Keturios iš dešimties JK įmonių (43 proc.) ir trys iš dešimties labdaros organizacijų (30 proc.) pranešė apie kibernetinio saugumo pažeidimą ar ataką per pastaruosius 12 mėnesių, rodo JK vyriausybės duomenys. 2025 m. kibernetinio saugumo pažeidimų tyrimasTai JK atlikta apklausa, bet ši mintis tinka ir kitur. Dauguma darbuotojų negali apsaugoti informacijos, kurios negali įvardyti, o klausimas „ar ši skaičiuoklė yra vidinė, ar konfidenciali?“ iškyla gerokai prieš tai, kai kas nors užpuolamas.
Šiame įraše pateikiami 4 duomenų klasifikavimo lygiai, kuriuos naudoja dauguma organizacijų: viešas, vidinis, konfidencialus ir riboto naudojimo. Kiekvienam iš jų pateikiami 5 pavyzdžiai ir tvarkymo taisyklė. Tada parodyta, kaip jie susiję su dviem oficialiomis schemomis, kad žinotumėte, kas yra konvencija, o kas – standartas.
Kas yra duomenų klasifikacija
Duomenų klasifikavimas yra žymė, nurodanti žmonėms, kaip elgtis su informacija. Žymė yra ant dokumento, failo ar duomenų rinkinio ir nurodo taisyklę: kas gali ją matyti, kaip ji gali būti siunčiama ir kaip ji saugoma.
Kiekvienai organizacijai nereikia vieno lygių sąrašo. Žemiau pateikti 4 lygiai yra įprastas būdas nustatyti politiką, o ne NIST ar kurios nors vyriausybės apibrėžtas standartas. Jūsų pačių politikoje gali būti naudojami 3, 5 lygiai arba skirtingi pavadinimai, o duomenų savininkas nusprendžia, kuris žymėjimas tinka. Pateikti pavyzdžiai yra bendro pobūdžio, todėl mokydami juos, keiskitės savo dokumentuose.
1 etapas: Viešas (5 pavyzdžiai)
Vieša informacija skirta matyti visiems. Ja dalinimasis už organizacijos ribų nekenkia.
Tvarkymo taisyklė: nėra bendrinimo apribojimų, tačiau informaciją skelbia tik savininkas, ir ji išlieka tiksli.
- Paskelbtas pranešimas spaudai.
- Darbo skelbimas.
- Produkto brošiūra.
- Visuomenė blog paštu.
- Svetainėje paskelbtos kainos.
Mūsų pasirinkimas: darbo skelbimas. Žmonės dažnai tai laiko slapta informacija, nes ją pateikė personalo skyrius. Ji buvo parašyta nepažįstamiems žmonėms, todėl yra vieša.
2 etapas: Vidinis (5 pavyzdžiai)
Vidinė informacija skirta organizacijoje dirbantiems žmonėms. Ji nėra slapta, bet ji nėra skirta pašaliniams asmenims.
Tvarkymo taisyklė: tik darbuotojams, saugomi įmonės sistemose ir neperduodami išoriniams vartotojams be savininko leidimo.
- Personalo katalogas.
- Vidinis naujienlaiškis.
- Susitikimo užrašai.
- Politikos dokumentas.
- Projekto planas.
Mūsų pasirinkimas: susitikimų užrašai. Jie atrodo nekenksmingi, tačiau juose dažnai įvardijami klientai, kainos ar žmonės. Prieš siųsdami juos tiekėjui, patikrinkite, kas juose yra.
3 etapas: Konfidencialu (5 pavyzdžiai)
Konfidenciali informacija padarytų realią žalą, jei pasiektų netinkamus asmenis, pavyzdžiui, prarastų klientų, atsirastų teisinis pavojus arba susilpnėtų pozicija derybose.
Tvarkymo taisyklė: tik tiems, kuriems reikia žinoti, užšifruojami siunčiant ir bendrinami naudojant patvirtintas priemones, o ne asmeninius el. laiškus.
- Klientų sąrašas.
- Pasirašyta sutartis.
- Finansinė prognozė.
- Veiklos apžvalga.
- Tiekėjų kainodara.
Mūsų pasirinkimas: klientų sąrašas. Jį lengva eksportuoti ir lengva įklijuoti į el. laišką. Vienas čekis konkurentui suteikia visą jūsų verslo knygą.
