Datu klasifikācijas līmeņi: 4 līmeņi ar piemēriem

Saskaņā ar Apvienotās Karalistes valdības datiem, četri no desmit Apvienotās Karalistes uzņēmumiem (43 %) un trīs no desmit labdarības organizācijām (30 %) ziņoja par kiberdrošības pārkāpumu vai uzbrukumu pēdējo 12 mēnešu laikā. Kiberdrošības pārkāpumu apsekojums 2025. gadāTā ir Apvienotās Karalistes aptauja, taču šī doma attiecas arī uz citām vietām. Lielākā daļa darbinieku nevar aizsargāt informāciju, kurai viņi nevar dot vārdu, un jautājums "vai šī izklājlapa ir iekšēja vai konfidenciāla?" rodas ilgi pirms kādam tiek uzbrukts.

Šajā ierakstā ir sniegti 4 datu klasifikācijas līmeņi, ko izmanto lielākā daļa organizāciju: publiskais, iekšējais, konfidenciālais un ierobežotais. Katram no tiem ir 5 piemēri un apstrādes noteikums. Pēc tam tajā ir parādīts, kā tie ir saistīti ar divām formālām shēmām, lai jūs zinātu, kas ir konvencija un kas ir standarts.

Kas ir datu klasifikācija

Datu klasifikācija ir etiķete, kas norāda cilvēkiem, kā rīkoties ar informācijas vienību. Etiķete atrodas uz dokumenta, faila vai datu kopas, un tā norāda uz noteikumu: kas to var redzēt, kā to var nosūtīt un kā tas tiek glabāts.

Nav nepieciešams vienots līmeņu saraksts katrai organizācijai. Tālāk norādītie 4 līmeņi ir izplatīts politikas izveides veids, nevis NIST vai kādas valdības definēts standarts. Jūsu pašu politikā var tikt izmantoti 3 līmeņi, 5 līmeņi vai dažādi nosaukumi, un datu īpašnieks izlemj, kurš apzīmējums ir piemērots. Piemēri ir vispārīgi, tāpēc, mācot tos, mainiet tos savos dokumentos.

1. kārta: Publiska (5 piemēri)

Publiska informācija ir paredzēta, lai to varētu redzēt ikviens. Tās kopīgošana ārpus organizācijas nerada nekādu kaitējumu.

Apstrādes noteikums: nav koplietošanas ierobežojumu, bet to publicē tikai īpašnieks, un tā paliek precīza.

1. Publicēts paziņojums presei.
2. Darba sludinājums.
3. Produkta brošūra.
4. Sabiedrība blog pasts
5. Publicētās cenas tīmekļa vietnē.

Mūsu izvēle: darba sludinājums. Cilvēki to bieži uzskata par sensitīvu, jo tas nāk no personāla daļas. Tas bija rakstīts, lai to lasītu svešinieki, tāpēc tas ir publiski pieejams.

2. kārta: Iekšējā (5 piemēri)

Iekšējā informācija ir paredzēta cilvēkiem, kas strādā organizācijā. Tā nav slepena, bet tā nav pieejama ārpuses personām.

Apstrādes noteikums: tikai darbiniekiem, tiek glabāti uzņēmuma sistēmās un netiek kopīgoti ārpus tām bez īpašnieka atļaujas.

1. Personāla direktorijs.
2. Iekšējais informatīvais biļetens.
3. Sanāksmes piezīmes.
4. Politikas dokuments.
5. Projekta plāns.

Mūsu izvēle: sapulces piezīmes. Tie izskatās nekaitīgi, tomēr tajos bieži tiek minēti klientu, cenu vai cilvēku vārdi. Pirms nosūtāt tos piegādātājam, pārbaudiet to saturu.

3. kārta: Konfidenciāli (5 piemēri)

Konfidenciāla informācija nodarītu reālu kaitējumu, ja tā nonāktu pie nepareizajiem cilvēkiem, piemēram, zaudētu klientus, izraisītu juridisku atkarību vai vājāku pozīciju sarunās.

Apstrādes noteikums: tikai tiem, kam jāzina, šifrēti nosūtīšanas laikā un kopīgoti, izmantojot apstiprinātus rīkus, nevis personīgu e-pastu.

