Деректерді жіктеу деңгейлері: мысалдармен 4 деңгей

Ұлыбритания үкіметінің мәліметтері бойынша, соңғы 12 айда Ұлыбританиядағы он бизнестің төртеуі (43%) және он қайырымдылық ұйымының үшеуі (30%) киберқауіпсіздіктің бұзылуы немесе шабуылы туралы хабарлады. Киберқауіпсіздік саласындағы бұзушылықтарға шолу 2025Бұл Ұлыбританияда жүргізілген сауалнама, бірақ бұл мәселе басқа жерлерде де қолданылады. Қызметкерлердің көпшілігі атай алмайтын ақпаратты қорғай алмайды, және «бұл электрондық кесте ішкі ме, әлде құпия ма?» деген сұрақ біреуге шабуыл жасалмас бұрын көп уақыт бұрын туындайды.

Бұл жазбада көптеген ұйымдар пайдаланатын деректерді жіктеудің 4 деңгейі берілген: Жалпыға ортақ, Ішкі, Құпия және Шектеулі. Әрқайсысында 5 мысал және өңдеу ережесі бар. Содан кейін олардың екі ресми схемамен қалай байланысты екендігі көрсетілген, сондықтан сіз конвенция мен стандарттың не екенін білесіз.

Деректердің жіктелуі дегеніміз не

Деректерді жіктеу - бұл адамдарға ақпарат бөлігін қалай өңдеу керектігін айтатын белгі. Белгі құжатта, файлда немесе деректер жиынында орналасқан және ережені көрсетеді: оны кім көруі мүмкін, қалай жіберуге болады және қалай сақталады.

Әрбір ұйымнан деңгейлердің бірыңғай тізімі талап етілмейді. Төмендегі 4 деңгей саясатты орнатудың кең таралған тәсілі болып табылады, NIST немесе кез келген үкімет анықтаған стандарт емес. Сіздің саясатыңыз 3 деңгейді, 5 деңгейді немесе әртүрлі атауларды пайдалануы мүмкін, ал деректер иесі қай белгі сәйкес келетінін шешеді. Мысалдар жалпылама, сондықтан оларды оқытқан кезде өз құжаттарыңызды ауыстырыңыз.

1-ші айналым: Көпшілікке арналған (5 мысал)

Жария ақпаратты кез келген адам көруі керек. Оны ұйымнан тыс жерде бөлісу ешқандай зиян келтірмейді.

Өңдеу ережесі: бөлісуге ешқандай шектеу жоқ, бірақ оны тек иесі ғана жариялайды және ол дәл болып қалады.

1. Жарияланған баспасөз хабарламасы.
2. Жұмысқа орналасу туралы хабарландыру.
3. Өнім туралы брошюра.
4. Қоғамдық blog пошта.
5. Веб-сайтта жарияланған бағалар.

Біздің таңдауымыз: жұмысқа орналасу туралы хабарландыру. Адамдар оны көбінесе сезімтал деп санайды, себебі ол HR-дан шыққан. Ол бейтаныс адамдар оқуы үшін жазылған, сондықтан ол көпшілікке қолжетімді.

2-ші раунд: Ішкі (5 мысал)

Ішкі ақпарат ұйымда жұмыс істейтін адамдарға арналған. Ол құпия емес, бірақ сырттан келгендерге де арналған емес.

Өңдеу ережесі: тек қызметкерлер үшін, компания жүйелерінің ішінде сақталады және иесінің рұқсатынсыз сыртта бөлісілмейді.

1. Қызметкерлер анықтамалығы.
2. Ішкі ақпараттық бюллетень.
3. Кездесу жазбалары.
4. Саясат құжаты.
5. Жоба жоспары.

Біздің таңдауымыз: кездесу жазбалары. Олар зиянсыз көрінеді, бірақ көбінесе тұтынушыларды, бағаларды немесе адамдарды атайды. Оларды жеткізушіге жібермес бұрын, олардың құрамында не бар екенін тексеріңіз.

3-ші раунд: Құпия (5 мысал)

Құпия ақпарат дұрыс емес адамдарға, мысалы, жоғалған тұтынушыларға, заңды тұлғалардың ықпалына немесе келіссөздердегі әлсіз позицияға жеткен жағдайда нақты зиян келтіруі мүмкін.

Өңдеу ережесі: тек білу қажет, жіберілген кезде шифрланады және жеке электрондық пошта арқылы емес, бекітілген құралдар арқылы бөлісіледі.

