Volgens gegevens van de Britse overheid meldden vier op de tien Britse bedrijven (43%) en drie op de tien goede doelen (30%) een cyberbeveiligingsinbreuk of -aanval in de afgelopen twaalf maanden. Onderzoek naar inbreuken op de cyberveiligheid 2025Dat is een onderzoek uit het Verenigd Koninkrijk, maar het punt is ook elders van toepassing. De meeste medewerkers kunnen informatie die ze niet mogen benoemen niet beschermen, en de vraag "is dit spreadsheet intern of vertrouwelijk?" komt al lang voordat er daadwerkelijk een aanval plaatsvindt ter sprake.
In dit artikel worden de vier classificatieniveaus voor gegevens beschreven die de meeste organisaties gebruiken: Openbaar, Intern, Vertrouwelijk en Beperkt. Elk niveau wordt toegelicht met vijf voorbeelden en een bijbehorende regel. Vervolgens wordt uitgelegd hoe deze niveaus zich verhouden tot twee formele schema's, zodat u weet wat een conventie is en wat een standaard.
Wat is dataclassificatie?
Gegevensclassificatie is een label dat aangeeft hoe men met een stuk informatie moet omgaan. Het label staat op een document, een bestand of een dataset en verwijst naar een regel: wie het mag zien, hoe het verzonden mag worden en hoe het opgeslagen moet worden.
Er bestaat geen standaardlijst met niveaus die voor elke organisatie verplicht is. De vier onderstaande niveaus zijn een veelgebruikte manier om een beleid op te stellen, geen standaard die is vastgesteld door NIST of een overheidsinstantie. Uw eigen beleid kan drie of vijf niveaus gebruiken, of andere benamingen hanteren, en de eigenaar van de gegevens bepaalt welke benaming het meest geschikt is. De voorbeelden zijn algemeen, dus pas ze aan met uw eigen documenten wanneer u ze uitlegt.
Ronde 1: Openbaar (5 voorbeelden)
Openbare informatie is bedoeld om door iedereen te worden ingezien. Het delen ervan buiten de organisatie veroorzaakt geen problemen.
Verwerkingsregel: Er zijn geen beperkingen op het delen, maar alleen de eigenaar mag het publiceren en het blijft accuraat.
- Een gepubliceerd persbericht.
- Een vacature.
- Een productbrochure.
- Een publiek blog post.
- De prijzen staan vermeld op de website.
Onze keuze: de vacaturetekst. Mensen beschouwen het vaak als gevoelig omdat het van de HR-afdeling komt. Het is geschreven om door onbekenden gelezen te worden, dus het is openbaar.
Ronde 2: Intern (5 voorbeelden)
Interne informatie is bedoeld voor mensen die voor de organisatie werken. Het is geen geheim, maar het is niet voor buitenstaanders.
Verwerkingsregel: Alleen toegankelijk voor medewerkers, binnen de bedrijfssystemen en niet met derden gedeeld zonder toestemming van de eigenaar.
- Het personeelsregister.
- Een interne nieuwsbrief.
- Vergadernotulen.
- Een beleidsdocument.
- Een projectplan.
Onze keuze: notulen van vergaderingen. Ze lijken onschuldig, maar bevatten vaak namen van klanten, prijzen of personen. Controleer de inhoud voordat u ze naar een leverancier doorstuurt.
Ronde 3: Vertrouwelijk (5 voorbeelden)
Vertrouwelijke informatie kan grote schade veroorzaken als deze in de verkeerde handen terechtkomt, zoals verloren klanten, juridische problemen of een zwakkere onderhandelingspositie.
Verwerkingsregel: Alleen de personen die het moeten weten, ontvangen de gegevens versleuteld, en delen ze via goedgekeurde tools, niet via persoonlijke e-mail.
- Een klantenlijst.
- Een getekend contract.
- Een financiële prognose.
- Een functioneringsgesprek.
- Prijzen van de leverancier.
Onze keuze: de klantenlijst. Het is gemakkelijk te exporteren en in een e-mail te plakken. Eén foutje geeft een concurrent je hele klantenbestand.
