データ分類レベル：4つのレベルと例

英国政府の調査によると、英国企業の10社中4社（43％）と慈善団体の10団体中3団体（30％）が、過去12か月間にサイバーセキュリティ侵害または攻撃を受けたと報告している。 サイバーセキュリティ侵害に関する調査 2025これは英国で行われた調査だが、その内容は他の地域にも当てはまる。ほとんどの従業員は、名前を明かせない情報を保護することはできず、「このスプレッドシートは社内用か機密用か？」という疑問は、攻撃を受けるずっと前から生じている。

この記事では、多くの組織で使用されている4つのデータ分類レベル（公開、内部、機密、制限付き）を紹介します。各レベルには5つの例と取り扱いルールが記載されています。さらに、これらが2つの正式なスキームとどのように関連しているかを示し、慣例と標準の違いを理解できるようにします。

データ分類とは

データ分類とは、情報をどのように扱うべきかを人々に指示するラベルのことです。このラベルは文書、ファイル、またはデータセットに付与され、誰がその情報を見ることができるか、どのように送信できるか、どのように保存できるかといったルールを示します。

すべての組織に義務付けられている単一のレベル一覧はありません。以下の4つは、ポリシーを設定する一般的な方法であり、NISTや政府機関によって定義された標準ではありません。独自のポリシーでは、3レベル、5レベル、または異なる名称を使用することができ、どのラベルが適切かはデータ所有者が決定します。例は一般的なものなので、研修を行う際には独自の文書に置き換えてください。

第1ラウンド：公開（5例）

公開情報は誰でも閲覧できるものです。組織外で共有しても何ら問題はありません。

処理ルール: 共有に制限はないが、公開するのは所有者のみであり、情報の正確性は維持される。

1. 発表されたプレスリリース。
2. 求人広告。
3. 製品パンフレット。
4. 一般市民 blog 役職。
5. ウェブサイトに掲載されている価格です。

私たちのおすすめ：求人広告。 人事部が作成した文書だからという理由で、機密情報として扱われることが多いが、実際には見知らぬ人が読むことを想定して書かれたものなので、公開情報である。

第2ラウンド：内部（5つの例）

内部情報は、組織で働く人々のための情報です。秘密情報ではありませんが、部外者には公開されません。

処理ルール: 従業員のみが閲覧可能で、社内システム内に保管され、オーナーの許可なく外部に共有されることはありません。

1. 職員名簿。
2. 社内報。
3. 会議メモ。
4. 政策文書。
5. プロジェクト計画書。

私たちのおすすめ：会議議事録 一見無害そうに見えますが、顧客名、価格、人物名などが記載されていることがよくあります。仕入先に送付する前に、内容を確認してください。

第3ラウンド：機密事項（5つの例）

機密情報が不適切な人物の手に渡ると、顧客の喪失、法的責任、交渉における立場の弱体化など、深刻な損害を引き起こす可能性がある。

処理ルール: 必要最小限の情報のみを対象とし、送信時には暗号化し、承認されたツールを通じて共有する。個人のメールアドレスは使用しない。

1. 顧客リスト。
2. 署名済みの契約書。
3. 財務予測。
4. 業績評価。
5. 仕入先価格。

私たちのおすすめ：顧客リスト。 エクスポートもメールへの貼り付けも簡単です。たった一度のミスで、競合他社にあなたの顧客リスト全体を渡してしまうことになるかもしれません。

第4ラウンド：制限付き（5例）

制限付きは最も厳格なレベルです。情報漏洩は組織または個人に深刻な損害を与える可能性があるため、アクセスは指定された人物に限定されます。

処理ルール: 指定された人物のみにアクセスを許可し、最も厳格なアクセス制御を行い、アクセスログを記録する。

1. パスワードと鍵。
2. 支払いカード情報。
3. 健康記録。
4. 未公表の財務結果。
5. セキュリティインシデントの詳細。

私たちのおすすめ：共有ドキュメント内の認証情報。 ほとんどの人は、自分のチームでもこのような間違いに気づいているでしょう。共有シートにパスワードを設定すると、制限付きデータが内部データであるかのように保存されてしまいます。

各レベルが正式な制度にどのように対応しているか

4段階の区分は慣例的なものであり、正式な分類体系でこれらと完全に一致するものはありません。表は最も近い対応関係を示しています。この対応関係はあくまで近似値としてお考えください。

FIPS199 4つのレベルを定義するものではありません。機密性、完全性、可用性の喪失がどれだけの損害をもたらすかに基づいて、連邦政府の情報および情報システムに対する潜在的な影響の3つのレベル（低、中、高）を定義します（NIST FIPS 199軽微な有害作用は低度、深刻な有害作用は中程度、重篤または壊滅的な有害作用は高度と分類されます。

その 英国政府のセキュリティ分類ポリシー 3 つの階層を使用します: OFFICIAL、SECRET、TOP SECRET。GOV.UK のページは 2024 年 8 月 5 日に最終更新されました。OFFICIAL はほとんどの政府情報をカバーし、「-SENSITIVE」は OFFICIAL 情報に追加されるマークで、漏洩するとより大きな損害を引き起こす可能性があります。ポリシーでは、これは法定制度ではないとされています (GOV.UK：政府セキュリティ分類).

