רמות סיווג נתונים: 4 רמות עם דוגמאות

ארבעה מתוך עשרה עסקים בבריטניה (43%) ושלושה מתוך עשרה ארגוני צדקה (30%) דיווחו על פרצת אבטחת סייבר או מתקפת סייבר ב-12 החודשים האחרונים, על פי נתוני ממשלת בריטניה. סקר פרצות אבטחת סייבר 2025זהו סקר בריטי, אך הנקודה רלוונטית גם למקומות אחרים. רוב הצוות אינו יכול להגן על מידע שאינו יכול לנקוב בשמו, והשאלה "האם גיליון אלקטרוני זה פנימי או סודי?" עולה הרבה לפני שמישהו מותקף.

פוסט זה מציג את 4 רמות סיווג הנתונים בהן משתמשים רוב הארגונים: ציבורית, פנימית, סודית ומוגבלת. לכל אחת מהן יש 5 דוגמאות וכלל טיפול. לאחר מכן הוא מראה כיצד הן קשורות לשתי סכמות פורמליות, כך שתדעו מהי מוסכמה ומהו תקן.

מהו סיווג נתונים

סיווג נתונים הוא תווית המורה לאנשים כיצד לטפל במידע מסוים. התווית נמצאת על מסמך, קובץ או מערך נתונים, והיא מצביעה על כלל: מי רשאי לראות אותו, כיצד הוא עשוי להישלח וכיצד הוא מאוחסן.

אין צורך ברשימה אחת של רמות מכל ארגון. 4 הרמות שלהלן הן דרך נפוצה להגדיר מדיניות, ולא תקן המוגדר על ידי NIST או על ידי כל ממשלה. המדיניות שלכם עשויה להשתמש ב-3 רמות, 5 רמות או שמות שונים, ובעל הנתונים מחליט איזו תווית מתאימה. הדוגמאות הן גנריות, לכן החליפו את המסמכים שלכם כשאתם מלמדים אותם.

סיבוב 1: קהל (5 דוגמאות)

מידע ציבורי נועד להיות גלוי לכל אחד. שיתוף שלו מחוץ לארגון אינו גורם נזק.

כלל טיפול: אין הגבלה על שיתוף, אלא רק הבעלים מפרסם אותו, והוא נשאר מדויק.

1. הודעה לעיתונות שפורסמה.
2. מודעת דרושים.
3. חוברת מוצר.
4. ציבורי blog הודעה.
5. מחירים שפורסמו באתר.

הבחירה שלנו: מודעת הדרושים. אנשים מתייחסים אליו לעתים קרובות כאל רגיש מכיוון שהוא הגיע ממחלקת משאבי אנוש. הוא נכתב כדי שייקרא על ידי זרים, ולכן הוא ציבורי.

סיבוב 2: פנימי (5 דוגמאות)

מידע פנימי מיועד לאנשים שעובדים בארגון. הוא אינו סודי, אך אינו מיועד לגורמים חיצוניים.

כלל טיפול: לעובדים בלבד, נשמרים בתוך מערכות החברה ולא משותפים מחוצה לה ללא אישור הבעלים.

1. מדריך הצוות.
2. ניוזלטר פנימי.
3. סיכומי פגישה.
4. מסמך מדיניות.
5. תוכנית פרויקט.

הבחירה שלנו: סיכומי פגישה. הם נראים לא מזיקים, אך לעתים קרובות הם נותנים שמות של לקוחות, מחירים או אנשים. בדקו מה יש בהם לפני שאתם מעבירים אותם לספק.

סיבוב 3: סודי (5 דוגמאות)

מידע סודי יגרום נזק ממשי אם יגיע לאנשים הלא נכונים, כגון אובדן לקוחות, חשיפה משפטית או עמדה חלשה יותר במשא ומתן.

כלל טיפול: נדרש לדעת בלבד, מוצפן בעת ​​שליחה, ומשותף באמצעות כלים מאושרים, לא באמצעות דוא"ל אישי.

