Tahap pengelasan data: 4 tahap dengan contoh

Empat daripada sepuluh perniagaan UK (43%) dan tiga daripada sepuluh badan amal (30%) melaporkan pelanggaran atau serangan keselamatan siber dalam tempoh 12 bulan yang lalu, menurut kerajaan UK Tinjauan pelanggaran keselamatan siber 2025Itu adalah tinjauan UK, tetapi perkara ini terpakai di tempat lain. Kebanyakan kakitangan tidak dapat melindungi maklumat yang tidak dapat mereka sebutkan, dan persoalan "adakah hamparan ini Dalaman atau Sulit?" timbul lama sebelum sesiapa pun diserang.

Catatan ini memberi anda 4 tahap pengelasan data yang digunakan oleh kebanyakan organisasi: Awam, Dalaman, Sulit dan Terhad. Setiap satu mempunyai 5 contoh dan peraturan pengendalian. Kemudian ia menunjukkan bagaimana ia berkaitan dengan dua skema formal, jadi anda tahu apa itu konvensyen dan apa itu standard.

Apakah klasifikasi data

Pengelasan data ialah label yang memberitahu orang ramai cara mengendalikan sesuatu maklumat. Label tersebut terletak pada dokumen, fail atau set data, dan ia menunjukkan peraturan: siapa yang boleh melihatnya, bagaimana ia boleh dihantar dan bagaimana ia disimpan.

Tiada senarai tahap tunggal diperlukan untuk setiap organisasi. 4 di bawah adalah cara biasa untuk menetapkan dasar, bukan standard yang ditakrifkan oleh NIST atau mana-mana kerajaan. Dasar anda sendiri mungkin menggunakan 3 tahap, 5 tahap atau nama yang berbeza, dan pemilik data menentukan label yang sesuai. Contohnya adalah generik, jadi tukar dokumen anda sendiri apabila anda mengajarnya.

Pusingan 1: Awam (5 contoh)

Maklumat awam bertujuan untuk dilihat oleh sesiapa sahaja. Perkongsiannya di luar organisasi tidak akan mendatangkan mudarat.

Peraturan pengendalian: tiada sekatan ke atas perkongsian, tetapi hanya pemilik yang menerbitkannya, dan ia kekal tepat.

1. Siaran akhbar yang diterbitkan.
2. Iklan kerja.
3. Brosur produk.
4. Orang awam blog jawatan.
5. Harga yang diterbitkan di laman web.

Pilihan kami: iklan pekerjaan. Orang ramai sering menganggapnya sensitif kerana ia datang daripada HR. Ia ditulis untuk dibaca oleh orang yang tidak dikenali, jadi ia adalah Umum.

Pusingan 2: Dalaman (5 contoh)

Maklumat dalaman adalah untuk orang yang bekerja untuk organisasi tersebut. Ia bukan rahsia, tetapi ia juga bukan untuk orang luar.

Peraturan pengendalian: pekerja sahaja, disimpan di dalam sistem syarikat dan tidak dikongsi di luar tanpa kebenaran pemilik.

1. Direktori kakitangan.
2. Surat berita dalaman.
3. Nota mesyuarat.
4. Dokumen dasar.
5. Pelan projek.

Pilihan kami: nota mesyuarat. Mereka kelihatan tidak berbahaya, namun mereka sering menyebut nama pelanggan, harga atau orang. Periksa apa yang ada di dalamnya sebelum anda menghantarnya kepada pembekal.

Pusingan 3: Sulit (5 contoh)

Maklumat sulit akan menyebabkan kerosakan sebenar jika sampai kepada orang yang salah, seperti kehilangan pelanggan, pendedahan undang-undang atau kedudukan yang lebih lemah dalam rundingan.

Peraturan pengendalian: perlu tahu sahaja, disulitkan apabila dihantar dan dikongsi melalui alat yang diluluskan, bukan e-mel peribadi.

