Úrovne klasifikácie údajov: 4 úrovne s príkladmi

Podľa údajov britskej vlády štyri z desiatich britských firiem (43 %) a tri z desiatich charitatívnych organizácií (30 %) nahlásili za posledných 12 mesiacov narušenie alebo útok v oblasti kybernetickej bezpečnosti. Prieskum narušení kybernetickej bezpečnosti 2025To je prieskum zo Spojeného kráľovstva, ale tento bod platí aj inde. Väčšina zamestnancov nedokáže chrániť informácie, ktoré nemôže pomenovať, a otázka „je táto tabuľka interná alebo dôverná?“ sa objaví dávno predtým, ako je niekto napadnutý.

Tento príspevok vám predstavuje 4 úrovne klasifikácie údajov, ktoré používa väčšina organizácií: Verejné, Interné, Dôverné a Obmedzené. Každá z nich má 5 príkladov a pravidlo manipulácie. Potom ukazuje, ako sa vzťahujú k dvom formálnym schémam, aby ste vedeli, čo je konvencia a čo je štandard.

Čo je to klasifikácia údajov

Klasifikácia údajov je označenie, ktoré ľuďom hovorí, ako majú s informáciou narábať. Označenie sa nachádza na dokumente, súbore alebo súbore údajov a odkazuje na pravidlo: kto ju môže vidieť, ako ju možno odoslať a ako ju uložiť.

Pre každú organizáciu nie je vyžadovaný jednotný zoznam úrovní. Štyri nižšie uvedené úrovne predstavujú bežný spôsob nastavenia politiky, nie sú štandardom definovaným NIST alebo akoukoľvek vládou. Vaša vlastná politika môže používať 3 úrovne, 5 úrovní alebo rôzne názvy a vlastník údajov rozhodne, ktoré označenie sa hodí. Príklady sú všeobecné, preto pri ich výučbe použite svoje vlastné dokumenty.

1. kolo: Verejné (5 príkladov)

Verejné informácie sú určené pre každého. Ich zdieľanie mimo organizácie nespôsobuje žiadnu škodu.

Pravidlo manipulácie: žiadne obmedzenie zdieľania, ale publikuje ho iba vlastník a zostáva presný.

1. Zverejnená tlačová správa.
2. Pracovný inzerát.
3. Brožúra o produkte.
4. Verejnosť blog pošta.
5. Ceny zverejnené na webovej stránke.

Náš výber: pracovný inzerát. Ľudia to často považujú za citlivé, pretože to prišlo z personálneho oddelenia. Bolo to napísané pre cudzích ľudí, takže je to verejné.

2. kolo: Interné (5 príkladov)

Interné informácie sú určené pre ľudí, ktorí pracujú pre organizáciu. Nie sú tajné, ale nie sú ani pre externých pracovníkov.

Pravidlo manipulácie: iba pre zamestnancov, uchovávané v rámci firemných systémov a nezdieľané mimo nich bez súhlasu vlastníka.

1. Adresár zamestnancov.
2. Interný newsletter.
3. Poznámky zo stretnutia.
4. Politický dokument.
5. Projektový plán.

Náš výber: poznámky zo stretnutia. Vyzerajú neškodne, no často uvádzajú mená zákazníkov, ceny alebo ľudí. Predtým, ako ich pošlete dodávateľovi, si overte, čo je v nich.

3. kolo: Dôverné (5 príkladov)

Dôverné informácie by spôsobili skutočné škody, ak by sa dostali k nesprávnym ľuďom, ako napríklad stratu zákazníkov, právne odhalenie alebo slabšiu pozíciu v rokovaniach.

Pravidlo manipulácie: iba potrebné vedieť, pri odoslaní šifrované a zdieľané prostredníctvom schválených nástrojov, nie osobného e-mailu.

