Fyra av tio brittiska företag (43 %) och tre av tio välgörenhetsorganisationer (30 %) rapporterade ett cybersäkerhetsintrång eller en cyberattack under de senaste 12 månaderna, enligt den brittiska regeringens Enkät om cybersäkerhetsintrång 2025Det är en brittisk undersökning, men poängen gäller även på andra ställen. De flesta anställda kan inte skydda information de inte kan namnge, och frågan "är detta kalkylblad internt eller konfidentiellt?" dyker upp långt innan någon attackeras.
Det här inlägget ger dig de fyra dataklassificeringsnivåer som de flesta organisationer använder: Offentlig, Intern, Konfidentiell och Begränsad. Var och en har fem exempel och en hanteringsregel. Sedan visas hur de relaterar till två formella scheman, så att du vet vad som är en konvention och vad som är en standard.
Vad är dataklassificering
Dataklassificering är en etikett som talar om för människor hur de ska hantera en viss information. Etiketten finns på ett dokument, en fil eller en datamängd och pekar på en regel: vem som får se den, hur den får skickas och hur den lagras.
Ingen enskild lista med nivåer krävs för varje organisation. De fyra nedanstående är ett vanligt sätt att upprätta en policy, inte en standard definierad av NIST eller av någon regering. Din egen policy kan använda 3 nivåer, 5 nivåer eller olika namn, och dataägaren bestämmer vilken etikett som passar. Exemplen är generiska, så byt ut dina egna dokument när du lär ut dem.
Omgång 1: Publik (5 exempel)
Offentlig information är avsedd att vara synlig för alla. Att dela den utanför organisationen orsakar ingen skada.
Hanteringsregel: inga begränsningar för delning, utan endast ägaren publicerar den, och den förblir korrekt.
- Ett publicerat pressmeddelande.
- En jobbannons.
- En produktbroschyr.
- En allmänhet blog posta.
- Publicerade priser på webbplatsen.
Vårt val: jobbannonsen. Folk behandlar det ofta som känsligt eftersom det kommer från HR. Det skrevs för att läsas av främlingar, så det är offentligt.
Omgång 2: Intern (5 exempel)
Intern information är för personer som arbetar för organisationen. Den är inte hemlig, men den är inte för utomstående.
Hanteringsregel: endast anställda, förvaras inom företagets system och delas inte utanför företaget utan ägarens tillstånd.
- Personalkatalogen.
- Ett internt nyhetsbrev.
- Mötesanteckningar.
- Ett policydokument.
- En projektplan.
Vårt val: mötesanteckningar. De ser harmlösa ut, men de namnger ofta kunder, priser eller personer. Kontrollera vad som finns i dem innan du vidarebefordrar dem till en leverantör.
Omgång 3: Konfidentiellt (5 exempel)
Konfidentiell information skulle orsaka verklig skada om den nådde fel personer, såsom förlorade kunder, juridisk exponering eller en svagare position i en förhandling.
Hanteringsregel: endast behöver veta, krypterad när den skickas och delad via godkända verktyg, inte personlig e-post.
- En kundlista.
- Ett undertecknat kontrakt.
- En finansiell prognos.
- En prestationsgranskning.
- Leverantörsprissättning.
Vårt val: kundlistan. Den är enkel att exportera och enkel att klistra in i ett e-postmeddelande. En enda lapp ger en konkurrent hela din affärsbok.
Omgång 4: Begränsad (5 exempel)
Begränsad är den strängaste nivån. En läcka kan orsaka allvarlig skada för organisationen eller individer, så åtkomsten är begränsad till namngivna personer.
Hanteringsregel: endast namngivna personer, de starkaste kontrollerna och åtkomst som loggas.
- Lösenord och nycklar.
- Betalkortsuppgifter.
- Hälsojournaler.
- Ej offentliggjorda finansiella resultat.
- Detaljer om säkerhetsincidenter.
Vårt val: inloggningsuppgifter i ett delat dokument. De flesta känner igen detta misstag från sitt eget team. Ett lösenord på ett delat ark lagras som om det vore internt.
Hur nivåerna mappas till formella scheman
De fyra nivåerna är en konvention, så inget av de formella schemana matchar dem en för en. Tabellen visar den närmaste anpassningen. Betrakta kartläggningen som ungefärlig.
| Gemensamma 4 nivåer | NIST FIPS 199 (amerikanska federala system) | Säkerhetsklassificeringar från den brittiska regeringen |
|---|---|---|
| offentliga | Sekretess inte tillämplig, ungefär | Inte täckt, eftersom det brittiska systemet klassificerar statlig information |
| Inre | Låg påverkan, ungefär | OFFICIELL, ungefär |
| Konfidentiell | Måttlig påverkan, ungefär | TJÄNSTEMAN med markeringen -KÄNSLIG, ungefär |
| begränsad | Hög effekt, ungefär | HEMLIGT och TOPPHEMLIGT, ungefär |
FIPS 199 definierar inte fyra nivåer. Den definierar tre nivåer av potentiell påverkan (låg, måttlig och hög) för federal information och informationssystem, baserat på hur mycket skada en förlust av konfidentialitet, integritet eller tillgänglighet skulle orsaka (NIST FIPS 199En begränsad biverkning är låg, en allvarlig är måttlig och en allvarlig eller katastrofal är hög.