4 raundas: Apribotas (5 pavyzdžiai)
Apribotas yra griežčiausias lygis. Nutekėjimas gali padaryti didelę žalą organizacijai ar asmenims, todėl prieiga suteikiama tik įvardytiems asmenims.
Tvarkymo taisyklė: tik įvardyti asmenys, griežčiausios kontrolės priemonės ir registruojama prieiga.
- Slaptažodžiai ir raktai.
- Mokėjimo kortelės duomenys.
- Sveikatos įrašai.
- Neskelbti finansiniai rezultatai.
- Saugumo incidento detalės.
Mūsų pasirinkimas: įgaliojimai bendrame dokumente. Dauguma žmonių atpažįsta šią klaidą iš savo komandos patirties. Bendrinamo lapo slaptažodis yra riboto naudojimo duomenys, saugomi taip, lyg jie būtų vidiniai.
Kaip lygiai atitinka oficialias schemas
4 lygiai yra konvencija, todėl nė viena iš formalių schemų jų neatitinka viena prie kitos. Lentelėje parodytas artimiausias atitikmuo. Atvaizdavimą traktuokite kaip apytikslį.
| Įprasti 4 lygiai | NIST FIPS 199 (JAV federalinės sistemos) | JK vyriausybės saugumo klasifikacijos |
|---|---|---|
| Visuomenės | Konfidencialumas netaikomas, maždaug | Netaikoma, nes JK sistema klasifikuoja vyriausybės informaciją |
| Vidaus | Mažas poveikis, maždaug | OFICIALUS, maždaug |
| konfidencialus | Vidutinis poveikis, maždaug | OFICIALUS su žyma -SENSITIVE, maždaug |
| Ribota | Didelis poveikis, maždaug | SLAPTA ir VISIŠKAI SLAPTA, maždaug |
FIPS 199 neapibrėžia keturių lygių. Jis apibrėžia tris galimo poveikio federalinei informacijai ir informacinėms sistemoms lygius (žemą, vidutinį ir didelį), remdamasis tuo, kiek žalos padarytų konfidencialumo, vientisumo ar prieinamumo praradimas (NIST FIPS 199). Ribotas neigiamas poveikis yra mažas, sunkus – vidutinis, o sunkus arba katastrofiškas – didelis.
Geriausios JK vyriausybės saugumo klasifikavimo politika naudoja tris lygius: OFICIALUS, SLAPTAS ir VISIŠKAI SLAPTAS. GOV.UK puslapis paskutinį kartą atnaujintas 2024 m. rugpjūčio 5 d. OFICIALUS apima didžiąją dalį vyriausybės informacijos, o „-SENSITIVE“ yra papildomas žymėjimas OFICIALIAI informacijai, kurios atskleidimas galėtų padaryti daugiau žalos. Politikoje teigiama, kad tai nėra įstatyminė schema (GOV.UK: Vyriausybės saugumo klasifikacijos).
JAV nacionalinis archyvas taip pat tvarko kontroliuojamos neįslaptintos informacijos (KĮI) registrą. Tai kategorijų sąrašas, sugrupuotas pagal temas, pvz., ypatingos svarbos infrastruktūra, gynyba ir finansai, o ne lygių kopėčios (NARA CUI registras). Jei jūsų organizacija tvarko JAV vyriausybės informaciją, perskaitykite savo sutartį, kad sužinotumėte, kurios kategorijos taikomos.
Ženklinimas ir tvarkymas
Etiketė padeda tik tada, jei žmonės ją taiko vienodai. Keturi įpročiai užtikrina jos nuoseklumą.
- Etiketė kūrimo metu. Autorius geriausiai žino, kas yra faile, todėl paprašykite jo tai pažymėti, kai jį išsaugos.
- Jei abejojate, naudokite aukštesnį lygį. Failo tvarkymas kaip konfidencialaus užima šiek tiek laiko. Konfidencialių duomenų tvarkymas kaip vidinių gali brangiai kainuoti klientui.
- Niekada nemažinkite kategorijos be savininko. Tik duomenų savininkas, vadovaudamasis politika, gali sumažinti žymės lygį.
- Perklasifikuokite, kai pasikeičia jautrumas. Prognozė yra konfidenciali iki rezultatų paskelbimo ir gali būti vieša po to.