1. Zoznam zákazníkov.
2. Podpísaná zmluva.
3. Finančná prognóza.
4. Prehľad výkonnosti.
5. Ceny dodávateľov.

Náš výber: zoznam zákazníkov. Je jednoduché ho exportovať a vložiť do e-mailu. Jeden ústrižok odovzdá konkurentovi celú vašu obchodnú knihu.

4. kolo: Obmedzené (5 príkladov)

Obmedzená úroveň je najprísnejšia. Únik by mohol spôsobiť vážne škody organizácii alebo jednotlivcom, takže prístup je obmedzený na menované osoby.

Pravidlo manipulácie: iba menované osoby, najsilnejšie kontroly a prístup, ktorý sa zaznamenáva.

1. Heslá a kľúče.
2. Údaje o platobnej karte.
3. Zdravotné záznamy.
4. Nezverejnené finančné výsledky.
5. Podrobnosti o bezpečnostnom incidente.

Naša voľba: poverenia v zdieľanom dokumente. Väčšina ľudí pozná túto chybu z vlastného tímu. Heslo na zdieľanom hárku je uložené ako interné údaje s obmedzeniami.

Ako sa úrovne mapujú na formálne schémy

Štyri úrovne sú len konvenciou, takže žiadna z formálnych schém im nezodpovedá úplne. Tabuľka zobrazuje najbližšiu zhodu. Mapovanie považujte za približné.

FIPS 199 nedefinuje štyri úrovne. Definuje tri úrovne potenciálneho vplyvu (nízka, stredná a vysoká) na federálne informácie a informačné systémy na základe toho, akú škodu by spôsobila strata dôvernosti, integrity alebo dostupnosti (NIST FIPS 199). Obmedzený nepriaznivý účinok je nízky, závažný je mierny a závažný alebo katastrofický je vysoký.

Politika britskej vlády v oblasti bezpečnostných klasifikácií používa tri úrovne: OFICIÁLNE, TAJNÉ a PRÍSNE TAJNÉ. Stránka GOV.UK bola naposledy aktualizovaná 5. augusta 2024. OFICIÁLNE sa vzťahuje na väčšinu vládnych informácií a „-CITLIVÉ“ je dodatočné označenie pre OFICIÁLNE informácie, ktorých prezradenie by mohlo spôsobiť väčšie škody. Politika hovorí, že nejde o zákonnú schému (GOV.UK: Vládne bezpečnostné klasifikácie).

Národný archív USA tiež vedie register kontrolovaných neutajovaných informácií (CUI). Ide o zoznam kategórií zoskupených podľa témy, ako napríklad kritická infraštruktúra, obrana a financie, nie o rebríček úrovní (Register NARA CUIAk vaša organizácia spracováva informácie vlády USA, prečítajte si zmluvu, kde nájdete informácie o tom, ktoré kategórie sa na ne vzťahujú.

Označovanie a manipulácia

Označenie pomáha iba vtedy, ak ho ľudia používajú rovnakým spôsobom. Štyri návyky ho udržiavajú konzistentným.

1. Označenie pri vytvorení. Autor najlepšie vie, čo sa v súbore nachádza, preto ho požiadajte, aby si to pri ukladaní označil.
2. Ak si nie ste istí, použite vyššiu úroveň. Zaobchádzanie so súborom ako s dôverným stojí trochu času. Zaobchádzanie s dôvernými údajmi ako s internými môže zákazníka stáť peniaze.
3. Nikdy neznižujte verziu bez konzultácie s majiteľom. Iba vlastník údajov môže v súlade s pravidlami znížiť označenie.
4. Preklasifikujte, keď sa zmení citlivosť. Predpoveď je dôverná pred zverejnením výsledkov a po jej zverejnení môže byť verejná.

Tieto návyky sú dôležité, pretože narušenia sú bežné. Vyššie uvedený prieskum zistil, že 43 % britských firiem nahlásilo jeden takýto prípad v minulom roku a súbor bez označenia je súbor, o ktorom nikto nevedel, že ho má chrániť. Ľudskú stránku útokov nájdete v našom príspevku na príklady sociálneho inžinierstva.