Ronde 4: Beperkt (5 voorbeelden)
'Beperkt' is het strengste beveiligingsniveau. Een lek kan ernstige schade toebrengen aan de organisatie of aan individuen, daarom is de toegang beperkt tot specifieke personen.
Verwerkingsregel: Alleen personen met een naam worden getraceerd, de strengste beveiligingsmaatregelen en toegang die wordt geregistreerd.
- Wachtwoorden en sleutels.
- Betaalkaartgegevens.
- Medische dossiers.
- Nog niet openbaar gemaakte financiële resultaten.
- Details over het beveiligingsincident.
Onze keuze: inloggegevens in een gedeeld document. De meeste mensen herkennen deze fout wel van hun eigen team. Een wachtwoord op een gedeeld spreadsheet is beperkte informatie die wordt opgeslagen alsof het interne informatie betreft.
Hoe de niveaus zich verhouden tot formele schema's
De 4 niveaus zijn een conventie, dus geen enkel formeel schema komt er één op één mee overeen. De tabel toont de beste benadering. Beschouw de afbeelding als een benadering.
| Gemeenschappelijke 4 niveaus | NIST FIPS 199 (Amerikaanse federale systemen) | Britse overheidsclassificaties voor veiligheid |
|---|---|---|
| Publieke | Vertrouwelijkheid niet van toepassing, grofweg | Niet gedekt, aangezien de Britse regeling overheidsinformatie classificeert. |
| Intern | Lage impact, ongeveer | OFFICIEEL, ongeveer |
| Inzichten door | Matige impact, ongeveer | OFFICIEEL met de aanduiding -GEVOELIG, ongeveer |
| Beperkt | Grote impact, ongeveer | GEHEIM en TOPGEHEIM, ongeveer |
FIPS199 Het definieert geen vier niveaus. Het definieert drie niveaus van potentiële impact (laag, gemiddeld en hoog) voor federale informatie en informatiesystemen, gebaseerd op de mate van schade die een verlies van vertrouwelijkheid, integriteit of beschikbaarheid zou veroorzaken.NIST FIPS 199Een beperkt bijwerking is gering, een ernstige is matig en een zeer ernstige of catastrofale is ernstig.
De Het Britse overheidsbeleid inzake veiligheidsclassificaties Het beleid hanteert drie niveaus: OFFICIEEL, GEHEIM en TOPGEHEIM. De GOV.UK-pagina is voor het laatst bijgewerkt op 5 augustus 2024. OFFICIEEL omvat de meeste overheidsinformatie, en "-GEVOELIG" is een extra markering voor OFFICIEEL informatie waarvan de openbaarmaking meer schade zou kunnen veroorzaken. Het beleid stelt dat het geen wettelijk verplichte regeling is.GOV.UK: Overheidsclassificaties voor veiligheid).
Het Amerikaanse Nationale Archief houdt ook een register bij van gecontroleerde niet-geclassificeerde informatie (CUI). Het is een lijst met categorieën, gegroepeerd per onderwerp, zoals kritieke infrastructuur, defensie en financiën, en geen hiërarchie van niveaus.NARA CUI-registerAls uw organisatie informatie van de Amerikaanse overheid verwerkt, raadpleeg dan uw contract om te zien welke categorieën van toepassing zijn.
Etikettering en verwerking
Een label is alleen nuttig als mensen het op dezelfde manier toepassen. Vier gewoontes zorgen voor consistentie.
- Label bij creatie. De auteur weet het beste wat er in het bestand staat, dus vraag hem of haar om het te markeren bij het opslaan.
- Gebruik bij twijfel het hogere niveau. Een bestand als vertrouwelijk behandelen kost wat tijd. Vertrouwelijke gegevens als intern behandelen kan een klant geld kosten.
- Nooit downgraden zonder toestemming van de eigenaar. Alleen de eigenaar van de gegevens kan, conform het beleid, een label verwijderen.
- Herclassificeer wanneer de gevoeligheid verandert. Een prognose is vertrouwelijk totdat de resultaten worden gepubliceerd en kan daarna openbaar worden gemaakt.
