Уровни классификации данных: 4 уровня с примерами.

Согласно данным правительства Великобритании, четыре из десяти британских компаний (43%) и три из десяти благотворительных организаций (30%) сообщили о кибернарушениях или атаках за последние 12 месяцев. Исследование нарушений кибербезопасности 2025 г.Это результаты опроса, проведенного в Великобритании, но суть применима и в других странах. Большинство сотрудников не могут защитить информацию, название которой они не могут назвать, и вопрос «эта электронная таблица является внутренней или конфиденциальной?» возникает задолго до того, как кто-либо подвергнется нападению.

В этой статье представлены 4 уровня классификации данных, используемые большинством организаций: общедоступные, внутренние, конфиденциальные и ограниченный доступ. Для каждого уровня приведено 5 примеров и правило обработки. Затем показано, как они соотносятся с двумя формальными схемами, чтобы вы понимали, что является соглашением, а что — стандартом.

Что такое классификация данных?

Классификация данных — это метка, которая указывает, как обрабатывать тот или иной фрагмент информации. Метка размещается на документе, файле или наборе данных и указывает на правило: кто может видеть эту информацию, как она может быть отправлена ​​и как она хранится.

Единого списка уровней не требуется для каждой организации. Четыре приведенных ниже варианта представляют собой распространенный способ построения политики, а не стандарт, определенный NIST или каким-либо правительством. В вашей собственной политике могут использоваться 3 уровня, 5 уровней или другие названия, и владелец данных сам решает, какое название подходит. Примеры являются общими, поэтому при обучении используйте свои собственные документы.

Раунд 1: Общедоступные (5 примеров)

Общедоступная информация предназначена для всеобщего обозрения. Распространение её за пределами организации не причинит вреда.

Правило обработки: Нет никаких ограничений на распространение, но публиковать его может только владелец, и информация должна оставаться актуальной.

1. Опубликованный пресс-релиз.
2. Объявление о вакансии.
3. Брошюра о продукции.
4. Общественности blog после.
5. Цены указаны на сайте.

Наш выбор: объявление о вакансии. Люди часто воспринимают это как конфиденциальную информацию, потому что это исходит из отдела кадров. Но написано оно для того, чтобы его прочитали незнакомые люди, поэтому оно находится в открытом доступе.

Раунд 2: Внутренние (5 примеров)

Внутренняя информация предназначена для сотрудников организации. Она не является секретной, но и не предназначена для посторонних.

Правило обработки: Информация предназначена только для сотрудников, хранится внутри корпоративных систем и не передается третьим лицам без согласия владельца.

1. Справочник сотрудников.
2. Внутренний информационный бюллетень.
3. Протоколы совещаний.
4. Политический документ.
5. План проекта.

Наш выбор: протоколы совещаний. На первый взгляд они кажутся безобидными, но часто содержат имена клиентов, цены или имена людей. Проверьте их содержимое, прежде чем отправлять поставщику.

Раунд 3: Конфиденциально (5 примеров)

Конфиденциальная информация может нанести реальный ущерб, если попадет не к тем людям, например, привести к потере клиентов, юридическим проблемам или ослаблению позиций на переговорах.

Правило обработки: Информация должна быть только необходимой, передаваться в зашифрованном виде и через утвержденные инструменты, а не по личной электронной почте.

1. Список клиентов.
2. Подписанный контракт.
3. Финансовый прогноз.
4. Оценка эффективности работы.
5. Цены от поставщика.

Наш выбор: список клиентов. Его легко экспортировать и легко вставить в электронное письмо. Одна ошибка может привести к тому, что конкурент потеряет весь ваш бизнес.

Раунд 4: Ограниченный (5 примеров)

«Ограниченный» — это самый строгий уровень доступа. Утечка информации может нанести серьезный вред организации или отдельным лицам, поэтому доступ ограничен только для указанных лиц.

Правило обработки: Доступ только для указанных лиц, самые строгие меры контроля и регистрация доступа.

1. Пароли и ключи.
2. Данные платежной карты.
3. Записи о здоровье.
4. Неопубликованные финансовые результаты.
5. Подробности инцидента безопасности.

Наш выбор: учетные данные в общем документе. Большинство людей узнают эту ошибку по опыту работы в своей команде. Пароль к общей таблице хранит конфиденциальные данные так, как если бы они были внутренними.

Как уровни соотносятся с формальными схемами

Четыре уровня — это условность, поэтому ни одна из формальных схем не соответствует им в точности. В таблице показано наиболее близкое соответствие. Рассматривайте это соответствие как приблизительное.

ФИПС 199 В нем не определены четыре уровня. В нем определены три уровня потенциального воздействия (низкий, умеренный и высокий) на федеральную информацию и информационные системы, исходя из того, какой вред может причинить потеря конфиденциальности, целостности или доступности.NIST FIPS 199). Ограниченный побочный эффект считается низким, серьезный — умеренным, а тяжелый или катастрофический — высоким.