1. Senarai pelanggan.
2. Kontrak yang telah ditandatangani.
3. Ramalan kewangan.
4. Satu tinjauan prestasi.
5. Penentuan harga pembekal.

Pilihan kami: senarai pelanggan. Ia mudah dieksport dan ditampal ke dalam e-mel. Sekali selip, keseluruhan buku perniagaan anda akan diserahkan kepada pesaing.

Pusingan 4: Terhad (5 contoh)

Terhad adalah peringkat yang paling ketat. Kebocoran boleh menyebabkan kemudaratan serius kepada organisasi atau individu, jadi akses adalah terhad kepada orang yang dinamakan.

Peraturan pengendalian: orang yang dinamakan sahaja, kawalan terkuat dan akses yang direkodkan.

1. Kata laluan dan kunci.
2. Data kad pembayaran.
3. Rekod kesihatan.
4. Keputusan kewangan yang belum dikeluarkan.
5. Butiran insiden keselamatan.

Pilihan kami: kelayakan dalam dokumen yang dikongsi. Kebanyakan orang menyedari kesilapan ini daripada pasukan mereka sendiri. Kata laluan pada helaian kongsi adalah Data terhad yang disimpan seolah-olah ia adalah Dalaman.

Bagaimana tahap tersebut dipetakan kepada skim formal

4 peringkat tersebut merupakan satu konvensyen, jadi tiada satu pun skema formal yang sepadan dengannya secara satu lawan satu. Jadual menunjukkan padanan yang paling hampir. Anggap pemetaan tersebut sebagai anggaran.

FIPS 199 tidak mentakrifkan empat tahap. Ia mentakrifkan tiga tahap potensi impak (rendah, sederhana dan tinggi) untuk sistem maklumat dan maklumat persekutuan, berdasarkan berapa banyak bahaya yang akan disebabkan oleh kehilangan kerahsiaan, integriti atau ketersediaan (NIST FIPS 199Kesan buruk yang terhad adalah rendah, kesan buruk yang serius adalah sederhana, dan kesan buruk yang teruk atau bencana adalah tinggi.

. Dasar Pengelasan Keselamatan Kerajaan UK menggunakan tiga peringkat: RASMI, RAHSIA dan RAHSIA BESAR. Halaman GOV.UK terakhir dikemas kini pada 5 Ogos 2024. RASMI merangkumi kebanyakan maklumat kerajaan, dan "-SENSITIF" ialah tanda tambahan pada maklumat RASMI yang komprominya boleh menyebabkan lebih banyak kerosakan. Dasar tersebut menyatakan ia bukan skim berkanun (GOV.UK: Klasifikasi Keselamatan Kerajaan).

Arkib Negara AS juga menyimpan daftar Maklumat Terkawal Tidak Terkelas (CUI). Ia merupakan senarai kategori yang dikumpulkan mengikut subjek, seperti infrastruktur kritikal, pertahanan dan kewangan, bukan tangga peringkat (Pendaftaran NARA CUI). Jika organisasi anda mengendalikan maklumat kerajaan AS, baca kontrak anda yang mana kategorinya terpakai.

Pelabelan dan pengendalian

Label hanya membantu jika orang ramai menggunakannya dengan cara yang sama. Empat tabiat memastikan ia konsisten.

1. Label semasa penciptaan. Penulis paling tahu apa yang ada dalam fail itu, jadi minta mereka menandanya apabila mereka menyimpannya.
2. Apabila tidak pasti, gunakan aras yang lebih tinggi. Melayan fail sebagai Sulit memerlukan sedikit masa. Melayan data Sulit sebagai Dalaman boleh menyebabkan pelanggan menanggung kos.
3. Jangan sesekali downgrade tanpa pemiliknya. Hanya pemilik data, yang mematuhi dasar tersebut, boleh menurunkan label.
4. Klasifikasi semula apabila sensitiviti berubah. Ramalan adalah Sulit sebelum keputusan diterbitkan dan mungkin Umum selepas itu.

