Mức độ phân loại dữ liệu: 4 cấp độ kèm ví dụ

Theo số liệu từ chính phủ Anh, cứ 10 doanh nghiệp tại Anh thì có 4 doanh nghiệp (43%) và cứ 10 tổ chức từ thiện (30%) thì có 3 tổ chức từ thiện báo cáo bị xâm phạm hoặc tấn công an ninh mạng trong 12 tháng qua. Khảo sát vi phạm an ninh mạng năm 2025Đó là một cuộc khảo sát ở Anh, nhưng điểm mấu chốt cũng áp dụng được ở những nơi khác. Hầu hết nhân viên không thể bảo vệ thông tin mà họ không thể nêu tên, và câu hỏi "bảng tính này là Nội bộ hay Mật?" được đặt ra rất lâu trước khi có bất kỳ ai bị tấn công.

Bài viết này giới thiệu 4 cấp độ phân loại dữ liệu mà hầu hết các tổ chức sử dụng: Công khai, Nội bộ, Bí mật và Hạn chế. Mỗi cấp độ có 5 ví dụ và một quy tắc xử lý. Sau đó, bài viết chỉ ra mối liên hệ giữa chúng với hai sơ đồ chính thức, giúp bạn hiểu rõ đâu là quy ước và đâu là tiêu chuẩn.

Phân loại dữ liệu là gì?

Phân loại dữ liệu là một nhãn cho biết cách xử lý một mẩu thông tin. Nhãn này nằm trên tài liệu, tập tin hoặc tập dữ liệu, và nó chỉ ra một quy tắc: ai được phép xem, cách thức gửi và cách lưu trữ.

Không có danh sách cấp độ nào là bắt buộc đối với mọi tổ chức. 4 cấp độ dưới đây là cách phổ biến để thiết lập chính sách, chứ không phải là tiêu chuẩn do NIST hoặc bất kỳ chính phủ nào định nghĩa. Chính sách của riêng bạn có thể sử dụng 3 cấp độ, 5 cấp độ hoặc các tên gọi khác, và người sở hữu dữ liệu sẽ quyết định nhãn nào phù hợp. Các ví dụ mang tính chất chung chung, vì vậy hãy thay thế bằng tài liệu của riêng bạn khi bạn giảng dạy về chúng.

Vòng 1: Công chúng (5 ví dụ)

Thông tin công khai dành cho tất cả mọi người. Việc chia sẻ thông tin đó ra ngoài tổ chức không gây hại gì.

Quy tắc xử lý: Không có hạn chế nào về việc chia sẻ, nhưng chỉ chủ sở hữu mới được phép đăng tải và thông tin phải được giữ nguyên chính xác.

1. Một thông cáo báo chí đã được công bố.
2. Một tin tuyển dụng.
3. Tài liệu quảng cáo sản phẩm.
4. Một công chúng blog bài đăng.
5. Giá được niêm yết trên trang web.

Lựa chọn của chúng tôi: tin tuyển dụng. Mọi người thường coi đó là vấn đề nhạy cảm vì nó đến từ bộ phận nhân sự. Nó được viết ra để người lạ cũng có thể đọc, vì vậy nó được coi là công khai.

Vòng 2: Nội bộ (5 ví dụ)

Thông tin nội bộ chỉ dành cho những người làm việc trong tổ chức. Nó không phải là bí mật, nhưng cũng không dành cho người ngoài.

Quy tắc xử lý: Chỉ dành cho nhân viên, được lưu trữ trong hệ thống của công ty và không được chia sẻ ra bên ngoài nếu không có sự cho phép của chủ sở hữu.

1. Danh bạ nhân viên.
2. Bản tin nội bộ.
3. Biên bản cuộc họp.
4. Một văn bản chính sách.
5. Kế hoạch dự án.

Lựa chọn của chúng tôi: ghi chú cuộc họp. Chúng trông có vẻ vô hại, nhưng thường nêu tên khách hàng, giá cả hoặc người cụ thể. Hãy kiểm tra nội dung trước khi chuyển tiếp cho nhà cung cấp.

Vòng 3: Bí mật (5 ví dụ)

Thông tin mật nếu rơi vào tay kẻ xấu sẽ gây ra thiệt hại nghiêm trọng, chẳng hạn như mất khách hàng, vướng vào kiện tụng hoặc làm suy yếu vị thế trong đàm phán.

Quy tắc xử lý: Thông tin chỉ dành cho người cần biết, được mã hóa khi gửi và chia sẻ qua các công cụ được phê duyệt, không phải qua email cá nhân.

1. Danh sách khách hàng.
2. Một hợp đồng đã ký.
3. Bản dự báo tài chính.
4. Đánh giá hiệu quả công việc.
5. Giá bán của nhà cung cấp.

