ระดับการจำแนกข้อมูล: 4 ระดับ พร้อมตัวอย่าง

จากข้อมูลของรัฐบาลสหราชอาณาจักร พบว่า ธุรกิจในสหราชอาณาจักร 4 ใน 10 แห่ง (43%) และองค์กรการกุศล 3 ใน 10 แห่ง (30%) รายงานว่าประสบกับการละเมิดหรือโจมตีทางไซเบอร์ในช่วง 12 เดือนที่ผ่านมา การสำรวจการละเมิดความปลอดภัยทางไซเบอร์ ปี 2025นั่นเป็นผลสำรวจจากสหราชอาณาจักร แต่ประเด็นนี้ก็ใช้ได้กับที่อื่นๆ ด้วย พนักงานส่วนใหญ่ไม่สามารถปกป้องข้อมูลที่พวกเขาไม่สามารถระบุชื่อได้ และคำถามที่ว่า "สเปรดชีตนี้เป็นข้อมูลภายในหรือข้อมูลลับ?" มักเกิดขึ้นก่อนที่ใครจะถูกโจมตีเสียอีก

บทความนี้จะอธิบายระดับการจำแนกข้อมูล 4 ระดับที่องค์กรส่วนใหญ่ใช้ ได้แก่ ข้อมูลสาธารณะ ข้อมูลภายใน ข้อมูลลับ และข้อมูลจำกัด แต่ละระดับจะมีตัวอย่าง 5 ตัวอย่างและกฎการจัดการ จากนั้นจะแสดงให้เห็นว่าระดับเหล่านี้มีความสัมพันธ์กับรูปแบบที่เป็นทางการสองแบบอย่างไร เพื่อให้คุณเข้าใจว่าอะไรคือข้อตกลงร่วมกันและอะไรคือมาตรฐาน

การจำแนกประเภทข้อมูลคืออะไร

การจำแนกประเภทข้อมูลคือป้ายกำกับที่บอกผู้คนถึงวิธีการจัดการข้อมูลชิ้นหนึ่ง ป้ายกำกับนี้จะอยู่บนเอกสาร ไฟล์ หรือชุดข้อมูล และชี้ไปยังกฎเกณฑ์ต่างๆ เช่น ใครสามารถดูได้ ส่งได้อย่างไร และจัดเก็บอย่างไร

ไม่มีรายการระดับมาตรฐานเดียวสำหรับทุกองค์กร 4 ระดับด้านล่างเป็นเพียงวิธีการกำหนดนโยบายทั่วไป ไม่ใช่มาตรฐานที่กำหนดโดย NIST หรือหน่วยงานรัฐบาลใดๆ นโยบายของคุณเองอาจใช้ 3 ระดับ 5 ระดับ หรือชื่ออื่นๆ ก็ได้ และเจ้าของข้อมูลจะเป็นผู้ตัดสินใจว่าป้ายกำกับใดเหมาะสม ตัวอย่างเหล่านี้เป็นเพียงตัวอย่างทั่วไป ดังนั้นให้ปรับเปลี่ยนเอกสารของคุณเองเมื่อสอน

รอบที่ 1: บุคคลทั่วไป (5 ตัวอย่าง)

ข้อมูลสาธารณะมีไว้ให้ทุกคนได้เห็น การแบ่งปันข้อมูลออกไปนอกองค์กรไม่ได้ก่อให้เกิดอันตรายใดๆ

กฎการจัดการ: ไม่มีข้อจำกัดในการแบ่งปัน แต่มีเพียงเจ้าของเท่านั้นที่เป็นผู้เผยแพร่ และข้อมูลจะคงความถูกต้องแม่นยำ

1. ข่าวประชาสัมพันธ์ที่เผยแพร่แล้ว
2. ประกาศรับสมัครงาน
3. เอกสารแนะนำผลิตภัณฑ์
4. สาธารณะ blog เสา
5. ราคาสินค้าที่ประกาศไว้บนเว็บไซต์