1. Klientu saraksts.
2. Parakstīts līgums.
3. Finanšu prognoze.
4. Veiktspējas pārskats.
5. Piegādātāju cenu noteikšana.

Mūsu izvēle: klientu saraksts. To ir viegli eksportēt un viegli ielīmēt e-pastā. Viena kvīts sniedz konkurentam visu jūsu biznesa portfeli.

4. kārta: Ierobežots (5 piemēri)

Ierobežotā piekļuve ir visstingrākā. Noplūde varētu nodarīt nopietnu kaitējumu organizācijai vai privātpersonām, tāpēc piekļuve ir ierobežota tikai konkrētām personām.

Apstrādes noteikums: tikai vārdā nosauktas personas, visspēcīgākā kontrole un reģistrēta piekļuve.

1. Paroles un atslēgas.
2. Maksājumu kartes dati.
3. Veselības ieraksti.
4. Nepublicēti finanšu rezultāti.
5. Drošības incidenta informācija.

Mūsu izvēle: akreditācijas dati koplietojamā dokumentā. Lielākā daļa cilvēku atpazīst šo kļūdu savā komandā. Parole koplietotajā lapā ir ierobežotas piekļuves dati, kas tiek glabāti tā, it kā tie būtu iekšējie dati.

Kā līmeņi atbilst formālām shēmām

4 līmeņi ir konvencija, tāpēc neviena no formālajām shēmām neatbilst tiem individuāli. Tabulā parādīta tuvākā atbilstība. Uztveriet kartējumu kā aptuvenu.

FIPS 199 nedefinē četrus līmeņus. Tajā ir definēti trīs potenciālās ietekmes līmeņi (zema, vidēja un augsta) federālajai informācijai un informācijas sistēmām, pamatojoties uz to, cik lielu kaitējumu radītu konfidencialitātes, integritātes vai pieejamības zudums (NIST FIPS 199). Ierobežota nelabvēlīga ietekme ir zema, nopietna – mērena, bet smaga vai katastrofāla – augsta.

The Apvienotās Karalistes valdības drošības klasifikācijas politika izmanto trīs līmeņus: OFICIĀLĀ, SLEPENI un ĪPAŠI SLEPENI. GOV.UK lapa pēdējo reizi tika atjaunināta 2024. gada 5. augustā. OFICIĀLĀ aptver lielāko daļu valdības informācijas, un "-SENSITIVE" ir papildu atzīme OFICIĀLAI informācijai, kuras kompromitēšana varētu radīt lielāku kaitējumu. Politikā teikts, ka tā nav likumā noteikta shēma (GOV.UK: Valdības drošības klasifikācijas).

ASV Nacionālais arhīvs uztur arī kontrolētas neklasificētas informācijas (CUI) reģistru. Tas ir kategoriju saraksts, kas sagrupēts pēc tēmas, piemēram, kritiskā infrastruktūra, aizsardzība un finanšu joma, nevis līmeņu kāpnes (NARA CUI reģistrs). Ja jūsu organizācija apstrādā ASV valdības informāciju, izlasiet savu līgumu, lai uzzinātu, kuras kategorijas ir piemērojamas.

Marķēšana un apstrāde

Etiķete palīdz tikai tad, ja cilvēki to lieto vienādi. Četri ieradumi nodrošina tās konsekvenci.

1. Etiķete izveides laikā. Autors vislabāk zina, kas ir failā, tāpēc palūdziet viņam to atzīmēt, saglabājot.
2. Ja neesat pārliecināts, izmantojiet augstāko līmeni. Faila apstrāde kā konfidenciāla prasa nedaudz laika. Konfidenciālu datu apstrāde kā iekšējai lietošanai var radīt klientam izmaksas.
3. Nekad nepazeminiet līmeni bez īpašnieka. Tikai datu īpašnieks, ievērojot politiku, var pazemināt etiķetes līmeni.
4. Pārklasificēt, kad mainās jutība. Prognoze ir konfidenciāla pirms rezultātu publicēšanas un var būt publiska pēc tās publicēšanas.

Šie paradumi ir svarīgi, jo pārkāpumi ir bieži sastopami. Iepriekš minētajā aptaujā tika atklāts, ka 43% Apvienotās Karalistes uzņēmumu pēdējā gada laikā ir ziņojuši par vienu šādu pārkāpumu, un fails bez etiķetes ir fails, kuru neviens nezināja aizsargāt. Lai uzzinātu par uzbrukumu cilvēcisko pusi, skatiet mūsu ierakstu par sociālās inženierijas piemēri.