1. Тұтынушылар тізімі.
2. Қол қойылған келісімшарт.
3. Қаржылық болжам.
4. Өнімділікке шолу.
5. Жеткізушінің бағасы.

Біздің таңдауымыз: тұтынушылар тізімі. Оны экспорттау және электрондық поштаға қою оңай. Бір ғана әрекет бәсекелеске сіздің бүкіл бизнес кітабыңызды береді.

4-ші раунд: Шектеулі (5 мысал)

Шектеулі - ең қатаң деңгей. Ағып кету ұйымға немесе жеке тұлғаларға ауыр зиян келтіруі мүмкін, сондықтан оған тек аты-жөні аталған адамдар ғана кіре алады.

Өңдеу ережесі: тек аталған адамдар, ең күшті басқару элементтері және тіркелген кіру мүмкіндігі.

1. Құпия сөздер және кілттер.
2. Төлем картасының деректері.
3. Денсаулық сақтау жазбалары.
4. Жарияланбаған қаржылық нәтижелер.
5. Қауіпсіздік оқиғасының егжей-тегжейлері.

Біздің таңдауымыз: ортақ құжаттағы тіркелгі деректері. Көптеген адамдар бұл қатені өз командаларынан таниды. Ортақ парақтағы құпия сөз - бұл ішкі деректер сияқты сақталатын шектеулі деректер.

Деңгейлер формальды схемаларға қалай сәйкес келеді

4 деңгей шартты болып табылады, сондықтан ресми схемалардың ешқайсысы оларды бір-біріне сәйкес келмейді. Кестеде ең жақын сәйкестік көрсетілген. Картаны шамамен қарастырыңыз.

FIPS 199 төрт деңгейді анықтамайды. Ол құпиялылықтың, тұтастықтың немесе қолжетімділіктің жоғалуы қаншалықты зиян келтіретініне негізделген федералды ақпарат пен ақпараттық жүйелер үшін ықтимал әсердің үш деңгейін (төмен, орташа және жоғары) анықтайды (NIST FIPS 199). Шектеулі жағымсыз әсер төмен, ауыр әсері орташа, ал ауыр немесе апатты әсері жоғары.

The Ұлыбритания үкіметінің қауіпсіздік жіктемелері саясаты үш деңгейді пайдаланады: РЕСМИ, ҚҰПИЯ және АСА ҚҰПИЯ. GOV.UK беті соңғы рет 2024 жылдың 5 тамызында жаңартылды. РЕСМИ үкіметтік ақпараттың көпшілігін қамтиды, ал "-SENSITIVE" - бұл РЕСМИ ақпаратқа қосымша белгі, оның бұзылуы көбірек зиян келтіруі мүмкін. Саясатта бұл заңды схема емес делінген (GOV.UK: Мемлекеттік қауіпсіздік жіктемелері).

АҚШ Ұлттық мұрағаты сонымен қатар бақыланатын құпия емес ақпараттың (CUI) тізілімін жүргізеді. Бұл деңгейлер сатысы емес, маңызды инфрақұрылым, қорғаныс және қаржы сияқты тақырып бойынша топтастырылған санаттар тізімі (NARA CUI тізіліміЕгер сіздің ұйымыңыз АҚШ үкіметінің ақпаратын өңдейтін болса, қандай санаттар қолданылатынын келісімшартпен танысыңыз.

Белгілеу және өңдеу

Белгі тек адамдар оны бірдей қолданған жағдайда ғана көмектеседі. Төрт әдет оны тұрақты ұстайды.

1. Жасау кезіндегі белгі. Файлда не бар екенін автор жақсы біледі, сондықтан олардан файлды сақтаған кезде белгілеп қоюын сұраңыз.
2. Сенбесеңіз, жоғары деңгейді пайдаланыңыз. Файлды құпия ретінде өңдеу аз уақытты алады. Құпия деректерді ішкі ретінде өңдеу тұтынушыға қымбатқа түсуі мүмкін.
3. Иесінсіз ешқашан рейтингіңізді төмендетпеңіз. Тек деректер иесі ғана саясатты сақтай отырып, белгіні төмендете алады.
4. Сезімталдық өзгерген кезде қайта жіктеңіз. Болжам нәтижелер жарияланғанға дейін құпия болып табылады және кейіннен жария етілуі мүмкін.