Lựa chọn của chúng tôi: danh sách khách hàng. Nó dễ dàng xuất ra và dễ dàng dán vào email. Chỉ cần một sơ suất nhỏ cũng có thể khiến đối thủ cạnh tranh mất toàn bộ lượng khách hàng của bạn.

Vòng 4: Giới hạn (5 ví dụ)

"Hạn chế" là cấp độ bảo mật nghiêm ngặt nhất. Rò rỉ thông tin có thể gây ra thiệt hại nghiêm trọng cho tổ chức hoặc cá nhân, vì vậy quyền truy cập bị giới hạn chỉ dành cho những người được chỉ định.

Quy tắc xử lý: Chỉ những người được chỉ định mới có thể truy cập, với các biện pháp kiểm soát chặt chẽ nhất và quyền truy cập được ghi lại.

1. Mật khẩu và khóa.
2. Dữ liệu thẻ thanh toán.
3. Hồ sơ sức khỏe.
4. Kết quả tài chính chưa được công bố.
5. Chi tiết sự cố an ninh.

Lựa chọn của chúng tôi: thông tin đăng nhập được lưu trong một tài liệu dùng chung. Hầu hết mọi người đều nhận ra lỗi này từ chính nhóm của mình. Mật khẩu trên một bảng tính được chia sẻ được lưu trữ như thể đó là dữ liệu bị hạn chế nhưng lại là dữ liệu nội bộ.

Các cấp độ tương ứng với các sơ đồ chính thức như thế nào

Bốn cấp bậc này chỉ là quy ước, vì vậy không có sơ đồ chính thức nào trùng khớp hoàn toàn với chúng. Bảng dưới đây thể hiện sự phù hợp gần nhất. Hãy coi sự tương ứng này chỉ là gần đúng.

Trin 199 Văn bản này không định nghĩa bốn cấp độ. Nó định nghĩa ba cấp độ tác động tiềm tàng (thấp, trung bình và cao) đối với thông tin và hệ thống thông tin liên bang, dựa trên mức độ thiệt hại mà việc mất tính bảo mật, tính toàn vẹn hoặc tính khả dụng có thể gây ra.NIST FIPS 199Tác dụng phụ nhẹ là thấp, tác dụng phụ nghiêm trọng là trung bình, và tác dụng phụ nặng hoặc thảm khốc là cao.

Đây là trò chơi truyền cảm hứng bằng Chính sách phân loại an ninh của Chính phủ Anh Hệ thống này sử dụng ba cấp độ: CHÍNH THỨC, BÍ MẬT và TUYỆT MẬT. Trang GOV.UK được cập nhật lần cuối vào ngày 5 tháng 8 năm 2024. Cấp độ CHÍNH THỨC bao gồm hầu hết thông tin của chính phủ, và "-NHẠY CẢM" là một ký hiệu bổ sung trên thông tin CHÍNH THỨC mà việc bị lộ có thể gây ra thiệt hại lớn hơn. Chính sách này nêu rõ đây không phải là một quy định bắt buộc theo luật định.GOV.UK: Phân loại an ninh của Chính phủ).

Cục Lưu trữ Quốc gia Hoa Kỳ cũng lưu giữ một danh mục Thông tin Không Mật Được Kiểm soát (CUI). Đó là một danh sách các hạng mục được nhóm theo chủ đề, chẳng hạn như cơ sở hạ tầng trọng yếu, quốc phòng và tài chính, chứ không phải là một hệ thống phân cấp theo cấp độ.Đăng ký NARA CUINếu tổ chức của bạn xử lý thông tin của chính phủ Hoa Kỳ, hãy đọc hợp đồng để biết các danh mục nào được áp dụng.

Ghi nhãn và xử lý

Một nhãn mác chỉ hữu ích nếu mọi người áp dụng nó theo cùng một cách. Bốn thói quen sau đây sẽ giúp duy trì sự nhất quán đó.

1. Đặt nhãn khi tạo. Tác giả là người hiểu rõ nhất nội dung của tập tin, vì vậy hãy yêu cầu họ đánh dấu nội dung khi lưu.
2. Khi không chắc chắn, hãy sử dụng mức độ cao hơn. Việc xử lý một tập tin là Mật chỉ tốn một chút thời gian. Nhưng việc xử lý dữ liệu Mật như dữ liệu Nội bộ có thể gây thiệt hại cho khách hàng.
3. Không bao giờ hạ cấp mà không có sự cho phép của chủ sở hữu. Chỉ chủ sở hữu dữ liệu, tuân theo chính sách, mới có thể hạ thấp nhãn.
4. Phân loại lại khi độ nhạy thay đổi. Dự báo này được giữ bí mật trước khi kết quả được công bố và có thể được công khai sau đó.