Šie įpročiai yra svarbūs, nes pažeidimai yra dažni. Aukščiau atlikta apklausa parodė, kad 43 % JK įmonių pranešė apie vieną iš jų per pastaruosius metus, o failas be etiketės yra failas, kurio niekas nežinojo, kad reikia apsaugoti. Apie žmogiškąją atakų pusę žr. mūsų įrašą apie socialinės inžinerijos pavyzdžiai.
Būdai surengti klasifikavimo viktoriną su AhaSlides
Galite per vieną 20 minučių trukmės užsiėmimą išmokyti visus 4 lygius. Atsakymus pateikia auditorija, todėl taisyklės laikosi geriau nei iš PDF dokumento apie politiką. Kiekvieną skaidrę sukurkite iš aukščiau pateiktų pavyzdžių.
- Pasirinkite atsakymą: „Kokio lygio yra šis dokumentas?“ Pateikite pavyzdį iš kiekvieno turo, pridėkite lyderių lentelę ir paskirkite taškus už teisingą lygį.
- Žodžių debesis: „Koks jautriausias dalykas, su kuriuo tvarkote?“ Atsakymai rodo, kurios jūsų komandos kasdien dirba su konfidencialiais arba riboto naudojimo duomenimis.
- Įvertinimo skalė: „Kiek užtikrintai pažymite failą?“ Įvertinkite nuo 1 iki 5, tada susisiekite su tais, kurie įvertino prastai.
- Atviras, anonimiškas: „Kokį klausimą norėtumėte užduoti apsaugos komandai?“ Žmonės klausia dalykų, kurių nepasakytų garsiai.
Ieškote daugiau būdų, kaip tai paleisti? Žr. kibernetinio saugumo suvokimo mokymai, IT saugumo ir sukčiavimo apsimetant impulsiniai patikrinimai Slack bei Dirbtinio intelekto dokumentacija ir privatumo mokymaiDuomenų klasifikavimo ir tvarkymo kurso šablonas suteikia jums skaidres, kurias galite pritaikyti.
Dažnai užduodami klausimai
Kokie yra 4 duomenų klasifikavimo lygiai?
Dažniausiai naudojamos schemos: „Vieša“, „Vidinė“, „Konfidenciali“ ir „Apribota“, nors kiekviena organizacija nustato savo. Vieša informacija gali būti bendrinama su bet kuo, vidinė lieka organizacijos viduje, konfidenciali – tai būtina žinoti, o apribota – tik įvardytiems asmenims.
Ar yra standartinis duomenų klasifikavimo lygių rinkinys?
Ne, nėra vieno rinkinio. FIPS 199 apibrėžia tris poveikio lygius (žemą, vidutinį ir aukštą) JAV federalinėms sistemoms, o JK vyriausybė naudoja savo tris klasifikacijas: OFICIALUS, SLAPTAS ir VISIŠKAI SLAPTAS. Privačios organizacijos pasirenka savo, o 4 lygiai yra įprastas modelis.
Kokie yra konfidencialių duomenų pavyzdžiai?
Klientų sąrašai, sutartys, finansinės prognozės ir veiklos apžvalgos. Tiekėjų kainodara taip pat čia pat. Visa tai padarytų realią žalą, jei pasiektų netinkamus asmenis, todėl jais dalijamasi tik tiems, kuriems būtina žinoti.
Kuo skiriasi konfidencialūs ir riboto naudojimo duomenys?
Apribotas yra griežčiausias lygis, prieinamas tik įvardytiems asmenims su griežčiausia kontrole. Konfidencialiais duomenimis dalijamasi su visais, kuriems jų reikia darbui. Apriboti duomenys, pvz., slaptažodžiai ar mokėjimo kortelių duomenys, prieinami daug mažesniam skaičiui žmonių, o prieiga prie jų yra registruojama.
Kas nusprendžia, kaip klasifikuojami duomenys?
Duomenų savininkas, vadovaudamasis organizacijos politika. Paprastai autorius pirmiausia pritaiko žymą, o savininkas ją patvirtina arba pakeičia. Darbuotojai neturėtų patys sumažinti žymos lygio.
Kur pradėti
Pasirinkite vieną komandą, pažymėkite 10 dažniausiai pasitaikančių bylų 4 lygiais ir atlikite testą, kad pamatytumėte, dėl kurių žmonės nesutaria. Šie nesutarimai parodys, kokių pavyzdžių reikia jūsų politikai.
