 Agustus 2024. RESMI mencakup sebagian besar informasi pemerintah, dan "-SENSITIF" adalah penandaan tambahan pada informasi RESMI yang jika dibocorkan dapat menyebabkan kerusakan lebih besar. Kebijakan tersebut menyatakan bahwa ini bukan skema hukum (GOV.UK: Klasifikasi Keamanan Pemerintah).

Arsip Nasional AS juga menyimpan daftar Informasi Tidak Terklasifikasi yang Dikendalikan (CUI). Ini adalah daftar kategori yang dikelompokkan berdasarkan subjek, seperti infrastruktur penting, pertahanan, dan keuangan, bukan jenjang tingkatan (Registri CUI NARAJika organisasi Anda menangani informasi pemerintah AS, bacalah kontrak Anda untuk mengetahui kategori mana yang berlaku.

Pelabelan dan penanganan

Label hanya bermanfaat jika orang menerapkannya dengan cara yang sama. Empat kebiasaan menjaga konsistensi tersebut.

1. Label saat pembuatan. Penulis paling tahu isi file tersebut, jadi mintalah mereka untuk menandainya saat mereka menyimpannya.
2. Jika ragu, gunakan tingkat yang lebih tinggi. Memperlakukan sebuah file sebagai Rahasia membutuhkan sedikit waktu. Memperlakukan data Rahasia sebagai Internal dapat merugikan pelanggan.
3. Jangan pernah melakukan downgrade tanpa izin pemiliknya. Hanya pemilik data, sesuai dengan kebijakan yang berlaku, yang dapat menurunkan label.
4. Lakukan klasifikasi ulang ketika sensitivitas berubah. Prakiraan bersifat rahasia sebelum hasil dipublikasikan dan dapat dipublikasikan setelahnya.

Kebiasaan ini penting karena pelanggaran keamanan sering terjadi. Survei di atas menemukan 43% bisnis di Inggris melaporkan satu pelanggaran dalam setahun terakhir, dan file tanpa label adalah file yang tidak diketahui perlu dilindungi. Untuk sisi manusia dari serangan, lihat postingan kami tentang... contoh rekayasa sosial.

Cara menyelenggarakan kuis klasifikasi dengan AhaSlides

Anda dapat mengajarkan 4 level tersebut dalam satu sesi 20 menit. Peserta akan menjawab, sehingga aturan akan lebih mudah diingat daripada jika menggunakan PDF kebijakan. Buat setiap slide berdasarkan contoh di atas.

1. Pilih Jawaban: "Dokumen ini termasuk level berapa?" Tampilkan contoh dari setiap putaran, tambahkan papan peringkat, dan berikan poin untuk level yang tepat.
2. Awan Kata: "Apa hal paling sensitif yang Anda tangani?" Jawaban-jawaban tersebut menunjukkan tim mana di antara Anda yang setiap hari menangani data Rahasia atau Terbatas.
3. Skala Penilaian: "Seberapa yakin Anda memberi label pada sebuah file?" Beri nilai dari 1 hingga 5, lalu tindak lanjuti dengan orang-orang yang mendapat nilai rendah.
4. Terbuka, anonim: "Pertanyaan apa yang ingin Anda ajukan kepada tim keamanan?" Orang-orang akan menanyakan hal-hal yang tidak akan mereka ucapkan secara lantang.

Mencari cara lain untuk menjalankannya? Lihat pelatihan kesadaran keamanan siber, Pemeriksaan berkala keamanan TI dan phishing di Slack dan Dokumentasi AI dan pelatihan privasiTemplat kursus Klasifikasi & Pengolahan Data memberi Anda slide yang siap untuk diadaptasi.

Pertanyaan yang sering diajukan

Apa saja 4 tingkatan klasifikasi data?

Publik, Internal, Rahasia, dan Terbatas adalah skema yang paling umum, meskipun setiap organisasi menetapkan skemanya sendiri. Publik dapat dibagikan kepada siapa saja, Internal tetap berada di dalam organisasi, Rahasia hanya untuk yang perlu tahu, dan Terbatas hanya untuk orang-orang tertentu.

Apakah ada standar baku untuk tingkat klasifikasi data?

Tidak, tidak ada satu set standar. FIPS 199 mendefinisikan tiga tingkat dampak (rendah, sedang, dan tinggi) untuk sistem federal AS, dan pemerintah Inggris menggunakan tiga klasifikasi sendiri, RESMI, RAHASIA, dan SANGAT RAHASIA. Organisasi swasta memilih klasifikasi mereka sendiri, dan 4 tingkatan adalah pola yang umum.

Apa saja contoh data rahasia?

Daftar pelanggan, kontrak, perkiraan keuangan, dan tinjauan kinerja. Harga pemasok juga termasuk di sini. Semua informasi ini akan menimbulkan kerugian besar jika sampai ke tangan yang salah, jadi informasi ini hanya dibagikan kepada pihak yang berwenang.

Apa perbedaan antara data rahasia dan data terbatas?

Tingkat "Restricted" adalah tingkatan paling ketat, hanya dapat diakses oleh orang-orang tertentu dengan kontrol terkuat. Data rahasia dibagikan kepada siapa pun yang membutuhkannya untuk pekerjaan mereka. Data yang dibatasi, seperti kata sandi atau data kartu pembayaran, hanya tersedia untuk sedikit orang dan aksesnya dicatat.

Siapa yang memutuskan bagaimana data diklasifikasikan?

Pemilik data, sesuai dengan kebijakan organisasi. Penulis biasanya menerapkan label terlebih dahulu, dan pemilik mengkonfirmasinya atau mengubahnya. Staf tidak boleh menurunkan peringkat label sendiri.

Mulai dari mana

Pilih satu tim, beri label 10 berkas yang paling sering digunakan dengan 4 level, dan jalankan kuis untuk melihat di mana orang-orang tidak sepakat. Ketidaksepakatan tersebut akan menunjukkan contoh mana yang dibutuhkan kebijakan Anda.