Veidi, kā rīkot klasifikācijas viktorīnu ar AhaSlides

Jūs varat iemācīt visus 4 līmeņus vienā 20 minūšu nodarbībā. Telpa atbild, tāpēc noteikumi tiek ievēroti labāk nekā no politikas PDF faila. Izveidojiet katru slaidu no iepriekš minētajiem piemēriem.

1. Izvēlieties atbildi: "Kura līmeņa ir šis dokuments?" Parādiet piemēru no katras kārtas, pievienojiet līderu sarakstu un piešķiriet punktus par pareizo līmeni.
2. Vārdu mākonis: "Kāda ir visjutīgākā lieta, ar ko jūs strādājat?" Atbildes parāda, kura no jūsu komandām katru dienu strādā ar konfidenciāliem vai ierobežotas piekļuves datiem.
3. Vērtēšanas skala: "Cik pārliecināts jūs esat par faila marķēšanu?" Novērtējiet skalā no 1 līdz 5 un pēc tam sazinieties ar tiem, kuri novērtējuši zemu vērtējumu.
4. Atvērts, anonīms: "Kādu jautājumu jūs vēlētos uzdot apsardzes komandai?" Cilvēki uzdos lietas, ko viņi neteiktu skaļi.

Meklējat vēl veidus, kā to palaist? Skatiet kiberdrošības izpratnes apmācība, IT drošības un pikšķerēšanas impulsa pārbaudes Slack un Mākslīgā intelekta dokumentācija un apmācība par privātumuDatu klasifikācijas un apstrādes kursa veidne nodrošina slaidus, kas ir gatavi pielāgošanai.

Biežāk uzdotie jautājumi

Kādi ir 4 datu klasifikācijas līmeņi?

Visizplatītākā shēma ir “Publiska”, “Iekšēja”, “Konfidenciāla” un “Ierobežota”, lai gan katra organizācija nosaka savu. Publisko informāciju var kopīgot ar jebkuru, iekšējo informāciju var kopīgot organizācijas ietvaros, konfidenciālo informāciju ir jāzina tikai tiem, kam tā jāzina, bet ierobežoto informāciju var izmantot tikai konkrētas personas.

Vai pastāv standarta datu klasifikācijas līmeņu kopums?

Nē, nav viena kopuma. FIPS 199 definē trīs ietekmes līmeņus (zemu, vidēju un augstu) ASV federālajām sistēmām, un Apvienotās Karalistes valdība izmanto savas trīs klasifikācijas: OFICIĀLĀ, SLEPENA un ĪPAŠI SLEPENA. Privātās organizācijas izvēlas savu, un 4 līmeņi ir izplatīta shēma.

Kādi ir konfidenciālu datu piemēri?

Klientu saraksti, līgumi, finanšu prognozes un snieguma pārskati. Šeit ietilpst arī piegādātāju cenas. Visi šie dati radītu reālu kaitējumu, ja tie nonāktu pie nepareizajiem cilvēkiem, tāpēc tie tiek kopīgoti tikai tiem, kam tas ir jāzina.

Kāda ir atšķirība starp konfidenciāliem un ierobežotas piekļuves datiem?

Ierobežotā piekļuve ir visstingrākā pakāpe, kas pieejama tikai noteiktām personām ar visstingrāko kontroli. Konfidenciāli dati tiek kopīgoti ar ikvienu, kam tie nepieciešami darba pienākumu veikšanai. Ierobežotas piekļuves dati, piemēram, paroles vai maksājumu karšu dati, ir pieejami daudz mazākam cilvēku skaitam, un piekļuve tiem tiek reģistrēta.

Kas izlemj, kā dati tiek klasificēti?

Datu īpašnieks, ievērojot organizācijas politiku. Autors parasti vispirms pievieno etiķeti, un īpašnieks to apstiprina vai maina. Darbiniekiem pašiem nevajadzētu pazemināt etiķetes statusu.

Kur sākt

Izvēlieties vienu komandu, apzīmējiet tās 10 visbiežāk sastopamos failus ar 4 līmeņiem un veiciet testu, lai noskaidrotu, par kuriem jautājumiem cilvēki nepiekrīt. Šīs domstarpības parādīs, kādi piemēri ir nepieciešami jūsu politikai.