Według raportu brytyjskiego rządu cztery na dziesięć brytyjskich firm (43%) i trzy na dziesięć organizacji charytatywnych (30%) zgłosiły naruszenie lub atak cybernetyczny w ciągu ostatnich 12 miesięcy Badanie na temat naruszeń cyberbezpieczeństwa 2025To badanie przeprowadzone w Wielkiej Brytanii, ale ta uwaga odnosi się również do innych miejsc. Większość pracowników nie jest w stanie chronić informacji, których nie może ujawnić, a pytanie „czy ten arkusz kalkulacyjny jest poufny?” pojawia się na długo przed tym, zanim ktokolwiek zostanie zaatakowany.
W tym poście przedstawiono 4 poziomy klasyfikacji danych stosowane przez większość organizacji: Publiczny, Wewnętrzny, Poufny i Zastrzeżony. Każdy z nich zawiera 5 przykładów i regułę postępowania. Następnie przedstawiono ich związek z dwoma formalnymi schematami, dzięki czemu wiadomo, co jest konwencją, a co standardem.
Jaka jest klasyfikacja danych
Klasyfikacja danych to etykieta, która wskazuje użytkownikom, jak postępować z daną informacją. Etykieta znajduje się na dokumencie, pliku lub zestawie danych i wskazuje regułę: kto może ją zobaczyć, jak może zostać wysłana i jak jest przechowywana.
Nie ma jednej listy poziomów wymaganej dla każdej organizacji. Cztery poniższe poziomy to powszechny sposób tworzenia polityki, a nie standard zdefiniowany przez NIST ani żaden rząd. Twoja polityka może używać 3 poziomów, 5 poziomów lub różnych nazw, a właściciel danych decyduje, która etykieta będzie pasować. Przykłady są ogólne, więc zamień je we własnych dokumentach podczas ich prezentacji.
Runda 1: Publiczność (5 przykładów)
Informacje publiczne są przeznaczone dla każdego. Udostępnianie ich poza organizacją nie powoduje żadnych szkód.
Zasada postępowania: nie ma ograniczeń w udostępnianiu, ale tylko właściciel może je publikować, a informacje pozostają aktualne.
- Opublikowany komunikat prasowy.
- Ogłoszenie o pracę.
- Broszura produktu.
- Społeczeństwo blog stanowisko.
- Ceny opublikowane na stronie internetowej.
Nasz wybór: ogłoszenie o pracę. Ludzie często traktują to jako coś wrażliwego, ponieważ pochodzi z działu HR. Zostało napisane do przeczytania przez osoby postronne, więc jest publiczne.
Runda 2: Wewnętrzna (5 przykładów)
Informacje wewnętrzne są przeznaczone dla osób pracujących w organizacji. Nie są tajne, ale nie są dostępne dla osób z zewnątrz.
Zasada postępowania: tylko dla pracowników, przechowywane w systemach firmowych i nieudostępniane na zewnątrz bez zgody właściciela.
- Spis pracowników.
- Wewnętrzny newsletter.
- Notatki ze spotkania.
- Dokument polityczny.
- Plan projektu.
Nasz wybór: notatki ze spotkań. Wyglądają niegroźnie, ale często podają nazwy klientów, ceny lub osoby. Sprawdź, co zawierają, zanim prześlesz je dostawcy.
Runda 3: Poufne (5 przykładów)
Poufne informacje mogą spowodować poważne szkody, jeśli trafią w niepowołane ręce, powodując utratę klientów, narażenie na ryzyko prawne lub osłabienie pozycji w negocjacjach.
Zasada postępowania: potrzebne tylko informacje, szyfrowane podczas wysyłania i udostępniane za pośrednictwem zatwierdzonych narzędzi, a nie prywatnej poczty e-mail.
- Lista klientów.
- Podpisana umowa.
- Prognoza finansowa.
- Ocena wyników pracy.
- Ceny dostawców.
Nasz wybór: lista klientów. Łatwo je wyeksportować i wkleić do e-maila. Jeden ruch daje konkurentowi cały portfel biznesowy.
Runda 4: Ograniczona (5 przykładów)
Poziom „Ograniczony” jest najostrzejszy. Wyciek danych mógłby spowodować poważne szkody dla organizacji lub osób, dlatego dostęp jest ograniczony do konkretnych osób.
