Níveis de classificação de dados: 4 níveis com exemplos

Quatro em cada dez empresas do Reino Unido (43%) e três em cada dez instituições de caridade (30%) relataram uma violação ou ataque de segurança cibernética nos últimos 12 meses, de acordo com o governo do Reino Unido. Pesquisa sobre violações de segurança cibernética 2025Essa é uma pesquisa do Reino Unido, mas a questão se aplica a outros lugares. A maioria dos funcionários não consegue proteger informações que não podem divulgar, e a pergunta "esta planilha é interna ou confidencial?" surge muito antes de alguém ser atacado.

Este artigo apresenta os 4 níveis de classificação de dados mais utilizados pelas organizações: Público, Interno, Confidencial e Restrito. Cada nível inclui 5 exemplos e uma regra de tratamento. Em seguida, mostra como eles se relacionam com dois esquemas formais, para que você entenda a diferença entre convenção e padrão.

O que é classificação de dados?

A classificação de dados é um rótulo que indica como lidar com uma informação. Esse rótulo é atribuído a um documento, arquivo ou conjunto de dados e define uma regra: quem pode vê-lo, como pode ser enviado e como deve ser armazenado.

Não existe uma lista única de níveis obrigatória para todas as organizações. Os 4 exemplos abaixo representam uma forma comum de definir uma política, e não um padrão definido pelo NIST ou por qualquer governo. Sua própria política pode usar 3 níveis, 5 níveis ou nomes diferentes, e o responsável pelos dados decide qual rótulo se aplica. Os exemplos são genéricos; portanto, substitua-os pelos seus próprios documentos ao utilizá-los em sala de aula.

Rodada 1: Pública (5 exemplos)

A informação pública deve ser vista por qualquer pessoa. Partilhá-la fora da organização não causa qualquer dano.

Regra de tratamento: Não há restrições quanto ao compartilhamento, mas somente o proprietário publica o conteúdo, que permanece preciso.

1. Um comunicado de imprensa divulgado.
2. Um anúncio de emprego.
3. Um folheto informativo sobre o produto.
4. Um público blog postar.
5. Preços publicados no site.

Nossa escolha: o anúncio de emprego. As pessoas costumam tratar isso como algo sensível porque veio do RH. Foi escrito para ser lido por estranhos, portanto é público.

Rodada 2: Interna (5 exemplos)

Informações internas são destinadas a pessoas que trabalham na organização. Não são secretas, mas também não são para pessoas de fora.

Regra de tratamento: Apenas para funcionários, mantidas dentro dos sistemas da empresa e não compartilhadas externamente sem a autorização do proprietário.

1. Lista de funcionários.
2. Um boletim informativo interno.
3. Notas da reunião.
4. Um documento de política.
5. Um plano de projeto.

Nossa escolha: anotações de reunião. Eles parecem inofensivos, mas frequentemente contêm nomes de clientes, preços ou pessoas. Verifique o conteúdo antes de encaminhá-los a um fornecedor.

Rodada 3: Confidencial (5 exemplos)

Informações confidenciais podem causar danos reais se caírem em mãos erradas, como perda de clientes, problemas legais ou uma posição mais frágil em uma negociação.

Regra de tratamento: Somente quem precisa saber, criptografadas ao serem enviadas e compartilhadas por meio de ferramentas aprovadas, não por e-mail pessoal.

1. Uma lista de clientes.
2. Um contrato assinado.
3. Uma previsão financeira.
4. Uma avaliação de desempenho.
5. Preços de fornecedor.

Nossa escolha: a lista de clientes. É fácil de exportar e fácil de colar em um e-mail. Um deslize entrega toda a sua carteira de clientes a um concorrente.

Rodada 4: Restrita (5 exemplos)

O nível Restrito é o mais restritivo. Um vazamento de informações poderia causar sérios danos à organização ou a indivíduos, portanto, o acesso é limitado a pessoas nomeadas.

Regra de tratamento: Somente pessoas nomeadas, controles rigorosos e acesso registrado.

1. Senhas e chaves.
2. Dados do cartão de pagamento.
3. Registros de saúde.
4. Resultados financeiros não divulgados.
5. Detalhes do incidente de segurança.

Nossa escolha: credenciais em um documento compartilhado. A maioria das pessoas reconhece esse erro em suas próprias equipes. Uma senha em uma planilha compartilhada é um dado restrito armazenado como se fosse interno.

Como os níveis se relacionam com esquemas formais

Os 4 níveis são uma convenção, portanto nenhum dos esquemas formais os corresponde exatamente. A tabela mostra a aproximação mais próxima. Considere o mapeamento como aproximado.

FIPS 199 Não define quatro níveis. Define três níveis de impacto potencial (baixo, moderado e alto) para informações e sistemas de informação federais, com base no grau de dano que uma perda de confidencialidade, integridade ou disponibilidade causaria (NIST FIPS 199Um efeito adverso limitado é baixo, um efeito adverso grave é moderado e um efeito adverso severo ou catastrófico é alto.