米国国立公文書館は、管理された非機密情報（CUI）の登録簿も保管している。これは、重要インフラ、防衛、金融などの主題ごとにグループ化されたカテゴリのリストであり、レベルの階層ではない（NARA CUIレジストリ組織が米国政府の情報を取り扱う場合は、契約書を読んで、どのカテゴリーが適用されるかを確認してください。

ラベル表示と取り扱い

ラベルは、人々が同じように適用してこそ効果を発揮する。一貫性を保つための4つの習慣。

1. 作成時にラベルを付ける。 ファイルの内容は著者が一番よく知っているので、保存時にその旨を明記してもらうように依頼しましょう。
2. 迷った場合は、より高いレベルを使用してください。 ファイルを機密扱いにするには多少の時間がかかります。しかし、機密データを社内データとして扱うと、顧客に損失を与える可能性があります。
3. 所有者の許可なくダウングレードしてはいけません。 ポリシーに従ってラベルを下げることができるのは、データ所有者のみです。
4. 感度が変化した場合は、再分類を行う。 予測結果は公表前は機密情報であり、公表後は公開される可能性があります。

これらの習慣は重要です。なぜなら、情報漏洩はよくあることだからです。上記の調査では、英国企業の43%が過去1年間に情報漏洩を報告しており、ラベルのないファイルは誰も保護すべきだと認識していないファイルです。攻撃の人的側面については、次の記事をご覧ください。 ソーシャルエンジニアリングの例.

分類クイズを開催する方法 AhaSlides

20分間のセッションで4つのレベルすべてを教えることができます。参加者の反応があるので、ポリシーのPDFを読むよりもルールが記憶に残りやすくなります。上記の例を参考に、各スライドを作成してください。

1. 答えを選んでください: 「この文書はどのレベルですか？」各ラウンドの例を示し、リーダーボードを追加し、正しいレベルに応じてポイントを付与してください。
2. ワードクラウド： 「あなたが扱う中で最も機密性の高いものは何ですか？」という質問への回答から、どのチームが日常的に機密データや制限付きデータを扱っているかが分かります。
3. 評価尺度: 「ファイルのラベル付けにどれくらい自信がありますか？」1～5の段階で評価してもらい、評価の低い人にはフォローアップを行いましょう。
4. 自由回答、匿名： 「警備チームにどんな質問をしたいですか？」人は普段は口に出さないようなことを尋ねるものです。

実行方法をもっと知りたいですか？ サイバーセキュリティ意識向上トレーニング, ITセキュリティとフィッシングの現状チェック Slack (NAIST) と AIに関するドキュメント作成とプライバシーに関するトレーニングデータ分類と処理のコーステンプレートには、すぐに使えるスライドが用意されています。

よくある質問

データ分類の4つのレベルとは何ですか？

公開、内部、機密、制限付きという区分が最も一般的ですが、各組織は独自の区分を設定しています。公開は誰とでも共有でき、内部は組織内にとどまり、機密は知る必要のある人だけが閲覧でき、制限付きは指定された人だけが閲覧できます。

データ分類レベルの標準的なセットはありますか？

いいえ、統一された基準はありません。FIPS 199では、米国連邦政府システム向けに3つの影響レベル（低、中、高）を定義しており、英国政府は独自の3つの分類（公式、極秘、最高機密）を使用しています。民間組織は独自の分類を採用しており、4段階が一般的なパターンです。

機密データの例としてはどのようなものがありますか？

顧客リスト、契約書、財務予測、業績評価。仕入先価格もここに含まれます。これらはすべて、不適切な人物の手に渡れば深刻な損害をもたらす可能性があるため、必要最小限の範囲でのみ共有されます。

機密データと制限データの違いは何ですか？

制限付きは最も厳格なレベルで、厳重な管理権限を持つ特定の人物のみがアクセスできます。機密データは、業務上必要とするすべての人と共有されます。パスワードやクレジットカード情報などの制限付きデータは、アクセスできる人がはるかに少なく、アクセスログが記録されます。

データの分類方法は誰が決定するのか？

データ所有者は、組織の方針に従ってラベルを付与します。通常、ラベルは作成者が最初に付与し、所有者がそれを確認または変更します。職員はラベルを自らダウングレードしてはなりません。

どこから始めれば

1つのチームを選び、そのチームで最も頻繁に使用される10個のファイルに4つのレベルを割り当て、クイズを実行して意見の相違点を確認します。これらの相違点から、ポリシーに必要な事例が明らかになります。