Birleşik Krallık hükümetinin verilerine göre, Birleşik Krallık'taki işletmelerin onda dördü (%43) ve hayır kurumlarının onda üçü (%30) son 12 ay içinde siber güvenlik ihlali veya saldırısı yaşadığını bildirdi. Siber güvenlik ihlalleri anketi 2025Bu Birleşik Krallık'ta yapılan bir anket, ancak bu nokta başka yerlerde de geçerli. Çoğu personel, adını açıklayamadıkları bilgileri koruyamaz ve "bu elektronik tablo Dahili mi yoksa Gizli mi?" sorusu, herhangi birine saldırı gerçekleşmeden çok önce gündeme gelir.
Bu yazıda, çoğu kuruluşun kullandığı 4 veri sınıflandırma seviyesi sunulmaktadır: Herkese Açık, Dahili, Gizli ve Kısıtlı. Her birinin 5 örneği ve bir işlem kuralı bulunmaktadır. Ardından, bunların iki resmi şemayla nasıl ilişkili olduğu gösterilerek, hangisinin bir kural, hangisinin bir standart olduğu anlaşılmaktadır.
Veri sınıflandırması nedir?
Veri sınıflandırması, insanlara bir bilgi parçasını nasıl ele alacaklarını söyleyen bir etikettir. Bu etiket bir belge, dosya veya veri kümesi üzerinde bulunur ve bir kurala işaret eder: kimin görebileceği, nasıl gönderilebileceği ve nasıl saklanacağı.
Her kuruluş için tek bir seviye listesi gerekli değildir. Aşağıdaki 4 seviye, bir politika oluşturmanın yaygın bir yoludur, NIST veya herhangi bir hükümet tarafından tanımlanmış bir standart değildir. Kendi politikanız 3 seviye, 5 seviye veya farklı isimler kullanabilir ve veri sahibi hangi etiketin uygun olduğuna karar verir. Örnekler geneldir, bu nedenle öğretirken kendi belgelerinizi kullanın.
1. Tur: Herkese Açık (5 örnek)
Herkese açık bilgiler herkes tarafından görülebilmelidir. Bu bilgilerin kuruluş dışında paylaşılması herhangi bir zarara yol açmaz.
İşlem kuralı: Paylaşım konusunda herhangi bir kısıtlama yok, ancak yalnızca sahibi yayınlıyor ve içerik her zaman doğru kalıyor.
- Yayınlanmış bir basın bülteni.
- Bir iş ilanı.
- Ürün broşürü.
- Halk blog sonrası.
- Fiyatlar internet sitesinde yayınlanmıştır.
Bizim tercihimiz: iş ilanı. İnsanlar genellikle bunu İK departmanından geldiği için hassas bir metin olarak değerlendiriyor. Oysa yabancılar tarafından okunmak üzere yazıldı, bu yüzden kamuya açık bir metin.
2. Tur: Dahili (5 örnek)
Kurum içi bilgiler, kuruluşta çalışan kişiler içindir. Gizli değildir, ancak dışarıdakilerin erişimine açık değildir.
İşlem kuralı: Bilgiler yalnızca şirket çalışanları içindir, şirket sistemleri içinde saklanır ve sahibinin izni olmadan dışarıya paylaşılmaz.
- Personel rehberi.
- Kurum içi haber bülteni.
- Toplantı notları.
- Bir politika belgesi.
- Bir proje planı.
Bizim tercihimiz: toplantı notları. Zararsız görünseler de, genellikle müşterilerin, fiyatların veya kişilerin isimlerini içerirler. Tedarikçiye iletmeden önce içeriklerini kontrol edin.
3. Tur: Gizli (5 örnek)
Gizli bilgiler, yanlış kişilerin eline geçerse müşteri kaybı, yasal risk veya müzakerelerde daha zayıf bir konum gibi ciddi zararlara yol açabilir.
İşlem kuralı: Sadece bilmemiz gerekenler, gönderilirken şifrelenir ve kişisel e-posta yoluyla değil, onaylanmış araçlar aracılığıyla paylaşılır.
- Müşteri listesi.
- İmzalanmış bir sözleşme.
- Finansal tahmin.
- Performans değerlendirmesi.
- Tedarikçi fiyatlandırması.
Bizim tercihimiz: müşteri listesi. Dışa aktarmak ve e-postaya yapıştırmak çok kolay. Tek bir hata, tüm iş portföyünüzü bir rakibinize teslim etmenize neden olabilir.
