Livelli di classificazione dei dati: 4 livelli con esempi

Secondo il governo del Regno Unito, quattro aziende su dieci (43%) e tre organizzazioni benefiche su dieci (30%) hanno segnalato una violazione o un attacco informatico negli ultimi 12 mesi. Sondaggio sulle violazioni della sicurezza informatica 2025Si tratta di un sondaggio condotto nel Regno Unito, ma il concetto è valido anche altrove. La maggior parte dei dipendenti non è in grado di proteggere informazioni di cui non conosce il nome, e la domanda "questo foglio di calcolo è interno o riservato?" si pone ben prima che qualcuno venga attaccato.

Questo articolo illustra i 4 livelli di classificazione dei dati più comunemente utilizzati dalle organizzazioni: Pubblico, Interno, Riservato e Limitato. Per ciascun livello sono presenti 5 esempi e una regola di gestione. Successivamente, viene mostrato il loro rapporto con due schemi formali, in modo da distinguere tra convenzioni e standard.

Che cos'è la classificazione dei dati?

La classificazione dei dati è un'etichetta che indica come gestire un'informazione. L'etichetta viene apposta su un documento, un file o un insieme di dati e specifica una regola: chi può visualizzarla, come può essere inviata e come deve essere archiviata.

Non esiste un elenco univoco di livelli che ogni organizzazione debba rispettare. I 4 livelli riportati di seguito rappresentano un metodo comune per impostare una policy, non uno standard definito dal NIST o da qualsiasi ente governativo. La vostra policy può utilizzare 3 livelli, 5 livelli o nomi diversi, e spetta al responsabile dei dati decidere quale etichetta sia più appropriata. Gli esempi sono generici, quindi sostituiteli con i vostri documenti quando li presentate.

Primo turno: Pubblico (5 esempi)

Le informazioni pubbliche sono destinate a essere viste da chiunque. Condividerle al di fuori dell'organizzazione non arreca alcun danno.

Regola di gestione: Non ci sono restrizioni sulla condivisione, ma solo il proprietario può pubblicarlo e le informazioni rimangono accurate.

1. Un comunicato stampa pubblicato.
2. Un annuncio di lavoro.
3. Una brochure di prodotto.
4. Un pubblico blog inviare.
5. I prezzi sono pubblicati sul sito web.

La nostra scelta: l'annuncio di lavoro. Spesso viene considerato un documento riservato perché proviene dalle Risorse Umane. È stato scritto per essere letto da estranei, quindi è pubblico.

Secondo round: Interno (5 esempi)

Le informazioni interne sono destinate alle persone che lavorano per l'organizzazione. Non sono segrete, ma non sono accessibili all'esterno.

Regola di gestione: Riservato esclusivamente ai dipendenti, mantenuto all'interno dei sistemi aziendali e non condiviso all'esterno senza l'autorizzazione del proprietario.

1. Elenco del personale.
2. Una newsletter interna.
3. Appunti della riunione.
4. Un documento programmatico.
5. Un piano di progetto.

La nostra scelta: i verbali della riunione. Sembrano innocui, eppure spesso contengono nomi di clienti, prezzi o persone. Controlla il loro contenuto prima di inoltrarli a un fornitore.

Terzo round: Riservato (5 esempi)

La divulgazione di informazioni riservate potrebbe causare danni reali alle persone sbagliate, come la perdita di clienti, rischi legali o un indebolimento della posizione in una trattativa.

Regola di gestione: Solo chi ne ha bisogno può conoscerle, vengono crittografate durante l'invio e condivise tramite strumenti approvati, non tramite email personali.

1. Un elenco clienti.
2. Un contratto firmato.
3. Una previsione finanziaria.
4. Una valutazione delle prestazioni.
5. Prezzi dei fornitori.

La nostra scelta: l'elenco dei clienti. È facile esportarlo e incollarlo in un'e-mail. Un solo errore consegna a un concorrente tutto il tuo portafoglio clienti.

Quarto round: Limitato (5 esempi)

Il livello "Riservato" è il più restrittivo. Una fuga di notizie potrebbe causare gravi danni all'organizzazione o ai singoli individui, pertanto l'accesso è limitato a persone nominate.

Regola di gestione: Solo persone nominate, i controlli più rigorosi e accessi registrati.

1. Password e chiavi.
2. Dati della carta di pagamento.
3. Cartelle cliniche.
4. Risultati finanziari non ancora pubblicati.
5. Dettagli dell'incidente di sicurezza.

La nostra scelta: credenziali in un documento condiviso. Molti riconoscono questo errore all'interno del proprio team. Una password su un foglio condiviso equivale a memorizzare dati riservati come se fossero dati interni.

Come i livelli si mappano agli schemi formali

I 4 livelli sono una convenzione, quindi nessuno degli schemi formali li corrisponde uno a uno. La tabella mostra la corrispondenza più vicina. Considerare la mappatura come approssimativa.

FIP 199 non definisce quattro livelli. Definisce tre livelli di potenziale impatto (basso, moderato e alto) per le informazioni federali e i sistemi informativi, in base a quanto danno causerebbe una perdita di riservatezza, integrità o disponibilità (NIST FIPS 199Un effetto avverso limitato è basso, uno grave è moderato e uno grave o catastrofico è alto.

