Dataklassifiseringsnivåer: 4 nivåer med eksempler

Fire av ti britiske bedrifter (43 %) og tre av ti veldedige organisasjoner (30 %) rapporterte et nettsikkerhetsbrudd eller -angrep i løpet av de siste 12 månedene, ifølge den britiske regjeringens Undersøkelse om brudd på nettsikkerhet 2025Det er en britisk undersøkelse, men poenget gjelder også andre steder. De fleste ansatte kan ikke beskytte informasjon de ikke kan navngi, og spørsmålet «er dette regnearket internt eller konfidensielt?» dukker opp lenge før noen blir angrepet.

Dette innlegget gir deg de fire dataklassifiseringsnivåene de fleste organisasjoner bruker: Offentlig, Intern, Konfidensiell og Begrenset. Hvert nivå har fem eksempler og en håndteringsregel. Deretter viser det hvordan de forholder seg til to formelle ordninger, slik at du vet hva som er en konvensjon og hva som er en standard.

Hva dataklassifisering er

Dataklassifisering er en etikett som forteller folk hvordan de skal håndtere en bestemt informasjon. Etiketten sitter på et dokument, en fil eller et datasett, og den peker til en regel: hvem som kan se den, hvordan den kan sendes og hvordan den lagres.

Det kreves ikke en enkelt liste over nivåer for alle organisasjoner. De fire nedenfor er en vanlig måte å sette opp en policy på, ikke en standard definert av NIST eller av noen myndigheter. Din egen policy kan bruke 3 nivåer, 5 nivåer eller forskjellige navn, og dataeieren bestemmer hvilken etikett som passer. Eksemplene er generiske, så bytt ut dine egne dokumenter når du underviser i dem.

Runde 1: Publikum (5 eksempler)

Offentlig informasjon er ment å være synlig for alle. Deling av den utenfor organisasjonen skader ikke.

Håndteringsregel: ingen begrensning på deling, men bare eieren publiserer den, og den forblir nøyaktig.

1. En publisert pressemelding.
2. En jobbannonse.
3. En produktbrosjyre.
4. Et publikum blog post.
5. Publiserte priser på nettsiden.

Vårt valg: stillingsannonsen. Folk behandler det ofte som sensitivt fordi det kommer fra HR. Det ble skrevet for å bli lest av fremmede, så det er offentlig.

Runde 2: Intern (5 eksempler)

Intern informasjon er for folk som jobber for organisasjonen. Den er ikke hemmelig, men den er ikke for utenforstående.

Håndteringsregel: kun for ansatte, oppbevares i selskapets systemer og ikke deles eksternt uten eierens samtykke.

1. Personalkatalogen.
2. Et internt nyhetsbrev.
3. Møtenotater.
4. Et policydokument.
5. En prosjektplan.

Vårt valg: møtenotater. De ser harmløse ut, men de navngir ofte kunder, priser eller personer. Sjekk hva som er i dem før du videresender dem til en leverandør.

Runde 3: Konfidensielt (5 eksempler)

Konfidensiell informasjon ville forårsake reell skade hvis den nådde feil personer, for eksempel tapte kunder, juridisk eksponering eller en svakere posisjon i en forhandling.

Håndteringsregel: kun nødvendig informasjon, kryptert når den sendes, og delt via godkjente verktøy, ikke personlig e-post.

1. En kundeliste.
2. En signert kontrakt.
3. En økonomisk prognose.
4. En ytelsesvurdering.
5. Leverandørpriser.

Vårt valg: kundelisten. Den er enkel å eksportere og enkel å lime inn i en e-post. Én lapp gir en konkurrent hele forretningsboken din.

Runde 4: Begrenset (5 eksempler)

Begrenset er det strengeste nivået. En lekkasje kan forårsake alvorlig skade på organisasjonen eller enkeltpersoner, så tilgangen er begrenset til navngitte personer.

Håndteringsregel: kun navngitte personer, de sterkeste kontrollene og tilgang som loggføres.

1. Passord og nøkler.
2. Betalingskortdata.
3. Helsejournaler.
4. Ikke offentliggjorte økonomiske resultater.
5. Detaljer om sikkerhetshendelser.

Vårt valg: legitimasjon i et delt dokument. De fleste kjenner igjen denne feilen fra sitt eget team. Et passord på et delt ark er begrensede data lagret som om de var interne.

Hvordan nivåene tilordnes formelle ordninger

De fire nivåene er en konvensjon, så ingen av de formelle skjemaene samsvarer med dem én for én. Tabellen viser den nærmeste tilpasningen. Behandle kartleggingen som omtrentlig.

FIPS 199 definerer ikke fire nivåer. Den definerer tre nivåer av potensiell påvirkning (lav, moderat og høy) for føderal informasjon og informasjonssystemer, basert på hvor mye skade et tap av konfidensialitet, integritet eller tilgjengelighet ville forårsake (NIST FIPS 199En begrenset bivirkning er lav, en alvorlig er moderat, og en alvorlig eller katastrofal er høy.