ตัวเลือกที่เราแนะนำ: ประกาศรับสมัครงาน หลายคนมักมองว่ามันเป็นเรื่องละเอียดอ่อนเพราะมาจากฝ่ายทรัพยากรบุคคล แต่ความจริงแล้วเขียนขึ้นเพื่อให้คนทั่วไปได้อ่าน ดังนั้นจึงถือเป็นข้อมูลสาธารณะ

รอบที่ 2: การประเมินภายใน (5 ตัวอย่าง)

ข้อมูลภายในมีไว้สำหรับผู้ที่ทำงานให้กับองค์กรเท่านั้น ไม่ใช่ข้อมูลลับ แต่ก็ไม่ใช่ข้อมูลสำหรับบุคคลภายนอก

กฎการจัดการ: ข้อมูลนี้มีไว้สำหรับพนักงานเท่านั้น เก็บไว้ภายในระบบของบริษัท และจะไม่เปิดเผยให้บุคคลภายนอกทราบโดยไม่ได้รับอนุญาตจากเจ้าของ

1. รายชื่อบุคลากร
2. จดหมายข่าวภายในองค์กร
3. บันทึกการประชุม
4. เอกสารนโยบาย
5. แผนโครงการ

ตัวเลือกที่เราแนะนำ: บันทึกการประชุม เอกสารเหล่านี้ดูเหมือนจะไม่มีอันตรายอะไร แต่บ่อยครั้งที่ระบุชื่อลูกค้า ราคา หรือบุคคล ดังนั้นควรตรวจสอบเนื้อหาภายในก่อนส่งต่อให้ผู้จำหน่าย

รอบที่ 3: ข้อมูลลับ (5 ตัวอย่าง)

ข้อมูลที่เป็นความลับอาจก่อให้เกิดความเสียหายร้ายแรงหากตกไปอยู่ในมือของบุคคลที่ไม่เหมาะสม เช่น การสูญเสียลูกค้า ความเสี่ยงทางกฎหมาย หรือความเสียเปรียบในการเจรจาต่อรอง

กฎการจัดการ: เฉพาะผู้ที่จำเป็นต้องทราบเท่านั้น ข้อมูลจะถูกเข้ารหัสเมื่อส่ง และแชร์ผ่านเครื่องมือที่ได้รับอนุญาต ไม่ใช่ผ่านอีเมลส่วนตัว

1. รายชื่อลูกค้า
2. สัญญาที่ลงนามแล้ว
3. การพยากรณ์ทางการเงิน
4. การประเมินผลการปฏิบัติงาน
5. ราคาจากผู้จำหน่าย

ตัวเลือกที่เราแนะนำ: รายชื่อลูกค้า ส่งออกง่าย และคัดลอกไปวางในอีเมลก็ง่ายเช่นกัน แค่ใบเดียวก็อาจทำให้คู่แข่งได้ลูกค้าทั้งหมดของคุณไป

รอบที่ 4: ข้อจำกัด (5 ตัวอย่าง)

ระดับการจำกัดสิทธิ์เป็นระดับที่เข้มงวดที่สุด การรั่วไหลของข้อมูลอาจก่อให้เกิดอันตรายร้ายแรงต่อองค์กรหรือบุคคล ดังนั้นจึงจำกัดการเข้าถึงเฉพาะบุคคลที่ระบุชื่อไว้เท่านั้น

กฎการจัดการ: จำกัดเฉพาะบุคคลที่ระบุชื่อไว้เท่านั้น มีการควบคุมที่เข้มงวดที่สุด และมีการบันทึกการเข้าถึงไว้

1. รหัสผ่านและกุญแจ
2. ข้อมูลบัตรชำระเงิน
3. บันทึกสุขภาพ
4. ผลประกอบการทางการเงินที่ยังไม่ได้เปิดเผย
5. รายละเอียดเหตุการณ์ด้านความปลอดภัย