Политика правительства Великобритании в отношении секретной информации Используется три уровня: ОФИЦИАЛЬНЫЙ, СЕКРЕТНЫЙ и СОВЕРШЕННО СЕКРЕТНЫЙ. Страница GOV.UK была обновлена ​​5 августа 2024 года. Уровень «ОФИЦИАЛЬНЫЙ» охватывает большую часть правительственной информации, а «-СЕКРЕТНЫЙ» — это дополнительная пометка для ОФИЦИАЛЬНОЙ информации, компрометация которой может привести к большему ущербу. В политике указано, что это не является законодательно установленной схемой.GOV.UK: Правительственная классификация секретной информации).

Национальный архив США также ведет реестр контролируемой несекретной информации (CUI). Это список категорий, сгруппированных по темам, таким как критическая инфраструктура, оборона и финансы, а не иерархическая структура уровней (Реестр NARA CUIЕсли ваша организация работает с информацией правительства США, ознакомьтесь с условиями вашего контракта, чтобы узнать, какие категории информации к ней относятся.

Маркировка и обращение

Ярлык полезен только в том случае, если люди применяют его одинаково. Четыре привычки обеспечивают последовательность.

1. Метка при создании. Автор лучше всех знает, что находится в файле, поэтому попросите его отметить это при сохранении.
2. В случае сомнений используйте более высокий уровень. Обработка файла как конфиденциального требует некоторого времени. Обработка конфиденциальных данных как внутренних может обойтись клиенту дороже.
3. Никогда не снижайте категорию товара без согласия владельца. Понизить уровень маркировки может только владелец данных, соблюдая установленные правила.
4. Переклассифицировать при изменении чувствительности. Прогноз является конфиденциальным до публикации результатов и может стать общедоступным после этого.

Эти привычки важны, потому что утечки данных — обычное явление. Опрос, упомянутый выше, показал, что 43% британских компаний сообщили об одной утечке за последний год, а файл без метки — это файл, который никто не знал, как защитить. О человеческом факторе атак читайте в нашей статье. примеры социальной инженерии.

Способы проведения классификационной викторины с использованием AhaSlides

За 20 минут можно провести обучение по всем 4 уровням. Участники аудитории отвечают, поэтому правила запоминаются лучше, чем если бы они были взяты из PDF-файла с правилами. Каждый слайд следует создавать на основе приведенных выше примеров.

1. Выберите ответ: «К какому уровню относится этот документ?» Покажите пример из каждого раунда, добавьте таблицу лидеров и начислите баллы за правильный уровень.
2. Облако слов: «С какими наиболее конфиденциальными данными вы работаете?» Ответы показывают, какие из ваших команд ежедневно работают с конфиденциальными или ограниченными данными.
3. Шкала оценок: «Насколько вы уверены в правильности маркировки файла?» Оцените по шкале от 1 до 5, а затем свяжитесь с теми, кто получил низкую оценку.
4. Вопрос с открытым ответом, анонимный: «Какой вопрос вы хотели бы задать службе безопасности?» Люди задают вопросы, которые не стали бы произносить вслух.

Ищете другие способы запуска? Смотрите обучение по вопросам кибербезопасности, Проверки информационной безопасности и противодействия фишингу Slack и Документирование ИИ и обучение вопросам конфиденциальностиШаблон курса по классификации и обработке данных содержит готовые слайды, которые можно адаптировать под ваши нужды.

Часто задаваемые вопросы

Каковы 4 уровня классификации данных?

Наиболее распространенная схема — «Общедоступный», «Внутренний», «Конфиденциальный» и «Ограниченный доступ», хотя каждая организация устанавливает свои собственные правила. Доступ к общедоступной информации может быть предоставлен любому, «Внутренний» — внутри организации, «Конфиденциальный» — только тем, кому это необходимо знать, а «Ограниченный доступ» — только определенным лицам.

Существует ли стандартный набор уровней классификации данных?

Нет, единого набора нет. Стандарт FIPS 199 определяет три уровня воздействия (низкий, умеренный и высокий) для федеральных систем США, а правительство Великобритании использует свои собственные три классификации: ОФИЦИАЛЬНЫЙ, СЕКРЕТНЫЙ и СОВЕРШЕННО СЕКРЕТНЫЙ. Частные организации выбирают свои собственные, и 4 уровня — это распространенная схема.

Какие существуют примеры конфиденциальных данных?

Списки клиентов, контракты, финансовые прогнозы и отчеты об эффективности. Цены поставщиков также должны быть здесь указаны. Все это может нанести реальный ущерб, если попадет не к тем людям, поэтому информация предоставляется только тем, кому она необходима.

В чём разница между конфиденциальными и ограниченными данными?

Ограниченный доступ — это самый строгий уровень, доступ к которому имеют только определенные лица с самыми строгими ограничениями. Конфиденциальные данные передаются всем, кому они необходимы для выполнения служебных обязанностей. Доступ к данным с ограниченным доступом, таким как пароли или данные платежных карт, имеет гораздо меньший круг лиц, и доступ к ним регистрируется.

Кто решает, как классифицировать данные?

Владелец данных действует в соответствии с политикой организации. Как правило, сначала присваивается метка автором, а затем владелец подтверждает или изменяет её. Сотрудники не должны самостоятельно понижать уровень метки.

Когда начать

Выберите одну команду, обозначьте 10 наиболее часто встречающихся файлов четырьмя уровнями и проведите тест, чтобы увидеть, в чем мнения участников расходятся. Эти разногласия покажут вам, какие примеры необходимы для вашей политики.