4. Tur: Kısıtlı (5 örnek)
Kısıtlı erişim en sıkı seviyedir. Bir sızıntı kuruluşa veya bireylere ciddi zararlar verebilir, bu nedenle erişim yalnızca belirlenmiş kişilerle sınırlıdır.
İşlem kuralı: Sadece belirlenmiş kişilere erişim, en güçlü kontroller ve kayıt altına alınan erişim.
- Şifreler ve anahtarlar.
- Ödeme kartı bilgileri.
- Sağlık kayıtları.
- Henüz açıklanmamış finansal sonuçlar.
- Güvenlik olayının detayları.
Bizim tercihimiz: paylaşılan bir belgede kimlik bilgileri. Çoğu kişi bu hatayı kendi ekibinden tanır. Paylaşılan bir çalışma sayfasındaki parola, sanki dahili bir veriymiş gibi saklanan kısıtlı veridir.
Seviyelerin resmi şemalara nasıl karşılık geldiği
4 kademe bir uzlaşmadır, bu nedenle resmi şemaların hiçbiri bunlarla birebir örtüşmez. Tablo en yakın eşleşmeyi göstermektedir. Eşleştirmeyi yaklaşık olarak değerlendirin.
| Ortak 4 seviye | NIST FIPS 199 (ABD federal sistemleri) | Birleşik Krallık Hükümeti Güvenlik Sınıflandırmaları |
|---|---|---|
| Açık Alan | Gizlilik geçerli değil, kabaca | Kapsam dışı, çünkü İngiltere'deki sistem hükümet bilgilerini gizli tutuyor. |
| İç | Düşük etkili, yaklaşık olarak | RESMİ, kabaca |
| Gizli | Orta düzeyde etki, yaklaşık olarak | -HASSAS işaretiyle birlikte RESMİ, yaklaşık olarak |
| Kısıtlı | Yüksek etki, kabaca | GİZLİ ve ÇOK GİZLİ, kabaca |
FIPS199 Dört seviyeyi tanımlamaz. Gizliliğin, bütünlüğün veya erişilebilirliğin kaybının ne kadar zarar vereceğine bağlı olarak, federal bilgi ve bilgi sistemleri için potansiyel etkiyi üç seviyede (düşük, orta ve yüksek) tanımlar.NIST FIPS 199Sınırlı yan etki düşük, ciddi yan etki orta, ağır veya felaket niteliğinde yan etki ise yüksek risk olarak değerlendirilir.
MKS Birleşik Krallık Hükümeti Güvenlik Sınıflandırma Politikası Üç kademe kullanıyor: RESMİ, GİZLİ ve ÇOK GİZLİ. GOV.UK sayfası en son 5 Ağustos 2024 tarihinde güncellendi. RESMİ, çoğu hükümet bilgisini kapsar ve "-HASSAS", ele geçirilmesi daha fazla zarara yol açabilecek RESMİ bilgilere ek bir işaretlemedir. Politika, bunun yasal bir düzenleme olmadığını belirtiyor.GOV.UK: Devlet Güvenlik Sınıflandırmaları).
ABD Ulusal Arşivleri ayrıca Kontrollü Sınıflandırılmamış Bilgiler (CUI) kaydını da tutmaktadır. Bu, kritik altyapı, savunma ve finans gibi konulara göre gruplandırılmış kategorilerin bir listesidir, seviye sıralaması değildir.NARA CUI kayıt defteriEğer kuruluşunuz ABD hükümetiyle ilgili bilgileri işliyorsa, hangi kategorilerin geçerli olduğunu öğrenmek için sözleşmenizi okuyun.
Etiketleme ve elleçleme
Bir etiket ancak insanlar onu aynı şekilde uygularsa işe yarar. Dört alışkanlık ise tutarlılığı sağlar.
- Oluşturma aşamasında etiket. Dosyanın içeriğini en iyi yazar bilir, bu yüzden dosyayı kaydederken işaretlemesini isteyin.
- Emin olmadığınız durumlarda daha üst seviyeyi kullanın. Bir dosyayı Gizli olarak işlemek biraz zaman alır. Gizli verileri Dahili olarak işlemek ise müşteriye maliyet getirebilir.
- Sahibinin izni olmadan asla sürüm düşürmeyin. Politikaya uygun olarak, yalnızca veri sahibi bir etiketin seviyesini düşürebilir.
- Hassasiyet değiştiğinde yeniden sınıflandırma yapın. Tahminler, sonuçlar yayınlanmadan önce gizlidir ve yayınlandıktan sonra kamuya açık hale gelebilir.