Deze gewoonten zijn belangrijk omdat datalekken vaak voorkomen. Uit het bovenstaande onderzoek bleek dat 43% van de Britse bedrijven het afgelopen jaar een datalek heeft gemeld, en een bestand zonder label is een bestand waarvan niemand wist dat het beveiligd moest worden. Voor de menselijke kant van aanvallen, zie ons bericht over voorbeelden van sociale manipulatie.
Manieren om een classificatiequiz te organiseren met AhaSlides
Je kunt de 4 niveaus in één sessie van 20 minuten behandelen. De deelnemers reageren, waardoor de regels beter blijven hangen dan wanneer je een beleidsdocument in PDF-formaat leest. Bouw elke dia op aan de hand van de bovenstaande voorbeelden.
- Kies antwoord: "Welk niveau heeft dit document?" Toon een voorbeeld uit elke ronde, voeg een scorebord toe en ken de punten toe voor het juiste niveau.
- Woordwolk: "Wat is het meest gevoelige materiaal waarmee u te maken hebt?" De antwoorden laten zien welke van uw teams dagelijks met vertrouwelijke of beperkte gegevens werken.
- Schaal: "Hoeveel vertrouwen hebt u in het labelen van een bestand?" Geef een cijfer van 1 tot 5 en neem vervolgens contact op met degenen die laag scoren.
- Open einde, anoniem: "Welke vraag wilt u aan het beveiligingsteam stellen?" Mensen stellen vragen die ze normaal gesproken niet hardop zouden zeggen.
Op zoek naar meer manieren om het te gebruiken? Zie training voor cyberbeveiligingsbewustzijn, IT-beveiliging en phishing-controles Slack en AI-documentatie en privacytrainingDe sjabloon voor de cursus 'Gegevensclassificatie en -verwerking' biedt u kant-en-klare dia's die u kunt aanpassen.
Veelgestelde vragen
Wat zijn de 4 niveaus van gegevensclassificatie?
Openbaar, Intern, Vertrouwelijk en Beperkt is het meest voorkomende schema, hoewel elke organisatie zijn eigen schema hanteert. Openbaar kan met iedereen worden gedeeld, Intern blijft binnen de organisatie, Vertrouwelijk is alleen voor degenen die het moeten weten, en Beperkt is alleen voor specifieke personen.
Bestaat er een standaard set van classificatieniveaus voor gegevens?
Nee, er is niet één vaste set. FIPS 199 definieert drie impactniveaus (laag, gemiddeld en hoog) voor Amerikaanse federale systemen, en de Britse overheid hanteert haar eigen drie classificaties: OFFICIAL, SECRET en TOP SECRET. Particuliere organisaties kiezen hun eigen classificatie, en vier niveaus is een veelvoorkomend patroon.
Wat zijn voorbeelden van vertrouwelijke gegevens?
Klantenlijsten, contracten, financiële prognoses en prestatiebeoordelingen. Ook leveranciersprijzen horen hier thuis. Al deze gegevens zouden grote schade kunnen aanrichten als ze in de verkeerde handen terechtkomen, daarom worden ze alleen gedeeld met degenen die ze moeten kennen.
Wat is het verschil tussen vertrouwelijke en beperkte gegevens?
'Beperkt' is het strengste beveiligingsniveau, alleen toegankelijk voor specifieke personen met de strengste controles. Vertrouwelijke gegevens worden gedeeld met iedereen die ze nodig heeft voor zijn of haar werk. Gegevens met beperkte toegang, zoals wachtwoorden of betaalkaartgegevens, zijn voor veel minder mensen beschikbaar en de toegang ertoe wordt geregistreerd.
Wie bepaalt hoe gegevens worden geclassificeerd?
De eigenaar van de gegevens handelt volgens het beleid van de organisatie. De auteur voegt doorgaans eerst het label toe, waarna de eigenaar het label bevestigt of wijzigt. Medewerkers mogen een label niet zelf downgraden.
Waar te beginnen
Kies één team, label de 10 meest voorkomende bestanden met de 4 niveaus en doe de quiz om te zien waar de meningen verschillen. Die meningsverschillen laten zien welke voorbeelden je beleid nodig heeft.