ตัวเลือกที่เราแนะนำ: การจัดเก็บข้อมูลประจำตัวไว้ในเอกสารที่ใช้ร่วมกัน คนส่วนใหญ่มักพบข้อผิดพลาดนี้จากทีมงานของตนเอง การตั้งรหัสผ่านในเอกสารที่ใช้ร่วมกันถือเป็นข้อมูลที่จำกัดการเข้าถึง เหมือนกับว่าเป็นข้อมูลภายในองค์กร

ระดับต่างๆ สอดคล้องกับแผนงานที่เป็นทางการอย่างไร

ระดับทั้ง 4 ระดับเป็นเพียงข้อตกลงร่วมกัน ดังนั้นจึงไม่มีรูปแบบที่เป็นทางการใดที่ตรงกับระดับเหล่านี้อย่างตรงตัว ตารางนี้แสดงรูปแบบที่ใกล้เคียงที่สุด โปรดพิจารณาการจับคู่ดังกล่าวว่าเป็นเพียงค่าประมาณ

สพป.199 ไม่ได้กำหนดระดับไว้สี่ระดับ แต่กำหนดระดับผลกระทบที่อาจเกิดขึ้นไว้สามระดับ (ต่ำ ปานกลาง และสูง) สำหรับข้อมูลและระบบข้อมูลของรัฐบาลกลาง โดยพิจารณาจากความเสียหายที่จะเกิดขึ้นจากการสูญเสียความลับ ความสมบูรณ์ หรือความพร้อมใช้งาน (NIST FIPS 199ผลข้างเคียงเล็กน้อยถือว่าต่ำ ผลข้างเคียงร้ายแรงถือว่าปานกลาง และผลข้างเคียงรุนแรงหรือร้ายแรงมากถือว่าสูง

การขอ นโยบายการจำแนกประเภทความปลอดภัยของรัฐบาลสหราชอาณาจักร ใช้ระบบสามระดับ ได้แก่ ทางการ (OFFICIAL), ลับ (SECRET) และลับสุดยอด (TOP SECRET) หน้าเว็บ GOV.UK ได้รับการอัปเดตครั้งล่าสุดเมื่อวันที่ 5 สิงหาคม 2024 ข้อมูลทางการครอบคลุมข้อมูลของรัฐบาลส่วนใหญ่ และ "-SENSITIVE" เป็นเครื่องหมายเพิ่มเติมสำหรับข้อมูลทางการ ซึ่งหากรั่วไหลอาจก่อให้เกิดความเสียหายมากขึ้น นโยบายระบุว่าไม่ใช่โครงการตามกฎหมาย (GOV.UK: การจำแนกประเภทความปลอดภัยของรัฐบาล).

หอจดหมายเหตุแห่งชาติสหรัฐอเมริกายังเก็บรักษาทะเบียนข้อมูลที่ไม่เป็นความลับแต่ควบคุมได้ (Controlled Unclassified Information หรือ CUI) ซึ่งเป็นรายการหมวดหมู่ที่จัดกลุ่มตามหัวข้อ เช่น โครงสร้างพื้นฐานที่สำคัญ การป้องกันประเทศ และการเงิน ไม่ใช่ลำดับชั้น (ทะเบียน NARA CUIหากองค์กรของคุณจัดการข้อมูลของรัฐบาลสหรัฐฯ โปรดอ่านสัญญาของคุณเพื่อดูว่าหมวดหมู่ใดบ้างที่เกี่ยวข้อง

การติดฉลากและการจัดการ

การติดป้ายกำกับจะมีประโยชน์ก็ต่อเมื่อทุกคนนำไปใช้ในลักษณะเดียวกัน สี่นิสัยนี้จะช่วยให้การใช้ป้ายกำกับนั้นสม่ำเสมอ