Bu alışkanlıklar önemlidir çünkü veri ihlalleri yaygındır. Yukarıdaki anket, Birleşik Krallık işletmelerinin %43'ünün geçen yıl bir veri ihlali bildirdiğini ortaya koymuştur ve etiketlenmemiş bir dosya, kimsenin koruması gerektiğini bilmediği bir dosyadır. Saldırıların insani boyutu için, ilgili yazımıza bakın. sosyal mühendislik örnekleri.
Sınıflandırma testi düzenlemenin yolları AhaSlides
4 seviyeyi 20 dakikalık tek bir oturumda öğretebilirsiniz. Sınıf soruları yanıtladığı için kurallar, bir politika PDF'inden öğrenildiğinden daha iyi akılda kalır. Her slaytı yukarıdaki örneklerden yola çıkarak oluşturun.
- Cevap Seç: "Bu belge hangi seviyede?" Her turdan bir örnek gösterin, bir sıralama tablosu ekleyin ve doğru seviye için puanları verin.
- Kelime Bulutu: "En hassas olan şey nedir?" Bu soruya verilen cevaplar, ekiplerinizden hangilerinin her gün Gizli veya Kısıtlı verilerle çalıştığını gösterir.
- Derecelendirme Ölçeği: "Dosyaları etiketleme konusunda ne kadar kendinize güveniyorsunuz?" 1 ile 5 arasında puan verin, ardından düşük puan alan kişilerle iletişime geçin.
- Açık uçlu, anonim: "Güvenlik ekibine ne sormak istersiniz?" İnsanlar sesli olarak söylemeyecekleri şeyleri sorarlar.
Daha fazla çalıştırma yöntemi mi arıyorsunuz? Bakın siber güvenlik farkındalık eğitimi, BT güvenliği ve kimlik avı nabız yoklaması Slack hem de Yapay zeka dokümantasyonu ve gizlilik eğitimiVeri sınıflandırma ve işleme dersi şablonu, uyarlamaya hazır slaytlar sunar.
Sık Sorulan Sorular
Veri sınıflandırmasının 4 seviyesi nelerdir?
En yaygın kullanılan sınıflandırma şeması Herkese Açık, Dahili, Gizli ve Kısıtlı'dır, ancak her kuruluş kendi sınıflandırmasını belirler. Herkese Açık bilgiler herkesle paylaşılabilir, Dahili bilgiler kuruluş içinde kalır, Gizli bilgiler yalnızca gerekli kişiler tarafından bilinir ve Kısıtlı bilgiler sadece belirli kişiler içindir.
Veri sınıflandırma seviyeleri için standart bir küme var mı?
Hayır, tek bir standart yok. FIPS 199, ABD federal sistemleri için üç etki düzeyi (düşük, orta ve yüksek) tanımlarken, İngiliz hükümeti kendi üç sınıflandırmasını kullanıyor: RESMİ, GİZLİ ve ÇOK GİZLİ. Özel kuruluşlar kendi sınıflandırmalarını seçiyor ve 4 kademe yaygın bir model.
Gizli verilere örnekler nelerdir?
Müşteri listeleri, sözleşmeler, finansal tahminler ve performans değerlendirmeleri. Tedarikçi fiyatlandırması da buraya dahildir. Bunların hepsi yanlış kişilerin eline geçerse ciddi zararlara yol açacağından, yalnızca bilmesi gereken kişilerle paylaşılır.
Gizli veri ile kısıtlı veri arasındaki fark nedir?
Kısıtlı erişim, en sıkı kontrollerle yalnızca belirli kişilere sınırlıdır. Gizli veriler, işi gereği ihtiyaç duyan herkesle paylaşılır. Şifreler veya ödeme kartı bilgileri gibi kısıtlı verilere çok daha az kişi erişebilir ve erişim kayıt altına alınır.
Verilerin nasıl sınıflandırılacağına kim karar veriyor?
Veri sahibi, kuruluşun politikasına uygun olarak etiketi uygular. Genellikle önce yazar etiketi uygular ve ardından veri sahibi bunu onaylar veya değiştirir. Çalışanlar etiketi kendileri düşürmemelidir.
Nerede başlar
Bir takım seçin, en sık kullanılan 10 dosyasını 4 seviyeyle etiketleyin ve insanların hangi konularda hemfikir olmadığını görmek için testi çalıştırın. Bu anlaşmazlıklar, politikanızın hangi örneklere ihtiyaç duyduğunu size gösterecektir.
