За даними уряду Великої Британії, чотири з десяти британських компаній (43%) та три з десяти благодійних організацій (30%) повідомили про порушення кібербезпеки або кібератаку за останні 12 місяців. Опитування порушень кібербезпеки 2025Це опитування, проведене у Великій Британії, але цей момент стосується й інших місць. Більшість співробітників не можуть захистити інформацію, яку вони не можуть назвати, і питання «ця електронна таблиця є внутрішньою чи конфіденційною?» виникає задовго до того, як хтось зазнає нападу.
У цій публікації наведено 4 рівні класифікації даних, які використовує більшість організацій: публічний, внутрішній, конфіденційний та обмежений. Кожен із них має 5 прикладів та правило обробки. Потім показано, як вони пов’язані з двома формальними схемами, щоб ви знали, що таке конвенція, а що — стандарт.
Що таке класифікація даних
Класифікація даних – це мітка, яка вказує людям, як обробляти певну інформацію. Мітка розміщується на документі, файлі або наборі даних і вказує на правило: хто може її бачити, як її можна надсилати та як вона зберігається.
Не існує єдиного переліку рівнів, який би вимагався від кожної організації. 4 рівні, наведені нижче, є поширеним способом встановлення політики, а не стандартом, визначеним NIST або будь-яким урядом. Ваша власна політика може використовувати 3 рівні, 5 рівнів або різні назви, і власник даних вирішує, яка позначка підходить. Приклади є загальними, тому замінюйте їх своїми документами, коли навчаєте їх.
Раунд 1: Публічний (5 прикладів)
Публічна інформація призначена для перегляду всіма. Її поширення за межами організації не завдає шкоди.
Правило обробки: немає обмежень на поширення, але публікує його лише власник, і він залишається точним.
- Опублікований прес-реліз.
- Оголошення про роботу.
- Брошура з інформацією про продукт.
- Публіка blog пост
- Опубліковані ціни на сайті.
Наш вибір: оголошення про роботу. Люди часто ставляться до нього як до конфіденційного, оскільки він надійшов з відділу кадрів. Його було написано для незнайомців, тому він є публічним.
Раунд 2: Внутрішній (5 прикладів)
Внутрішня інформація призначена для людей, які працюють в організації. Вона не є секретною, але й не призначена для сторонніх осіб.
Правило обробки: лише для співробітників, зберігаються всередині систем компанії та не розголошуються за межі без згоди власника.
- Довідник персоналу.
- Внутрішній інформаційний бюлетень.
- Нотатки зустрічі.
- Документ політики.
- План проекту.
Наш вибір: нотатки із зустрічей. Вони виглядають нешкідливими, проте часто в них вказані імена клієнтів, ціни або люди. Перевірте, що в них міститься, перш ніж відправляти їх постачальнику.
Раунд 3: Конфіденційно (5 прикладів)
Конфіденційна інформація може завдати реальної шкоди, якщо вона потрапить до невідповідних людей, наприклад, втратити клієнтів, погіршити юридичні можливості або послабити позицію в переговорах.
Правило обробки: лише ті, кому потрібно знати, зашифровані під час надсилання та передані через затверджені інструменти, а не через особисту електронну пошту.
- Список клієнтів.
- Підписаний контракт.
- Фінансовий прогноз.
- Огляд ефективності роботи.
- Ціноутворення постачальників.
Наш вибір: список клієнтів. Його легко експортувати та вставити в електронний лист. Одна зачіпка передає конкуренту весь ваш портфель бізнесу.
Раунд 4: Обмежений (5 прикладів)
Обмежений рівень – це найсуворіший рівень. Витік інформації може завдати серйозної шкоди організації або окремим особам, тому доступ обмежений іменами осіб.
Правило обробки: лише іменовані люди, найсильніший контроль та доступ, що реєструється.
- Паролі та ключі.
- Дані платіжної картки.
- Медичні записи.
- Неопубліковані фінансові результати.
- Деталі інциденту безпеки.
Наш вибір: облікові дані у спільному документі. Більшість людей знають цю помилку, враховуючи дії своєї команди. Пароль на спільному аркуші зберігається як дані обмеженого доступу, так, ніби це внутрішні дані.
Як рівні відповідають формальним схемам
4 рівні є умовними, тому жодна з формальних схем не відповідає їм повністю. У таблиці показано найближче відповідне відображення. Розглядайте відображення як приблизне.
| Загальні 4 рівні | NIST FIPS 199 (федеральні системи США) | Класифікації безпеки уряду Великої Британії |
|---|---|---|
| громадськості | Конфіденційність не застосовується, приблизно | Не охоплюється, оскільки схема Великої Британії засекречує урядову інформацію |
| Внутрішній | Низький вплив, приблизно | ОФІЦІЙНО, приблизно |
| конфіденційний | Помірний вплив, приблизно | ОФІЦІЙНИЙ з позначкою -СЕНСІТИВНИЙ, приблизно |
| Обмежений | Високий вплив, приблизно | ТАЄМНО та ЦІЛКОМ ТАЄМНО, приблизно |
FIPS 199 не визначає чотири рівні. Він визначає три рівні потенційного впливу (низький, помірний та високий) для федеральної інформації та інформаційних систем, залежно від того, яку шкоду завдасть втрата конфіденційності, цілісності або доступності (NIST FIPS 199). Обмежений несприятливий ефект вважається низьким, серйозний – помірним, а важкий або катастрофічний – високим.