Những thói quen này rất quan trọng vì các vụ xâm phạm dữ liệu rất phổ biến. Cuộc khảo sát trên cho thấy 43% doanh nghiệp tại Anh báo cáo đã bị xâm phạm dữ liệu trong năm qua, và một tập tin không được gắn nhãn là một tập tin mà không ai biết cần phải bảo vệ. Để hiểu thêm về khía cạnh con người trong các vụ tấn công, hãy xem bài đăng của chúng tôi về... Ví dụ về kỹ thuật xã hội.

Các cách tổ chức bài kiểm tra phân loại với AhaSlides

Bạn có thể dạy cả 4 cấp độ trong một buổi học 20 phút. Cả lớp sẽ hưởng ứng, vì vậy các quy tắc sẽ được ghi nhớ tốt hơn so với việc chỉ đọc tài liệu hướng dẫn bằng văn bản. Hãy xây dựng từng slide dựa trên các ví dụ ở trên.

1. Chọn đáp án: "Tài liệu này thuộc cấp độ nào?" Hãy đưa ra một ví dụ từ mỗi vòng, thêm bảng xếp hạng và trao điểm cho cấp độ chính xác.
2. Từ đám mây: "Điều nhạy cảm nhất mà bạn xử lý là gì?" Câu trả lời sẽ cho thấy nhóm nào của bạn làm việc với dữ liệu Mật hoặc Hạn chế mỗi ngày.
3. Thang đánh giá: "Bạn tự tin đến mức nào khi gắn nhãn cho tập tin?" Hãy đánh giá từ 1 đến 5, sau đó liên hệ lại với những người có điểm thấp.
4. Câu hỏi mở, ẩn danh: "Bạn muốn hỏi đội an ninh câu hỏi gì?" Mọi người sẽ hỏi những điều mà họ không dám nói ra thành lời.

Bạn muốn tìm thêm cách để vận hành nó? Xem đào tạo nâng cao nhận thức về an ninh mạng, Kiểm tra an ninh mạng và phòng chống lừa đảo trực tuyến (phishing) Slack và Đào tạo về lập tài liệu và bảo mật AIMẫu khóa học Phân loại và xử lý dữ liệu cung cấp cho bạn các slide đã được chuẩn bị sẵn để chỉnh sửa.

Các câu hỏi thường gặp

Phân loại dữ liệu có 4 cấp độ là gì?

Phân loại phổ biến nhất là Công khai, Nội bộ, Bí mật và Hạn chế, mặc dù mỗi tổ chức tự đặt ra phân loại riêng. Thông tin Công khai có thể được chia sẻ với bất kỳ ai, Nội bộ chỉ dành cho nội bộ tổ chức, Bí mật chỉ dành cho người cần biết, và Hạn chế chỉ dành cho những người được chỉ định.

Có bộ tiêu chuẩn nào về các cấp độ phân loại dữ liệu không?

Không, không có một bộ quy tắc duy nhất. Tiêu chuẩn FIPS 199 định nghĩa ba cấp độ tác động (thấp, trung bình và cao) cho các hệ thống liên bang của Hoa Kỳ, và chính phủ Anh sử dụng ba phân loại riêng của họ: CHÍNH THỨC, BÍ MẬT và TUYỆT MẬT. Các tổ chức tư nhân tự chọn phân loại của riêng họ, và 4 cấp độ là một mô hình phổ biến.

Dữ liệu bí mật là những ví dụ nào?

Danh sách khách hàng, hợp đồng, dự báo tài chính và đánh giá hiệu suất. Giá cả nhà cung cấp cũng thuộc phạm vi này. Tất cả những thông tin này đều có thể gây ra thiệt hại nghiêm trọng nếu rơi vào tay kẻ xấu, vì vậy chúng chỉ được chia sẻ với những người cần biết.

Dữ liệu bảo mật và dữ liệu hạn chế khác nhau như thế nào?

Dữ liệu hạn chế (Restricted) là cấp độ bảo mật nghiêm ngặt nhất, chỉ được cấp cho những người được chỉ định và có quyền kiểm soát cao nhất. Dữ liệu bí mật (Confidential) được chia sẻ với bất kỳ ai cần đến nó cho công việc của họ. Dữ liệu hạn chế (Restricted), chẳng hạn như mật khẩu hoặc dữ liệu thẻ thanh toán, chỉ được cấp cho rất ít người và việc truy cập được ghi lại.

Ai quyết định cách phân loại dữ liệu?

Người sở hữu dữ liệu, tuân theo chính sách của tổ chức. Thông thường, tác giả sẽ gắn nhãn trước, sau đó người sở hữu sẽ xác nhận hoặc thay đổi nhãn. Nhân viên không nên tự ý hạ cấp nhãn.

Bắt đầu từ đâu

Chọn một nhóm, gắn nhãn 10 tập tin phổ biến nhất của nhóm đó với 4 cấp độ, và chạy bài kiểm tra để xem mọi người bất đồng quan điểm ở điểm nào. Những bất đồng đó sẽ cho bạn biết những ví dụ nào mà chính sách của bạn cần.