Tabiat-tabiat ini penting kerana pelanggaran adalah perkara biasa. Tinjauan di atas mendapati 43% perniagaan UK melaporkan satu pada tahun lalu, dan fail tanpa label adalah fail yang tiada siapa tahu untuk dilindungi. Untuk bahagian manusia serangan, lihat siaran kami di contoh kejuruteraan sosial.

Cara-cara untuk menganjurkan kuiz pengelasan dengan AhaSlides

Anda boleh mengajar 4 tahap dalam satu sesi 20 minit. Jawapan bilik disediakan, jadi peraturannya lebih kekal berbanding daripada PDF dasar. Bina setiap slaid daripada contoh di atas.

1. Pilih Jawapan: "Dokumen ini tahap yang manakah?" Tunjukkan contoh daripada setiap pusingan, tambahkan papan pendahulu dan berikan mata untuk tahap yang betul.
2. Awan Perkataan: "Apakah perkara paling sensitif yang anda kendalikan?" Jawapan menunjukkan pasukan anda yang mana satukah yang mengendalikan data Sulit atau Terhad setiap hari.
3. Skala Penilaian: "Sejauh manakah keyakinan anda melabelkan fail?" Nilaikan dari 1 hingga 5, kemudian susuli dengan orang yang mendapat markah rendah.
4. Terbuka, tanpa nama: "Soalan apa yang anda ingin tanya kepada pasukan keselamatan?" Orang ramai akan bertanya perkara yang mereka tidak akan sebutkan dengan kuat.

Mencari lebih banyak cara untuk menjalankannya? Lihat latihan kesedaran keselamatan siber, Pemeriksaan denyutan keselamatan IT dan pancingan data dalam Slack dan Dokumentasi AI dan latihan privasiTemplat kursus Pengelasan & pengendalian data memberi anda slaid yang sedia untuk disesuaikan.

Soalan lazim

Apakah 4 peringkat pengelasan data?

Awam, Dalaman, Sulit dan Terhad adalah skema yang paling biasa, walaupun setiap organisasi menetapkan skema tersendiri. Awam boleh dikongsi dengan sesiapa sahaja, Dalaman kekal di dalam organisasi, Sulit adalah perlu diketahui dan Terhad adalah untuk orang yang dinamakan sahaja.

Adakah terdapat satu set standard tahap pengelasan data?

Tidak, tiada satu set pun. FIPS 199 mentakrifkan tiga tahap impak (rendah, sederhana dan tinggi) untuk sistem persekutuan AS, dan kerajaan UK menggunakan tiga klasifikasinya sendiri, RASMI, RAHSIA dan RAHSIA BESAR. Organisasi swasta memilih mereka sendiri, dan 4 peringkat adalah corak yang biasa.

Apakah contoh-contoh data sulit?

Senarai pelanggan, kontrak, ramalan kewangan dan ulasan prestasi. Penentuan harga pembekal juga penting di sini. Kesemuanya akan menyebabkan kerosakan sebenar jika sampai kepada orang yang salah, jadi ia dikongsi atas dasar keperluan untuk mengetahui.

Apakah perbezaan antara data sulit dan data terhad?

Terhad ialah peringkat paling ketat, terhad kepada orang yang dinamakan dengan kawalan terkuat. Data sulit dikongsi dengan sesiapa sahaja yang memerlukannya untuk tugas mereka. Data terhad, seperti kata laluan atau data kad pembayaran, tersedia kepada lebih sedikit orang dan aksesnya direkodkan.

Siapakah yang menentukan bagaimana data dikelaskan?

Pemilik data, mengikut dasar organisasi. Penulis biasanya menggunakan label terlebih dahulu, dan pemilik mengesahkannya atau mengubahnya. Kakitangan tidak boleh menurunkan taraf label sendiri.

Di mana untuk bermula

Pilih satu pasukan, labelkan 10 fail paling biasa dengan 4 tahap, dan jalankan kuiz untuk melihat di mana orang ramai tidak bersetuju. Percanggahan pendapat tersebut menunjukkan contoh yang diperlukan oleh dasar anda.