Spôsoby usporiadania klasifikačného kvízu s AhaSlides

Všetky 4 úrovne môžete vyučovať v jednom 20-minútovom stretnutí. Učebňa odpovedá, takže pravidlá sa lepšie zapamätajú ako z PDF súboru s pravidlami. Každý slajd zostavte z vyššie uvedených príkladov.

1. Vyberte odpoveď: „Ktorej úrovne je tento dokument?“ Ukážte príklad z každého kola, pridajte rebríček a udeľte body za správnu úroveň.
2. Word Cloud: „Čo je najcitlivejšia vec, s ktorou pracujete?“ Odpovede ukazujú, ktoré z vašich tímov pracujú každý deň s dôvernými alebo obmedzenými údajmi.
3. Hodnotiaca stupnica: „Ako veľmi si istí, že súbor označíte?“ Ohodnoťte ho na stupnici od 1 do 5 a potom sa obráťte na ľudí, ktorí dosiahli nízke skóre.
4. Otvorené, anonymné: „Akú otázku by ste chceli položiť bezpečnostnému tímu?“ Ľudia sa budú pýtať veci, ktoré by nepovedali nahlas.

Hľadáte ďalšie spôsoby, ako to spustiť? Pozrite si školenie o kybernetickej bezpečnosti, Kontroly IT bezpečnosti a phishingu Slack a Dokumentácia k umelej inteligencii a školenie o ochrane súkromiaŠablóna kurzu Klasifikácia a manipulácia s údajmi vám poskytne snímky pripravené na prispôsobenie.

Často kladené otázky

Aké sú 4 úrovne klasifikácie údajov?

Verejné, interné, dôverné a obmedzené je najbežnejšia schéma, hoci každá organizácia si stanovuje vlastnú. Verejné sa môže zdieľať s kýmkoľvek, interné zostáva v rámci organizácie, dôverné je potrebné vedieť a obmedzené je len pre menované osoby.

Existuje štandardná sada úrovní klasifikácie údajov?

Nie, neexistuje jedna sada. Norma FIPS 199 definuje tri úrovne vplyvu (nízku, strednú a vysokú) pre federálne systémy USA a vláda Spojeného kráľovstva používa vlastné tri klasifikácie: OFICIÁLNE, TAJNÉ a PRÍSNE TAJNÉ. Súkromné ​​organizácie si vyberajú vlastné a bežným vzorom sú 4 úrovne.

Aké sú príklady dôverných údajov?

Zoznamy zákazníkov, zmluvy, finančné prognózy a hodnotenia výkonnosti. Patria sem aj ceny dodávateľov. Všetky tieto informácie by spôsobili skutočné škody, ak by sa dostali k nesprávnym ľuďom, takže sa zdieľajú na základe potreby.

Aký je rozdiel medzi dôvernými a obmedzenými údajmi?

Obmedzená úroveň je najprísnejšia a obmedzuje sa na určené osoby s najsilnejšími kontrolami. Dôverné údaje sa zdieľajú s každým, kto ich potrebuje pre svoju prácu. Obmedzené údaje, ako sú heslá alebo údaje o platobných kartách, sú dostupné oveľa menšiemu počtu ľudí a ich prístup sa zaznamenáva.

Kto rozhoduje o tom, ako sa údaje klasifikujú?

Vlastník údajov v súlade s politikou organizácie. Autor zvyčajne najprv použije označenie a vlastník ho potvrdí alebo zmení. Zamestnanci by si nemali sami znižovať úroveň označenia.

Kde začať

Vyberte si jeden tím, označte jeho 10 najbežnejších súborov 4 úrovňami a spustite kvíz, aby ste zistili, v čom sa ľudia nezhodujú. Tieto nezhody vám ukážu, ktoré príklady vaša politika potrebuje.