Ocuco-landskapet Den brittiska regeringens säkerhetsklassificeringspolicy använder tre nivåer: OFFICIELL, HEMLIG och TOPPHEMLIG. GOV.UK-sidan uppdaterades senast den 5 augusti 2024. OFFICIELL täcker den mesta statliga informationen, och "-KÄNSLIG" är en ytterligare markering på OFFICIELL information vars kompromettering kan orsaka mer skada. Policyn säger att det inte är ett lagstadgat system (GOV.UK: Säkerhetsklassificeringar för myndigheter).
Det amerikanska nationalarkivet har också ett register över kontrollerad oklassificerad information (CUI). Det är en lista över kategorier grupperade efter ämne, såsom kritisk infrastruktur, försvar och finans, inte en nivåstege (NARA CUI-registerOm din organisation hanterar information från amerikanska myndigheter, läs ditt avtal för vilka kategorier som gäller.
Märkning och hantering
En etikett hjälper bara om folk tillämpar den på samma sätt. Fyra vanor håller den konsekvent.
- Etikett vid skapande. Författaren vet bäst vad som finns i filen, så be hen markera det när hen sparar den.
- Använd den högre nivån när du är osäker. Att behandla en fil som konfidentiell kostar lite tid. Att behandla konfidentiell data som intern kan kosta en kund.
- Nedgradera aldrig utan ägaren. Endast dataägaren, som följer policyn, kan sänka en etikett.
- Omklassificera när känsligheten ändras. En prognos är konfidentiell innan resultaten publiceras och kan bli offentlig efteråt.
Dessa vanor är viktiga eftersom dataintrång är vanliga. Undersökningen ovan visade att 43 % av brittiska företag rapporterade ett dataintrång under det senaste året, och en fil utan etikett är en fil som ingen visste att skydda. För den mänskliga sidan av attacker, se vårt inlägg om exempel på social ingenjörskonst.
Sätt att hålla ett klassificeringsquiz med AhaSlides
Du kan undervisa i de fyra nivåerna under en 20-minuterssession. Rummet svarar, så reglerna hänger bättre ihop än från en PDF-fil med policyer. Bygg varje bild utifrån exemplen ovan.
- Välj svar: "Vilken nivå är det här dokumentet?" Visa ett exempel från varje runda, lägg till en topplista och ge poäng för rätt nivå.
- Word Cloud: "Vad är det känsligaste ni hanterar?" Svaren visar vilka av era team som arbetar med konfidentiella eller begränsade uppgifter varje dag.
- Betygsskala: "Hur säker är du på att märka en fil?" Betygsätt från 1 till 5 och följ sedan upp med de personer som får lågt resultat.
- Öppen slutsats, anonym: "Vilken fråga skulle du vilja ställa till säkerhetspersonalen?" Folk kommer att fråga saker de inte skulle säga högt.
Letar du efter fler sätt att köra den? Se utbildning om cybersäkerhet, IT-säkerhet och nätfiskepulskontroller Slack och AI-dokumentation och sekretessutbildningKursmallen för dataklassificering och -hantering ger dig bilder som är redo att anpassas.
Vanliga frågor och svar
Vilka är de fyra nivåerna av dataklassificering?
Offentlig, Intern, Konfidentiell och Begränsad är det vanligaste schemat, även om varje organisation har sina egna. Offentlig kan delas med vem som helst, Intern stannar inom organisationen, Konfidentiell är nödvändig information och Begränsad är endast för namngivna personer.
Finns det en standarduppsättning för dataklassificeringsnivåer?
Nej, det finns ingen enskild uppsättning. FIPS 199 definierar tre nivåer av påverkan (låg, måttlig och hög) för amerikanska federala system, och den brittiska regeringen använder sina egna tre klassificeringar: OFFICIELL, HEMLIG och TOPPHEMLIG. Privata organisationer väljer sina egna, och fyra nivåer är ett vanligt mönster.
Vilka är exempel på konfidentiella uppgifter?
Kundlistor, kontrakt, ekonomiska prognoser och prestationsbedömningar. Leverantörspriser hör också hemma här. Alla dessa skulle orsaka verklig skada om de nådde fel personer, så de delas på behovsnivå.
Vad är skillnaden mellan konfidentiella och begränsade uppgifter?
Begränsad är den strängaste nivån, begränsad till namngivna personer med de starkaste kontrollerna. Konfidentiella uppgifter delas med alla som behöver dem för sitt jobb. Begränsade uppgifter, såsom lösenord eller betalkortsuppgifter, är tillgängliga för betydligt färre personer och åtkomsten till dem loggas.
Vem bestämmer hur data klassificeras?
Dataägaren, enligt organisationens policy. Författaren tillämpar vanligtvis etiketten först, och ägaren bekräftar den eller ändrar den. Personalen bör inte själva nedgradera en etikett.
Var ska man börja
Välj ett team, märk dess 10 vanligaste filer med de fyra nivåerna och kör quizet för att se var folk är oense. Dessa meningsskiljaktigheter visar vilka exempel din policy behöver.
