Niveluri de clasificare a datelor: 4 niveluri cu exemple

Patru din zece companii din Marea Britanie (43%) și trei din zece organizații caritabile (30%) au raportat o încălcare a securității cibernetice sau un atac în ultimele 12 luni, potrivit raportului guvernului britanic. Sondaj privind încălcările securității cibernetice 2025Acesta este un sondaj din Regatul Unit, dar ideea este valabilă și în alte locuri. Majoritatea angajaților nu pot proteja informațiile pe care nu le pot numi, iar întrebarea „este această foaie de calcul internă sau confidențială?” apare cu mult înainte ca cineva să fie atacat.

Această postare vă prezintă cele 4 niveluri de clasificare a datelor utilizate de majoritatea organizațiilor: Public, Intern, Confidențial și Restricționat. Fiecare are 5 exemple și o regulă de gestionare. Apoi, arată cum se raportează acestea la două scheme formale, astfel încât să știți ce este o convenție și ce este un standard.

Ce este clasificarea datelor

Clasificarea datelor este o etichetă care le spune oamenilor cum să gestioneze o anumită informație. Eticheta se află pe un document, un fișier sau un set de date și indică o regulă: cine o poate vedea, cum poate fi trimisă și cum este stocată.

Nu este necesară o listă unică de niveluri pentru fiecare organizație. Cele 4 niveluri de mai jos reprezintă o modalitate comună de a stabili o politică, nu un standard definit de NIST sau de vreun guvern. Politica dumneavoastră poate utiliza 3 niveluri, 5 niveluri sau denumiri diferite, iar proprietarul datelor decide ce etichetă se potrivește. Exemplele sunt generice, așa că înlocuiți-le cu propriile documente atunci când le predați.

Runda 1: Public (5 exemple)

Informațiile publice sunt menite să fie vizibile de către oricine. Partajarea lor în afara organizației nu provoacă niciun prejudiciu.

Regulă de manipulare: nicio restricție privind partajarea, ci doar proprietarul îl publică, iar acesta rămâne corect.

1. Un comunicat de presă publicat.
2. Un anunț de angajare.
3. O broșură de produs.
4. Un public blog post.
5. Prețuri publicate pe site.

Alegerea noastră: anunțul de angajare. Oamenii îl tratează adesea ca fiind sensibil, deoarece provine de la Resurse Umane. A fost scris pentru a fi citit de străini, deci este Public.

Runda 2: Intern (5 exemple)

Informațiile interne sunt destinate persoanelor care lucrează pentru organizație. Nu sunt secrete, dar nici celor din afară.

Regulă de manipulare: doar pentru angajați, păstrate în sistemele companiei și nepartajate în exterior fără acordul proprietarului.

1. Directorul personalului.
2. Un buletin informativ intern.
3. Note de ședință.
4. Un document de politică.
5. Un plan de proiect.

Alegerea noastră: notițele ședinței. Par inofensive, însă adesea numesc clienți, prețuri sau persoane. Verificați ce conțin înainte de a le trimite unui furnizor.

Runda 3: Confidențial (5 exemple)

Informațiile confidențiale ar cauza daune reale dacă ar ajunge la persoanele nepotrivite, cum ar fi pierderea de clienți, expunerea la justiție sau o poziție mai slabă într-o negociere.

Regulă de manipulare: doar informațiile pe care trebuie să le cunoașteți, criptate la trimitere și partajate prin instrumente aprobate, nu prin e-mail personal.

1. O listă de clienți.
2. Un contract semnat.
3. O prognoză financiară.
4. O evaluare a performanței.
5. Prețurile furnizorilor.

Alegerea noastră: lista de clienți. Este ușor de exportat și ușor de lipit într-un e-mail. O singură fișă îi înmânează unui concurent întregul portofoliu de afaceri.

Runda 4: Restricționată (5 exemple)

Restricționat este cel mai strict nivel. O scurgere de informații ar putea provoca daune grave organizației sau persoanelor fizice, așadar accesul este limitat la persoane numite.

Regulă de manipulare: doar persoane numite, cele mai puternice controale și acces înregistrat.

1. Parole și chei.
2. Datele cardului de plată.
3. Fișele de sănătate.
4. Rezultate financiare nepublicate.
5. Detalii despre incidentul de securitate.

Alegerea noastră: acreditări într-un document partajat. Majoritatea oamenilor recunosc această greșeală din propria echipă. O parolă dintr-o foaie partajată este stocată ca și cum ar fi internă.

Cum se corelează nivelurile cu schemele formale

Cele 4 niveluri sunt o convenție, deci niciuna dintre schemele formale nu le corespunde individual. Tabelul prezintă cea mai apropiată potrivire. Tratați maparea ca fiind aproximativă.

FIPS 199 Nu definește patru niveluri. Definește trei niveluri de impact potențial (scăzut, moderat și ridicat) pentru informațiile federale și sistemele informatice, pe baza amplorii prejudiciului pe care l-ar cauza o pierdere a confidențialității, integrității sau disponibilității (NIST FIPS 199Un efect advers limitat este scăzut, unul grav este moderat, iar unul sever sau catastrofal este ridicat.