Ocuco Den britiske regjeringens retningslinjer for sikkerhetsklassifisering bruker tre nivåer: OFFISIELT, HEMMELIG og TOPP HEMMELIG. GOV.UK-siden ble sist oppdatert 5. august 2024. OFFISIELT dekker mesteparten av offentlig informasjon, og «-SENSITIV» er en tilleggsmerking på OFFISIELT informasjon hvis kompromiss kan forårsake mer skade. Retningslinjene sier at det ikke er en lovpålagt ordning (GOV.UK: Klassifiseringer av myndighetssikkerhet).

Det amerikanske nasjonalarkivet fører også et register over kontrollert, uklassifisert informasjon (CUI). Det er en liste over kategorier gruppert etter emne, som kritisk infrastruktur, forsvar og finans, ikke en nivåstige (NARA CUI-registeretHvis organisasjonen din håndterer informasjon fra amerikanske myndigheter, må du lese kontrakten din for hvilke kategorier som gjelder.

Merking og håndtering

En etikett hjelper bare hvis folk bruker den på samme måte. Fire vaner holder den konsistent.

1. Etikett ved opprettelse. Forfatteren vet best hva som er i filen, så be dem om å markere det når de lagrer den.
2. Hvis du er usikker, bruk det høyere nivået. Det koster litt tid å behandle en fil som konfidensiell. Det kan koste en kunde å behandle konfidensielle data som interne.
3. Aldri nedgrader uten eieren. Bare dataeieren, i henhold til retningslinjene, kan fjerne en etikett.
4. Omklassifiser når sensitiviteten endres. En prognose er konfidensiell før resultatene publiseres og kan bli offentlig etterpå.

Disse vanene er viktige fordi sikkerhetsbrudd er vanlige. Undersøkelsen ovenfor fant at 43 % av britiske bedrifter rapporterte et sikkerhetsbrudd det siste året, og en fil uten etikett er en fil ingen visste at de skulle beskytte. For den menneskelige siden av angrep, se innlegget vårt om eksempler på sosial manipulasjon.

Måter å arrangere en klassifiseringsquiz med AhaSlides

Du kan undervise i de fire nivåene i én 20-minutters økt. Rommet svarer, så reglene holder seg bedre enn fra en PDF med retningslinjer. Bygg hvert lysbilde fra eksemplene ovenfor.

1. Velg svar: «Hvilket nivå er dette dokumentet?» Vis et eksempel fra hver runde, legg til en poengtavle og gi poeng for riktig nivå.
2. Word Cloud: «Hva er det mest sensitive dere håndterer?» Svarene viser hvilke av teamene deres som jobber med konfidensielle eller begrensede data hver dag.
3. Vurderingsskala: «Hvor sikker er du på å merke en fil?» Vurder fra 1 til 5, og følg deretter opp med personene som skårer lavt.
4. Åpent, anonymt: «Hvilket spørsmål vil du stille sikkerhetsteamet?» Folk vil spørre ting de ikke ville sagt høyt.

Leter du etter flere måter å kjøre den på? Se opplæring om cybersikkerhet, IT-sikkerhet og phishing-pulssjekker inn Slack og AI-dokumentasjon og personvernopplæringKursmalen for dataklassifisering og -håndtering gir deg lysbildene som er klare til tilpasning.

Ofte stilte spørsmål

Hva er de fire nivåene av dataklassifisering?

Offentlig, Intern, Konfidensiell og Begrenset er den vanligste ordningen, men hver organisasjon setter sin egen. Offentlig kan deles med hvem som helst, Intern forblir innenfor organisasjonen, Konfidensiell er nødvendig å vite, og Begrenset er kun for navngitte personer.

Finnes det et standardsett med dataklassifiseringsnivåer?

Nei, det finnes ikke ett sett. FIPS 199 definerer tre konsekvensnivåer (lav, moderat og høy) for amerikanske føderale systemer, og den britiske regjeringen bruker sine egne tre klassifiseringer: OFFISIELT, HEMMELIG og TOPP HEMMELIG. Private organisasjoner velger sine egne, og fire nivåer er et vanlig mønster.

Hva er eksempler på konfidensielle data?

Kundelister, kontrakter, økonomiske prognoser og resultatvurderinger. Leverandørpriser hører også hjemme her. Alle disse ville forårsake reell skade hvis de nådde feil personer, så de deles på et behov for å vite.

Hva er forskjellen mellom konfidensielle og begrensede data?

Begrenset er det strengeste nivået, begrenset til navngitte personer med de sterkeste kontrollene. Konfidensielle data deles med alle som trenger dem i jobben sin. Begrensede data, for eksempel passord eller betalingskortdata, er tilgjengelige for langt færre personer, og tilgangen til dem logges.

Hvem bestemmer hvordan data klassifiseres?

Dataeieren, i henhold til organisasjonens retningslinjer. Forfatteren bruker vanligvis etiketten først, og eieren bekrefter den eller endrer den. Ansatte bør ikke nedgradere en etikett selv.

Hvor skal jeg starte

Velg ett team, merk de 10 vanligste filene med de 4 nivåene, og kjør quizen for å se hvor folk er uenige. Disse uenighetene viser deg hvilke eksempler retningslinjene dine trenger.