1. ติดป้ายกำกับตอนสร้าง ผู้เขียนย่อมรู้ดีที่สุดว่ามีอะไรอยู่ในไฟล์ ดังนั้นขอให้เขาระบุข้อมูลนั้นเมื่อทำการบันทึกไฟล์
2. หากไม่แน่ใจ ให้ใช้ระดับที่สูงกว่า การจัดการไฟล์ในฐานะข้อมูลลับนั้นใช้เวลาเพียงเล็กน้อย แต่การจัดการข้อมูลลับในฐานะข้อมูลภายในอาจทำให้ลูกค้าเสียค่าใช้จ่ายได้
3. ห้ามดาวน์โหลดเวอร์ชันเก่าโดยไม่ได้รับอนุญาตจากเจ้าของ เฉพาะเจ้าของข้อมูลเท่านั้นที่สามารถลดระดับป้ายกำกับได้ โดยต้องปฏิบัติตามนโยบายที่กำหนดไว้
4. จัดประเภทใหม่เมื่อความไวต่อการเปลี่ยนแปลงเกิดขึ้น ข้อมูลการคาดการณ์จะถูกเก็บเป็นความลับก่อนที่จะมีการเผยแพร่ผลลัพธ์ และอาจเปิดเผยต่อสาธารณะในภายหลัง

พฤติกรรมเหล่านี้มีความสำคัญเพราะการละเมิดข้อมูลเกิดขึ้นบ่อยครั้ง จากผลสำรวจข้างต้นพบว่า 43% ของธุรกิจในสหราชอาณาจักรรายงานว่ามีการละเมิดข้อมูลเกิดขึ้นในปีที่ผ่านมา และไฟล์ที่ไม่มีป้ายกำกับก็คือไฟล์ที่ไม่มีใครรู้ว่าต้องปกป้อง สำหรับแง่มุมด้านมนุษย์ของการโจมตี โปรดดูโพสต์ของเราเกี่ยวกับ ตัวอย่างการวิศวกรรมทางสังคม.

วิธีการจัดแบบทดสอบจำแนกประเภทด้วย AhaSlides

คุณสามารถสอนทั้ง 4 ระดับได้ภายในเวลา 20 นาที การตอบสนองจากผู้เรียนจะช่วยให้กฎต่างๆ จำได้ดีกว่าการอ่านจากเอกสารนโยบายในรูปแบบไฟล์ PDF สร้างสไลด์แต่ละแผ่นจากตัวอย่างข้างต้น

1. เลือกคำตอบ: "เอกสารนี้อยู่ในระดับใด" แสดงตัวอย่างจากแต่ละรอบ เพิ่มตารางคะแนน และให้คะแนนตามระดับที่ถูกต้อง
2. เมฆคำ: "อะไรคือสิ่งที่ละเอียดอ่อนที่สุดที่คุณต้องจัดการ?" คำตอบจะแสดงให้เห็นว่าทีมใดของคุณทำงานกับข้อมูลที่เป็นความลับหรือข้อมูลที่ถูกจำกัดทุกวัน
3. ระดับคะแนน: "คุณมั่นใจแค่ไหนในการติดป้ายกำกับไฟล์?" ให้คะแนนตั้งแต่ 1 ถึง 5 จากนั้นติดตามผลกับผู้ที่ได้คะแนนต่ำ
4. คำตอบเปิดกว้าง ไม่ระบุชื่อผู้ตอบ: "คุณอยากถามอะไรกับทีมรักษาความปลอดภัยบ้าง?" ผู้คนมักถามในสิ่งที่พวกเขาไม่กล้าพูดออกมาดังๆ

กำลังมองหาวิธีใช้งานเพิ่มเติมใช่ไหม? ดูที่นี่ อบรมความรู้เรื่องความปลอดภัยทางไซเบอร์, การตรวจสอบความปลอดภัยด้านไอทีและการเฝ้าระวังการโจมตีแบบฟิชชิง Slack และ เอกสารเกี่ยวกับ AI และการฝึกอบรมด้านความเป็นส่วนตัวเทมเพลตหลักสูตรการจำแนกและการจัดการข้อมูลจะให้สไลด์ที่พร้อมให้คุณปรับแต่งได้

คำถามที่พบบ่อย

การจำแนกประเภทข้อมูลมี 4 ระดับอะไรบ้าง?