1. רשימת לקוחות.
2. חוזה חתום.
3. תחזית פיננסית.
4. סקירת ביצועים.
5. תמחור ספקים.

הבחירה שלנו: רשימת הלקוחות. קל לייצא אותו וקל להדביק אותו במייל. פתק אחד מוסר למתחרה את כל ספר העסקים שלך.

סיבוב 4: מוגבל (5 דוגמאות)

"מוגבל" הוא הרמה המחמירה ביותר. דליפה עלולה לגרום נזק חמור לארגון או לאנשים פרטיים, ולכן הגישה מוגבלת לאנשים שמוזכרים בשמם.

כלל טיפול: אנשים בעלי שם בלבד, הבקרות החזקות ביותר וגישה שנרשמת.

1. סיסמאות ומפתחות.
2. נתוני כרטיס תשלום.
3. רישומי בריאות.
4. תוצאות כספיות שלא פורסמו.
5. פרטי אירועי אבטחה.

הבחירה שלנו: אישורים במסמך משותף. רוב האנשים מזהים את הטעות הזו מהצוות שלהם. סיסמה בגיליון משותף נחשבת למידע מוגבל המאוחסן כאילו היה פנימי.

כיצד הרמות מתואמות לסכמות פורמליות

ארבע הרמות הן מוסכמה, כך שאף אחת מהסכמות הפורמליות אינה תואמת אותן אחת על אחת. הטבלה מציגה את ההתאמה הקרובה ביותר. התייחסו למיפוי כאל מקורב.

FIPS 199 אינו מגדיר ארבע רמות. הוא מגדיר שלוש רמות של השפעה פוטנציאלית (נמוכה, בינונית וגבוהה) עבור מידע ומערכות מידע פדרליות, בהתבסס על מידת הנזק שייגרם אובדן סודיות, שלמות או זמינות (NIST FIPS 199). תופעת לוואי מוגבלת היא נמוכה, חמורה היא בינונית, וחמורה או קטסטרופלית היא גבוהה.

השמיים מדיניות סיווגי אבטחה של ממשלת בריטניה משתמש בשלוש שכבות: רשמי, סודי וסודי ביותר. דף GOV.UK עודכן לאחרונה ב-5 באוגוסט 2024. רשמי מכסה את רוב המידע הממשלתי, ו-"-רגיש" הוא סימון נוסף על מידע רשמי שפגיעה בו עלולה לגרום נזק רב יותר. המדיניות קובעת שזו אינה תוכנית סטטוטורית (GOV.UK: סיווגי אבטחה ממשלתיים).

הארכיון הלאומי של ארה"ב מנהל גם רישום של מידע לא מסווג מבוקר (CUI). זוהי רשימה של קטגוריות המקובצות לפי נושא, כגון תשתיות קריטיות, ביטחון ופיננסים, ולא סולם של רמות (רישום NARA CUIאם הארגון שלכם מטפל במידע של ממשלת ארה"ב, קראו את החוזה שלכם לגבי אילו קטגוריות רלוונטיות.

תיוג וטיפול

תווית עוזרת רק אם אנשים מיישמים אותה באותו אופן. ארבעה הרגלים שומרים על עקביות.

1. תווית בעת היצירה. המחבר יודע הכי טוב מה יש בקובץ, לכן בקשו ממנו לסמן זאת בעת שמירתו.
2. כשאתם לא בטוחים, השתמשו ברמה הגבוהה יותר. טיפול בקובץ כ"סודי" עולה מעט זמן. טיפול בנתונים סודיים כ"פנימיים" עלול לעלות ללקוח.
3. לעולם אל תורידו את הרמה ללא הבעלים. רק בעל הנתונים, בהתאם למדיניות, יכול להוריד תווית.
4. סווג מחדש כאשר הרגישות משתנה. תחזית היא סודית לפני פרסום התוצאות ועשויה להיות פומבית לאחר מכן.

הרגלים אלה חשובים משום שפרצות אבטחה נפוצות. הסקר לעיל מצא ש-43% מהעסקים בבריטניה דיווחו על אחת כזו בשנה האחרונה, וקובץ ללא תווית הוא קובץ שאף אחד לא ידע להגן עליו. לגבי הצד האנושי של התקפות, עיינו בפוסט שלנו בנושא דוגמאות להנדסה חברתית.