Zasada postępowania: tylko wskazane osoby, najsilniejsze kontrole i rejestrowany dostęp.
- Hasła i klucze.
- Dane karty płatniczej.
- Dokumentacja medyczna.
- Nieopublikowane wyniki finansowe.
- Szczegóły incydentów bezpieczeństwa.
Nasz wybór: dane uwierzytelniające w dokumencie współdzielonym. Większość osób rozpoznaje ten błąd w swoim zespole. Hasło na współdzielonym arkuszu to dane zastrzeżone, przechowywane tak, jakby były wewnętrzne.
Jak poziomy są odwzorowywane na schematy formalne
Cztery poziomy to konwencja, więc żaden z formalnych schematów nie pasuje do nich idealnie. Tabela pokazuje najbliższe dopasowanie. Mapowanie należy traktować jako przybliżone.
| 4 poziomy wspólne | NIST FIPS 199 (systemy federalne USA) | Klasyfikacje bezpieczeństwa rządu Wielkiej Brytanii |
|---|---|---|
| Publiczne | Poufność nie ma zastosowania, w przybliżeniu | Nieobjęte, ponieważ brytyjski program klasyfikuje informacje rządowe |
| Wewnętrzne | Niski wpływ, mniej więcej | OFICJALNIE, mniej więcej |
| Poufny | Umiarkowany wpływ, około | OFICJALNY z oznaczeniem -SENSITIVE, w przybliżeniu |
| ograniczony | Duży wpływ, mniej więcej | TAJNE i ŚCIŚLE TAJNE, mniej więcej |
FIP 199 Nie definiuje czterech poziomów. Definiuje trzy poziomy potencjalnego wpływu (niski, umiarkowany i wysoki) na federalne systemy informacyjne i informacje, w zależności od tego, jak duże szkody spowodowałaby utrata poufności, integralności lub dostępności (NIST FIPS 199). Ograniczone działanie niepożądane jest niewielkie, poważne – umiarkowane, a poważne lub katastrofalne – duże.
Polityka klasyfikacji bezpieczeństwa rządu Wielkiej Brytanii Stosowane są trzy poziomy: OFICJALNY, TAJNY i ŚCIŚLE TAJNY. Strona GOV.UK została ostatnio zaktualizowana 5 sierpnia 2024 r. OFICJALNY obejmuje większość informacji rządowych, a „-POUFNY” to dodatkowe oznaczenie informacji OFICJALNYCH, których ujawnienie mogłoby spowodować większe szkody. Polityka stanowi, że nie jest to system ustawowy (GOV.UK: Klasyfikacje bezpieczeństwa rządowego).
Archiwa Narodowe USA prowadzą również rejestr kontrolowanych informacji niejawnych (CUI). Jest to lista kategorii pogrupowanych tematycznie, takich jak infrastruktura krytyczna, obronność i finanse, a nie drabina poziomów (Rejestr NARA CUI). Jeśli Twoja organizacja przetwarza informacje rządu USA, przeczytaj umowę, aby dowiedzieć się, jakie kategorie mają zastosowanie.
Etykietowanie i obsługa
Etykieta pomaga tylko wtedy, gdy ludzie stosują ją w ten sam sposób. Cztery nawyki pozwalają zachować spójność.
- Etykieta w momencie utworzenia. Autor wie najlepiej, co znajduje się w pliku, dlatego poproś go, aby oznaczył to podczas zapisywania pliku.
- Jeśli nie masz pewności, skorzystaj z wyższego poziomu. Traktowanie pliku jako poufnego zajmuje trochę czasu. Traktowanie danych poufnych jako wewnętrznych może być kosztowne dla klienta.
- Nigdy nie obniżaj wersji bez wiedzy właściciela. Tylko właściciel danych, postępując zgodnie z polityką, może obniżyć etykietę.
- Dokonaj ponownej klasyfikacji, gdy zmieni się wrażliwość. Prognoza jest poufna przed opublikowaniem wyników i może zostać upubliczniona później.