Бұл әдеттер маңызды, себебі бұзушылықтар жиі кездеседі. Жоғарыдағы сауалнама Ұлыбритания бизнесінің 43%-ы өткен жылы осындай әдеттер туралы хабарлағанын және белгісіз файлды ешкім қорғауы керек емес файл екенін анықтады. Шабуылдардың адами жағын білу үшін біздің жазбамызды қараңыз. әлеуметтік инженерия мысалдары.

Жіктеу викторинасын өткізу жолдары AhaSlides

Сіз 4 деңгейді бір 20 минуттық сессияда үйрете аласыз. Бөлме жауап береді, сондықтан ережелер PDF саясатынан гөрі жақсырақ сақталады. Әрбір слайдты жоғарыдағы мысалдардан құрастырыңыз.

1. Жауапты таңдау: «Бұл құжат қай деңгей?» Әр раундтан мысал келтіріңіз, көшбасшылар тақтасын қосыңыз және дұрыс деңгейге ұпай беріңіз.
2. Сөз бұлты: «Сіздің ең сезімтал мәселеңіз қандай?» Жауаптар сіздің командаларыңыздың қайсысы күн сайын құпия немесе шектеулі деректермен жұмыс істейтінін көрсетеді.
3. Бағалау шкаласы: «Файлды белгілеуге қаншалықты сенімдісіз?» 1-ден 5-ке дейін бағалаңыз, содан кейін төмен баға алған адамдармен байланысыңыз.
4. Ашық, анонимді: «Қауіпсіздік тобына қандай сұрақ қойғыңыз келеді?» Адамдар дауыстап айтпайтын нәрселерді сұрайды.

Оны іске қосудың көбірек жолдарын іздеп жүрсіз бе? Қараңыз киберқауіпсіздік туралы ақпараттандыру тренингі, IT қауіпсіздігі және фишинг импульстік тексерулері Slack және Жасанды интеллект құжаттамасы және құпиялылық бойынша оқытуДеректерді жіктеу және өңдеу курсының үлгісі сізге бейімделуге дайын слайдтарды ұсынады.

Жиі Қойылатын Сұрақтар

Деректерді жіктеудің 4 деңгейі қандай?

«Ашық», «Ішкі», «Құпия» және «Шектеулі» схемалары ең көп таралған, дегенмен әр ұйым өзінше белгілейді. «Ашық» схемасын кез келген адаммен бөлісуге болады, «Ішкі» схемасы ұйым ішінде қалады, «Құпия» схемасын білу қажет, ал «Шектеулі» схемасы тек аталған адамдарға арналған.

Деректерді жіктеу деңгейлерінің стандартты жиынтығы бар ма?

Жоқ, бірыңғай жиынтық жоқ. FIPS 199 АҚШ федералды жүйелері үшін үш әсер деңгейін (төмен, орташа және жоғары) анықтайды, ал Ұлыбритания үкіметі өзінің үш жіктемесін пайдаланады: РЕСМИ, ҚҰПИЯ және АСА ҚҰПИЯ. Жеке ұйымдар өздерін таңдайды, ал 4 деңгей кең таралған үлгі болып табылады.

Құпия деректердің мысалдары қандай?

Тұтынушылар тізімдері, келісімшарттар, қаржылық болжамдар және өнімділікке шолулар. Жеткізушілердің бағалары да осында. Олардың барлығы дұрыс емес адамдарға жеткен жағдайда нақты зиян келтіруі мүмкін, сондықтан олар білу қажеттілігі негізінде бөлісіледі.

Құпия және шектеулі деректердің айырмашылығы неде?

«Шектеулі» - ең қатаң деңгей, ол ең күшті бақылауға ие адамдармен шектеледі. Құпия деректер жұмысы үшін қажет кез келген адаммен бөлісіледі. Құпия сөздер немесе төлем картасының деректері сияқты шектеулі деректер әлдеқайда аз адамдарға қолжетімді және оларға қол жеткізу тіркеледі.

Деректерді қалай жіктеуді кім шешеді?

Деректер иесі ұйымның саясатын ұстанады. Автор әдетте алдымен белгіні қолданады, ал иесі оны растайды немесе өзгертеді. Қызметкерлер белгінің деңгейін төмендетпеуі керек.

Неден бастау керек

Бір команданы таңдап, оның ең көп таралған 10 файлын 4 деңгеймен белгілеп, адамдардың қай жерде келіспейтінін білу үшін викторина өткізіңіз. Бұл келіспеушіліктер сіздің саясатыңызға қандай мысалдар қажет екенін көрсетеді.