דרכים לארח חידון סיווג עם AhaSlides

ניתן ללמד את 4 הרמות בפגישה אחת של 20 דקות. החדר עונה, כך שהכללים תקפים טוב יותר מאשר בקובץ PDF של מדיניות. בנו כל שקופית מהדוגמאות שלמעלה.

1. בחר תשובה: "איזו רמה נמצאת במסמך זה?" הצג דוגמה מכל סיבוב, הוסף טבלת הישגים ותן את הנקודות עבור הרמה הנכונה.
2. ענן מילים: "מהו הדבר הכי רגיש שאתם מטפלים בו?" התשובות מראות אילו מהצוותים שלכם עובדים עם נתונים סודיים או מוגבלים מדי יום.
3. סולם דירוג: "עד כמה אתה בטוח בעצמך שכותב קובץ?" דרג מ-1 עד 5, ולאחר מכן המשך עם האנשים שקיבלו ציון נמוך.
4. פתוח, אנונימי: "איזו שאלה היית רוצה לשאול את צוות האבטחה?" אנשים ישאלו דברים שלא היו אומרים בקול רם.

מחפש דרכים נוספות להפעיל אותו? ראה אימון למודעות לאבטחת סייבר, בדיקות פולס של אבטחת IT ופישינג Slack ו תיעוד בינה מלאכותית והדרכת פרטיותתבנית הקורס סיווג וטיפול בנתונים מספקת לכם שקופיות מוכנות להתאמה.

שאלות נפוצות

מהן 4 רמות סיווג הנתונים?

ציבורי, פנימי, סודי ומוגבל הם הסכמות הנפוצות ביותר, אם כי כל ארגון קובע סכמות משלו. ציבורי יכול להיות משותף עם כל אחד, פנימי נשאר בתוך הארגון, סודי הוא חובה לדעת, ומוגבל מיועד לאנשים ששמם מופיע בהם בלבד.

האם ישנה מערכת סטנדרטית של רמות סיווג נתונים?

לא, אין קבוצה אחת. תקן FIPS 199 מגדיר שלוש רמות השפעה (נמוכות, בינוניות וגבוהה) עבור מערכות פדרליות בארה"ב, וממשלת בריטניה משתמשת בשלושה סיווגים משלה, רשמי, סודי וסודי ביותר. ארגונים פרטיים בוחרים בעצמם, ו-4 רמות הן דפוס נפוץ.

מהן דוגמאות למידע סודי?

רשימות לקוחות, חוזים, תחזיות פיננסיות וסקירות ביצועים. גם תמחור ספקים שייך לכאן. כולם יגרמו נזק ממשי אם יגיעו לאנשים הלא נכונים, ולכן הם משותפים על בסיס צורך לדעת.

מה ההבדל בין נתונים סודיים לנתונים מוגבלים?

"מוגבל" הוא הרמה המחמירה ביותר, מוגבלת לאנשים בעלי שם בעל הבקרות החזקות ביותר. נתונים סודיים משותפים עם כל מי שצריך אותם לצורך עבודתו. נתונים מוגבלים, כגון סיסמאות או נתוני כרטיסי תשלום, זמינים להרבה פחות אנשים והגישה אליהם נרשמת.

מי מחליט כיצד מסווגים נתונים?

בעל הנתונים, בהתאם למדיניות הארגון. בדרך כלל המחבר מיישם את התווית תחילה, והבעלים מאשר אותה או משנה אותה. אסור לצוות להוריד בעצמו את הדירוג של התווית.

איפה להתחיל

בחרו צוות אחד, סמנו את 10 הקבצים הנפוצים ביותר שלו עם 4 הרמות, והפעילו את החידון כדי לראות היכן אנשים חלוקים בדעותיהם. חילוקי הדעות הללו מראים לכם אילו דוגמאות המדיניות שלכם זקוקה לה.