O Política de Classificações de Segurança do Governo do Reino Unido O sistema utiliza três níveis: OFICIAL, SECRETO e ULTRA SECRETO. A página do GOV.UK foi atualizada pela última vez em 5 de agosto de 2024. A categoria OFICIAL abrange a maior parte das informações governamentais, e "-SENSÍVEL" é uma marcação adicional para informações OFICIAIS cuja divulgação poderia causar danos maiores. A política afirma que não se trata de um sistema estatutário (GOV.UK: Classificações de Segurança do Governo).

Os Arquivos Nacionais dos EUA também mantêm um registro de Informações Não Classificadas Controladas (CUI). Trata-se de uma lista de categorias agrupadas por assunto, como infraestrutura crítica, defesa e finanças, e não uma hierarquia de níveis (Registro NARA CUISe a sua organização lida com informações do governo dos EUA, leia o seu contrato para saber quais categorias se aplicam.

Rotulagem e manuseio

Um rótulo só é útil se as pessoas o aplicarem da mesma maneira. Quatro hábitos mantêm a consistência.

1. Etiqueta na criação. O autor é quem melhor conhece o conteúdo do arquivo, portanto, peça a ele que o marque ao salvá-lo.
2. Na dúvida, utilize o nível superior. Tratar um arquivo como confidencial custa um pouco de tempo. Tratar dados confidenciais como internos pode custar caro ao cliente.
3. Nunca faça downgrade sem a autorização do proprietário. Somente o proprietário dos dados, seguindo a política, pode reduzir a classificação.
4. Reclassifique quando a sensibilidade mudar. Uma previsão é confidencial antes da publicação dos resultados e pode ser tornada pública posteriormente.

Esses hábitos são importantes porque as violações de segurança são comuns. A pesquisa acima constatou que 43% das empresas do Reino Unido relataram pelo menos uma violação no último ano, e um arquivo sem etiqueta é um arquivo que ninguém sabia que precisava proteger. Para entender o lado humano dos ataques, veja nossa publicação sobre exemplos de engenharia social.

Formas de organizar um quiz de classificação com AhaSlides

Você pode ensinar os 4 níveis em uma sessão de 20 minutos. A participação da turma faz com que as regras sejam assimiladas com mais facilidade do que se fossem lidas em um PDF com as políticas. Crie cada slide com base nos exemplos acima.

1. Escolha a resposta: "Qual é o nível deste documento?" Mostre um exemplo de cada rodada, adicione uma tabela de classificação e atribua os pontos de acordo com o nível correto.
2. Palavra nuvem: "Qual é o item mais sensível com o qual você lida?" As respostas mostram quais equipes trabalham diariamente com dados confidenciais ou restritos.
3. Escala de classificação: "Qual é o seu nível de confiança ao etiquetar um arquivo?" Dê uma nota de 1 a 5 e, em seguida, entre em contato com as pessoas que deram notas baixas.
4. Pergunta aberta, anônima: "Que pergunta você gostaria de fazer à equipe de segurança?" As pessoas costumam perguntar coisas que não diriam em voz alta.

Procurando mais maneiras de executá-lo? Veja treinamento de conscientização de segurança cibernética, Verificações de segurança de TI e de pulso anti-phishing em Slack e Treinamento em documentação e privacidade de IAO modelo de curso de classificação e tratamento de dados fornece slides prontos para adaptação.

Perguntas frequentes

Quais são os 4 níveis de classificação de dados?

Os esquemas mais comuns são Público, Interno, Confidencial e Restrito, embora cada organização defina os seus próprios. As informações públicas podem ser compartilhadas com qualquer pessoa, as internas permanecem dentro da organização, as confidenciais são restritas a quem precisa saber e as restritas são destinadas apenas a pessoas nomeadas.

Existe um conjunto padrão de níveis de classificação de dados?

Não, não existe um conjunto único. O FIPS 199 define três níveis de impacto (baixo, moderado e alto) para os sistemas federais dos EUA, e o governo do Reino Unido usa suas próprias três classificações: OFICIAL, SECRETO e ULTRA SECRETO. Organizações privadas escolhem as suas próprias, e quatro níveis são um padrão comum.

Quais são exemplos de dados confidenciais?

Listas de clientes, contratos, previsões financeiras e avaliações de desempenho. Os preços dos fornecedores também devem ser incluídos aqui. Todos esses dados causariam sérios danos se chegassem às pessoas erradas, por isso são compartilhados apenas com quem precisa saber.

Qual a diferença entre dados confidenciais e dados restritos?

O nível de acesso restrito é o mais rigoroso, limitado a pessoas específicas e com controles extremamente fortes. Dados confidenciais são compartilhados apenas com quem precisa deles para o trabalho. Dados restritos, como senhas ou dados de cartão de pagamento, são acessíveis a um número muito menor de pessoas e seu acesso é registrado.

Quem decide como os dados são classificados?

O proprietário dos dados, seguindo a política da organização. Normalmente, o autor aplica o rótulo primeiro, e o proprietário o confirma ou altera. Os funcionários não devem rebaixar um rótulo por conta própria.

Por onde começar

Escolha uma equipe, classifique seus 10 arquivos mais comuns com os 4 níveis e aplique o questionário para ver onde as pessoas discordam. Essas discordâncias mostrarão quais exemplos sua política precisa.