Migliori Politica del governo del Regno Unito in materia di classificazione della sicurezza utilizza tre livelli: UFFICIALE, SEGRETO e SEGRETO ASSOLUTO. La pagina GOV.UK è stata aggiornata l'ultima volta il 5 agosto 2024. UFFICIALE copre la maggior parte delle informazioni governative e "-SENSITIVO" è un'ulteriore marcatura sulle informazioni UFFICIALI la cui compromissione potrebbe causare maggiori danni. La politica afferma che non si tratta di un sistema statutario (GOV.UK: Classificazioni di sicurezza governative).

Anche gli Archivi Nazionali degli Stati Uniti mantengono un registro delle Informazioni Controllate Non Classificate (CUI). Si tratta di un elenco di categorie raggruppate per argomento, come infrastrutture critiche, difesa e finanza, non una scala di livelli (Registro NARA CUISe la tua organizzazione gestisce informazioni del governo statunitense, consulta il contratto per verificare quali categorie si applicano.

Etichettatura e manipolazione

Un'etichetta è utile solo se le persone la applicano allo stesso modo. Quattro abitudini ne garantiscono la coerenza.

1. Etichetta al momento della creazione. L'autore sa meglio di chiunque altro cosa contiene il file, quindi chiedigli di indicarlo quando lo salva.
2. In caso di dubbio, utilizzare il livello superiore. Trattare un file come riservato richiede poco tempo. Trattare i dati riservati come interni può costare caro al cliente.
3. Non effettuare mai un downgrade senza il consenso del proprietario. Solo il proprietario dei dati, nel rispetto delle policy, può declassare un'etichetta.
4. Riclassificare quando la sensibilità cambia. Le previsioni sono riservate prima della pubblicazione dei risultati e possono essere rese pubbliche in seguito.

Queste abitudini sono importanti perché le violazioni sono comuni. Il sondaggio di cui sopra ha rilevato che il 43% delle aziende del Regno Unito ne ha segnalata una nell'ultimo anno, e un file senza etichetta è un file che nessuno sapeva di dover proteggere. Per il lato umano degli attacchi, vedi il nostro post su esempi di ingegneria sociale.

Modi per ospitare un quiz di classificazione con AhaSlides

È possibile insegnare i 4 livelli in una sessione di 20 minuti. La partecipazione attiva del pubblico fa sì che le regole vengano assimilate meglio rispetto a un documento PDF. Crea ogni diapositiva prendendo spunto dagli esempi sopra riportati.

1. Scegli la risposta: "A che livello appartiene questo documento?" Mostra un esempio per ogni round, aggiungi una classifica e assegna i punti al livello corretto.
2. Nuvola di parole: "Qual è l'elemento più delicato che gestite?" Le risposte mostrano quali dei vostri team lavorano quotidianamente con dati riservati o ad accesso limitato.
3. Scala di valutazione: "Quanto sei sicuro/a di etichettare un file?" Valuta da 1 a 5, poi contatta le persone che hanno dato un punteggio basso.
4. Domanda a risposta aperta e anonima: "Quale domanda vorresti porre al team di sicurezza?" Le persone faranno domande che non direbbero ad alta voce.

Cerchi altri modi per eseguirlo? Vedi formazione sulla sensibilizzazione alla sicurezza informatica, Controlli periodici sulla sicurezza informatica e sul phishing Slack and Documentazione sull'IA e formazione sulla privacyIl modello del corso di classificazione e gestione dei dati fornisce le diapositive pronte per essere adattate.

Domande frequenti

Quali sono i 4 livelli di classificazione dei dati?

Lo schema più comune è Pubblico, Interno, Riservato e Limitato, sebbene ogni organizzazione adotti il ​​proprio. Le informazioni Pubbliche possono essere condivise con chiunque, quelle Interne rimangono all'interno dell'organizzazione, quelle Riservate sono accessibili solo a chi ne ha effettivamente bisogno, e quelle Limitate sono destinate esclusivamente a persone nominate.

Esiste una serie standard di livelli di classificazione dei dati?

No, non esiste un unico sistema standard. La norma FIPS 199 definisce tre livelli di impatto (basso, moderato e alto) per i sistemi federali statunitensi, mentre il governo britannico utilizza le proprie tre classificazioni: OFFICIAL, SECRET e TOP SECRET. Le organizzazioni private scelgono autonomamente i propri livelli, e un modello comune prevede quattro livelli.

Quali sono alcuni esempi di dati riservati?

Elenchi clienti, contratti, previsioni finanziarie e valutazioni delle prestazioni. Anche i prezzi dei fornitori rientrano in questa categoria. Tutti questi dati potrebbero causare seri danni se finissero nelle mani sbagliate, pertanto vengono condivisi solo con chi ne ha effettivamente bisogno.

Qual è la differenza tra dati riservati e dati confidenziali?

Il livello "Riservato" è il più restrittivo, limitato a persone nominate con i controlli più rigorosi. I dati riservati vengono condivisi con chiunque ne abbia bisogno per svolgere il proprio lavoro. I dati riservati, come password o dati delle carte di pagamento, sono accessibili a un numero di persone molto inferiore e ogni accesso viene registrato.

Chi decide come vengono classificati i dati?

Il responsabile dei dati, in conformità con le politiche dell'organizzazione, di solito è l'autore ad applicare per primo l'etichetta, dopodiché il responsabile la conferma o la modifica. Il personale non deve declassare autonomamente un'etichetta.

Dove iniziare

Scegli un team, etichetta i suoi 10 file più comuni con i 4 livelli e fai il quiz per vedere dove le persone non sono d'accordo. Questi disaccordi ti mostrano quali esempi sono necessari per la tua politica.