Te nawyki mają znaczenie, ponieważ naruszenia bezpieczeństwa są powszechne. Z powyższego badania wynika, że 43% brytyjskich firm zgłosiło naruszenie bezpieczeństwa w ciągu ostatniego roku, a plik bez etykiety to plik, którego nikt nie wiedział, że powinien chronić. Aby poznać ludzką stronę ataków, zapoznaj się z naszym wpisem na temat przykłady inżynierii społecznej.
Sposoby prowadzenia quizu klasyfikacyjnego AhaSlides
Możesz przeprowadzić zajęcia na 4 poziomach w ciągu jednej 20-minutowej sesji. Sala odpowiada, więc zasady są trwalsze niż w przypadku dokumentów PDF z zasadami. Stwórz każdy slajd na podstawie powyższych przykładów.
- Wybierz odpowiedź: „Który poziom ma ten dokument?” Pokaż przykład z każdej rundy, dodaj tabelę wyników i przyznaj punkty za właściwy poziom.
- Chmura słów: „Jaka jest najwrażliwsza sprawa, z którą masz do czynienia?” Odpowiedzi pokazują, które z Twoich zespołów pracują na co dzień z danymi poufnymi lub zastrzeżonymi.
- Skala ocen: „Jak pewnie oznaczasz plik?” Oceń w skali od 1 do 5, a następnie skontaktuj się z osobami, które uzyskały niskie wyniki.
- Otwarte, anonimowe: „Jakie pytanie chciałbyś zadać zespołowi ds. bezpieczeństwa?” Ludzie zadają pytania, których nie powiedzieliby głośno.
Szukasz więcej sposobów na jego uruchomienie? Zobacz szkolenie uświadamiające cyberbezpieczeństwo, Kontrola bezpieczeństwa IT i pulsu phishingu Slack oraz Dokumentacja sztucznej inteligencji i szkolenia dotyczące prywatnościSzablon kursu Klasyfikacja i obsługa danych zawiera slajdy gotowe do dostosowania.
PYTANIA I ODPOWIEDZI
Jakie są 4 poziomy klasyfikacji danych?
Najczęściej spotykane są schematy: publiczny, wewnętrzny, poufny i zastrzeżony, choć każda organizacja ustala własne. Dostęp publiczny można udostępnić dowolnej osobie, wewnętrzny pozostaje w obrębie organizacji, poufny jest dostępny wyłącznie dla osób z listy, a zastrzeżony jest dostępny tylko dla konkretnych osób.
Czy istnieje standardowy zestaw poziomów klasyfikacji danych?
Nie, nie ma jednego zestawu. Norma FIPS 199 definiuje trzy poziomy wpływu (niski, średni i wysoki) dla systemów federalnych w USA, a rząd Wielkiej Brytanii stosuje trzy własne klasyfikacje: OFICJALNY, TAJNY i ŚCIŚLE TAJNY. Organizacje prywatne wybierają własne, a cztery poziomy są powszechnym wzorcem.
Jakie są przykłady danych poufnych?
Listy klientów, umowy, prognozy finansowe i przeglądy wyników. Cenniki dostawców również należą do tej grupy. Wszystkie te informacje mogłyby spowodować realne szkody, gdyby dotarły do niewłaściwych osób, dlatego są udostępniane wyłącznie osobom, które muszą je znać.
Jaka jest różnica między danymi poufnymi i zastrzeżonymi?
Poziom „Ograniczony” to najostrzejszy poziom, ograniczony do konkretnych osób z najsilniejszą kontrolą. Dane poufne są udostępniane każdemu, kto potrzebuje ich do pracy. Dane zastrzeżone, takie jak hasła czy dane kart płatniczych, są dostępne dla znacznie mniejszej liczby osób, a dostęp do nich jest rejestrowany.
Kto decyduje o sposobie klasyfikowania danych?
Właściciel danych, zgodnie z polityką organizacji. Autor zazwyczaj stosuje etykietę jako pierwszy, a właściciel ją potwierdza lub zmienia. Pracownicy nie powinni sami obniżać poziomu etykiety.
Gdzie zacząć
Wybierz jeden zespół, oznacz 10 najczęściej występujących plików czterema poziomami i przeprowadź quiz, aby sprawdzić, gdzie uczestnicy mają odmienne zdania. Te rozbieżności pokażą Ci, jakich przykładów potrzebuje Twoja polityka.