รูปแบบการเปิดเผยข้อมูลที่ใช้กันทั่วไปคือ สาธารณะ ภายใน เป็นความลับ และจำกัด แม้ว่าแต่ละองค์กรจะกำหนดรูปแบบของตนเองก็ตาม สาธารณะสามารถแบ่งปันกับใครก็ได้ ภายในจะเก็บไว้เฉพาะภายในองค์กร เป็นความลับ คือเฉพาะผู้ที่จำเป็นต้องรู้ และจำกัด คือเฉพาะบุคคลที่ระบุชื่อไว้เท่านั้น

มีมาตรฐานกำหนดระดับการจำแนกประเภทข้อมูลหรือไม่?

ไม่ มีมาตรฐานชุดเดียว FIPS 199 กำหนดระดับผลกระทบไว้สามระดับ (ต่ำ ปานกลาง และสูง) สำหรับระบบของรัฐบาลกลางสหรัฐฯ และรัฐบาลสหราชอาณาจักรใช้การจำแนกประเภทสามระดับของตนเอง คือ ทางการ ลับ และลับสุดยอด องค์กรเอกชนเลือกใช้มาตรฐานของตนเอง และรูปแบบ 4 ระดับเป็นรูปแบบที่พบได้ทั่วไป

ตัวอย่างของข้อมูลที่เป็นความลับมีอะไรบ้าง?

รายชื่อลูกค้า สัญญา การคาดการณ์ทางการเงิน และการประเมินผลการปฏิบัติงาน รวมถึงราคาสินค้าจากซัพพลายเออร์ด้วย ข้อมูลเหล่านี้ทั้งหมดจะก่อให้เกิดความเสียหายร้ายแรงหากตกไปอยู่ในมือของบุคคลที่ไม่เหมาะสม ดังนั้นจึงมีการแบ่งปันเฉพาะผู้ที่จำเป็นต้องรู้เท่านั้น

ข้อมูลที่เป็นความลับและข้อมูลที่จำกัดการเข้าถึงแตกต่างกันอย่างไร?

ระดับการรักษาความปลอดภัยแบบจำกัด (Restricted) เป็นระดับที่เข้มงวดที่สุด โดยจำกัดเฉพาะบุคคลที่ระบุชื่อไว้เท่านั้น และมีการควบคุมที่เข้มงวดที่สุด ข้อมูลที่เป็นความลับจะถูกแบ่งปันกับทุกคนที่จำเป็นต้องใช้ในการทำงาน ส่วนข้อมูลที่ถูกจำกัด เช่น รหัสผ่านหรือข้อมูลบัตรชำระเงิน จะเข้าถึงได้โดยบุคคลจำนวนน้อยกว่ามาก และมีการบันทึกการเข้าถึงไว้ด้วย

ใครเป็นผู้กำหนดวิธีการจัดประเภทข้อมูล?

เจ้าของข้อมูลปฏิบัติตามนโยบายขององค์กร โดยปกติผู้เขียนจะเป็นผู้ติดป้ายกำกับก่อน จากนั้นเจ้าของข้อมูลจะตรวจสอบหรือแก้ไข ป้ายกำกับไม่ควรถูกลดระดับโดยเจ้าหน้าที่เอง

จะเริ่มที่ไหนดี

เลือกทีมหนึ่งทีม กำหนดระดับให้กับไฟล์ที่ใช้บ่อยที่สุด 10 ไฟล์ในทีมนั้น แล้วทำการทดสอบเพื่อดูว่ามีความเห็นไม่ตรงกันในเรื่องใดบ้าง ความเห็นที่ไม่ตรงกันเหล่านั้นจะแสดงให้เห็นว่านโยบายของคุณต้องการตัวอย่างแบบใดบ้าง