Politica Guvernului Regatului Unit privind clasificarea securității utilizează trei niveluri: OFICIAL, SECRET și STRICT SECRET. Pagina GOV.UK a fost actualizată ultima dată pe 5 august 2024. OFICIAL acoperă majoritatea informațiilor guvernamentale, iar „-SENSIBIL” este un marcaj suplimentar pentru informațiile OFICIALE a căror compromitere ar putea cauza mai multe daune. Politica precizează că nu este o schemă legală (GOV.UK: Clasificări de securitate guvernamentale).

Arhivele Naționale ale SUA păstrează, de asemenea, un registru al informațiilor controlate neclasificate (CUI). Este o listă de categorii grupate pe subiecte, cum ar fi infrastructura critică, apărarea și finanțele, nu o scară de niveluri (Registrul NARA CUIDacă organizația dumneavoastră gestionează informații ale guvernului SUA, citiți contractul pentru a afla care sunt categoriile aplicabile.

Etichetare și manipulare

O etichetă ajută doar dacă oamenii o aplică în același mod. Patru obiceiuri o mențin consecventă.

1. Etichetă la creare. Autorul știe cel mai bine ce se află în fișier, așa că rugați-l să marcheze acel conținut atunci când îl salvează.
2. Dacă nu sunteți sigur, utilizați nivelul superior. Tratarea unui fișier ca fiind confidențial costă puțin timp. Tratarea datelor confidențiale ca fiind interne poate costa un client.
3. Nu face niciodată downgrade fără proprietar. Numai proprietarul datelor, respectând politica, poate reduce o etichetă.
4. Reclasificați atunci când sensibilitatea se modifică. O prognoză este confidențială înainte de publicarea rezultatelor și poate fi făcută publică ulterior.

Aceste obiceiuri contează deoarece breșele de securitate sunt frecvente. Sondajul de mai sus a constatat că 43% dintre companiile din Regatul Unit au raportat una în ultimul an, iar un fișier fără etichetă este un fișier pe care nimeni nu știa să-l protejeze. Pentru aspectul uman al atacurilor, consultați postarea noastră despre exemple de inginerie socială.

Modalități de a găzdui un test de clasificare cu AhaSlides

Poți preda cele 4 niveluri într-o singură sesiune de 20 de minute. Clasa răspunde, așa că regulile se respectă mai bine decât cele dintr-un PDF cu reguli. Construiește fiecare diapozitiv din exemplele de mai sus.

1. Alegeți răspunsul: „La ce nivel este acest document?” Arată câte un exemplu din fiecare rundă, adaugă un clasament și acordă punctele pentru nivelul corect.
2. Cloud de cuvinte: „Care este cel mai sensibil lucru pe care îl gestionați?” Răspunsurile arată care dintre echipele dumneavoastră lucrează zilnic cu date confidențiale sau restricționate.
3. Scala de evaluare: „Cât de încrezător ești în etichetarea unui fișier?” Evaluează de la 1 la 5, apoi contactează persoanele care au obținut un scor mic.
4. Deschis, anonim: „Ce întrebare ați dori să adresați echipei de securitate?” Oamenii vor întreba lucruri pe care nu le-ar spune cu voce tare.

Cauți mai multe modalități de a-l rula? Vezi formare de conștientizare a securității cibernetice, Verificări puls de securitate IT și phishing în Slack și Documentație privind inteligența artificială și instruire privind confidențialitateaȘablonul de curs Clasificarea și gestionarea datelor vă oferă diapozitivele gata de adaptare.

Întrebări frecvente

Care sunt cele 4 niveluri de clasificare a datelor?

Public, Intern, Confidențial și Restricționat este cea mai comună schemă, deși fiecare organizație își stabilește propria schemă. Public poate fi partajat cu oricine, Intern rămâne în cadrul organizației, Confidențial este o opțiune obligatorie, iar Restricționat este destinată doar persoanelor numite.

Există un set standard de niveluri de clasificare a datelor?

Nu, nu există un singur set. FIPS 199 definește trei niveluri de impact (scăzut, moderat și ridicat) pentru sistemele federale din SUA, iar guvernul britanic folosește propriile trei clasificări, OFICIAL, SECRET și TRUS SECRET. Organizațiile private își aleg propriile niveluri, iar cele 4 niveluri reprezintă un model comun.

Care sunt exemple de date confidențiale?

Listele de clienți, contractele, previziunile financiare și evaluările performanței. Și prețurile furnizorilor își au locul aici. Toate acestea ar cauza daune reale dacă ar ajunge la persoanele greșite, așa că sunt partajate pe baza principiului „necesității de a le cunoaște”.

Care este diferența dintre datele confidențiale și cele restricționate?

Restricționat este cel mai strict nivel, limitat la persoane numite care au cele mai puternice controale. Datele confidențiale sunt partajate cu oricine are nevoie de ele pentru munca sa. Datele restricționate, cum ar fi parolele sau datele cardurilor de plată, sunt disponibile pentru mult mai puține persoane, iar accesul la acestea este înregistrat.

Cine decide cum sunt clasificate datele?

Proprietarul datelor, respectând politica organizației. De obicei, autorul aplică mai întâi eticheta, iar proprietarul o confirmă sau o modifică. Personalul nu ar trebui să downgradeze singur o etichetă.

Unde să încep

Alegeți o echipă, etichetați cele mai comune 10 fișiere ale sale cu cele 4 niveluri și rulați testul pentru a vedea unde oamenii nu sunt de acord. Aceste dezacorduri vă arată de ce exemple are nevoie politica dvs.