Команда Політика уряду Великої Британії щодо класифікації секретних даних використовує три рівні: ОФІЦІЙНО, ТАЄМНО та ЦІЛКОМ ТАЄМНО. Сторінку GOV.UK востаннє оновлювали 5 серпня 2024 року. ОФІЦІЙНО охоплює більшість урядової інформації, а «-КОНФІДЕНТНО» – це додаткова позначка ОФІЦІЙНОЇ інформації, розголошення якої може завдати більшої шкоди. У політиці зазначено, що це не є законодавчо встановлена схема (GOV.UK: Класифікації урядової безпеки).
Національний архів США також веде реєстр контрольованої несекретної інформації (CUI). Це список категорій, згрупованих за темами, таких як критична інфраструктура, оборона та фінанси, а не сходинка рівнів (Реєстр NARA CUI). Якщо ваша організація обробляє інформацію уряду США, ознайомтеся зі своїм контрактом, щоб дізнатися, які категорії застосовуються.
Маркування та обробка
Етикетка корисна лише тоді, коли люди застосовують її однаково. Чотири звички забезпечують її послідовність.
- Мітка під час створення. Автор найкраще знає, що міститься у файлі, тому попросіть його позначити це під час збереження.
- Якщо ви не впевнені, використовуйте вищий рівень. Обробка файлу як конфіденційного вимагає трохи часу. Обробка конфіденційних даних як внутрішніх може коштувати клієнту.
- Ніколи не знижуйте рейтинг без відома власника. Тільки власник даних, дотримуючись політики, може знизити рівень мітки.
- Перекласифікуйте, коли змінюється чутливість. Прогноз є конфіденційним до публікації результатів і може стати публічним після цього.
Ці звички важливі, оскільки порушення є поширеними. Згідно з вищезазначеним опитуванням, 43% британських компаній повідомили про таке порушення протягом минулого року, а файл без мітки – це файл, який ніхто не знав, що потрібно захищати. Щодо людської сторони атак, дивіться нашу публікацію про приклади соціальної інженерії.
Способи проведення вікторини з класифікації за допомогою AhaSlides
Ви можете викласти 4 рівні за одне 20-хвилинне заняття. Клас відповідає, тому правила дотримуються краще, ніж з PDF-файлу з політикою. Створіть кожен слайд на основі наведених вище прикладів.
- Виберіть відповідь: «Якого рівня цей документ?» Покажіть приклад з кожного раунду, додайте таблицю лідерів і нарахуйте бали за правильний рівень.
- Хмара слів: «З якою найчутливішою справою ви маєте справу?» Відповіді показують, які з ваших команд щодня працюють з конфіденційними або обмеженими даними.
- Шкала рейтингу: «Наскільки впевнено ви маркуєте файл?» Оцініть за шкалою від 1 до 5, а потім зверніться до людей, які отримали низький бал.
- Відкритий, анонімний: «Яке питання ви хотіли б поставити команді безпеки?» Люди запитуватимуть речі, які вони б не сказали вголос.
Шукаєте більше способів його запустити? Див. навчання з обізнаності з кібербезпеки, Перевірки ІТ-безпеки та фішингу Slack та Документація ШІ та навчання конфіденційностіШаблон курсу «Класифікація та обробка даних» надає вам слайди, готові до адаптації.
Часті питання
Які 4 рівні класифікації даних?
Найпоширенішою схемою є схема «Публічний», «Внутрішній», «Конфіденційний» та «Обмежений доступ», хоча кожна організація встановлює свою власну. «Публічний» доступ можна отримати будь-кому, «Внутрішній» доступ залишається всередині організації, «Конфіденційний» доступний лише тим, кому потрібно знати, а «Обмежений доступ» призначений лише для визначених осіб.
Чи існує стандартний набір рівнів класифікації даних?
Ні, єдиного набору немає. FIPS 199 визначає три рівні впливу (низький, помірний та високий) для федеральних систем США, а уряд Великої Британії використовує власні три класифікації: ОФІЦІЙНИЙ, ТАЄМНИЙ та ЦІЛКОВО ТАЄМНИЙ. Приватні організації обирають свої власні, і 4 рівні є поширеною схемою.
Які приклади конфіденційних даних?
Списки клієнтів, контракти, фінансові прогнози та огляди ефективності. Ціноутворення постачальників також сюди входить. Усе це може завдати реальної шкоди, якщо потрапить до невідповідних людей, тому розголошується лише за принципом необхідності.
Яка різниця між конфіденційними та обмеженими даними?
Обмежений доступ – це найсуворіший рівень, обмежений визначеними особами з найсильнішим контролем. Конфіденційні дані надаються всім, кому вони потрібні для роботи. Обмежені дані, такі як паролі або дані платіжних карток, доступні набагато меншій кількості людей, і доступ до них реєструється.
Хто вирішує, як класифікувати дані?
Власник даних, відповідно до політики організації. Автор зазвичай спочатку застосовує мітку, а власник підтверджує її або змінює. Співробітники не повинні самостійно знижувати рівень мітки.
З чого почати
Виберіть одну команду, позначте її 10 найпоширеніших файлів 4 рівнями та проведіть тест, щоб побачити, в чому люди розходяться в думках. Ці розбіжності показують, які приклади потрібні вашій політиці.
