根据英国政府的数据，十分之四的英国企业（43%）和十分之三的慈善机构（30%）报告称，在过去12个月中遭遇过网络安全漏洞或攻击。 2025 年网络安全漏洞调查这是一项英国调查，但其结论也适用于其他地方。大多数员工无法保护他们无法透露姓名的信息，而且在任何人遭受攻击之前很久，他们就会问“这个电子表格是内部信息还是机密信息？”这个问题。
本文介绍了大多数组织使用的四种数据分类级别：公开、内部、机密和受限。每个级别都提供了五个示例和一条处理规则。然后，文章展示了它们与两种正式方案的关联，以便您了解哪些是惯例，哪些是标准。
什么是数据分类？
数据分类是一种标签，它告诉人们如何处理某条信息。该标签位于文档、文件或数据集上，并指向一条规则：谁可以查看该信息、如何发送以及如何存储该信息。
并非所有组织都必须采用相同的层级列表。以下四种层级是常用的策略设置方式，并非美国国家标准与技术研究院 (NIST) 或任何政府机构制定的标准。您自己的策略可以使用三层、五层或其他名称，数据所有者可以自行决定使用哪个标签。这些示例是通用的，因此在讲解时请替换为您自己的文档。
第一轮：公开（5个例子）
公共信息旨在让所有人都能看到。在组织外部分享这些信息并不会造成任何损害。
处理规则： 分享没有限制，但只有所有者才能发布，并且内容保持准确。
- 已发布的新闻稿。
- 招聘广告。
- 产品手册。
- 公众 blog 帖子。
- 网站上公布的价格。
我们的选择：招聘广告。 人们常常认为这是敏感信息，因为它出自人力资源部门。但它是写给陌生人阅读的，所以属于公开信息。
第二轮：内部示例（5个）
内部信息仅供本组织员工使用。它并非秘密，但也不允许外人获取。
处理规则： 仅限员工使用，仅在公司系统内有效，未经老板许可不得对外共享。
- 员工名录。
- 内部通讯。
- 会议记录。
- 一份政策文件。
- 项目计划。
我们的推荐：会议记录。 它们看起来无害，但通常会泄露客户姓名、价格或人名。在将它们转发给供应商之前，请务必检查其中的内容。
第三轮：保密（5个例子）
机密信息如果落入不该落入的人手中，会造成实际损害，例如导致客户流失、法律风险或在谈判中处于不利地位。
处理规则： 仅限必要知情者，发送时加密，并通过经批准的工具共享，而非通过个人电子邮件共享。
- 客户名单。
- 一份已签署的合同。
- 财务预测。
- 绩效考核。
- 供应商定价。
我们的选择：客户名单。 导出和粘贴到电子邮件中都很容易。但稍有不慎，你的所有业务就可能拱手让给竞争对手。
第四轮：限制性示例（5 个例子）
受限级别是权限最严格的级别。泄露信息可能会对组织或个人造成严重损害，因此只有指定人员才能访问。
处理规则： 仅限指定人员访问，最严格的控制措施，以及记录访问日志。
- 密码和密钥。
- 支付卡数据。
- 健康记录。
- 尚未公布的财务业绩。
- 安全事件详情。
我们的建议：将凭证保存在共享文档中。 大多数人都能在自己的团队中发现这种错误。共享表格中的密码属于受限数据，却被当作内部数据存储。
各层级如何与正式方案相对应
这四个层级只是约定俗成的划分，因此没有任何正式的方案能够完全对应。表格展示的是最接近的对应关系。请将此映射视为近似值。
| 常见 4 级 | NIST FIPS 199（美国联邦系统） | 英国政府安全分类 |
|---|---|---|
| 公共 | 保密性不适用，大致如此。 | 由于英国方案对政府信息进行分类，因此不予涵盖。 |
| 全内走线 | 影响较小，大致如此 | 官方的，大致如此 |
| 机密 | 中等影响，大致 | 带有“-敏感”标记的官方版本，大致如下 |
| 受限 | 高冲击力，大致 | 机密和绝密，大致如此 |
第 199 章 它没有定义四个级别。它根据机密性、完整性或可用性的丧失会造成多大的损害，定义了联邦信息和信息系统潜在影响的三个级别（低、中、高）。NIST FIPS 199）。轻微的不良反应风险较低，严重的不良反应风险中等，而严重或灾难性的不良反应风险较高。
此 英国政府安全分类政策 信息安全分为三个级别：官方、秘密和绝密。GOV.UK 页面上次更新时间为 2024 年 8 月 5 日。官方信息涵盖大部分政府信息，“-敏感”是对官方信息的附加标记，泄露此类信息可能会造成更大的损害。该政策声明它并非法定方案（GOV.UK：政府安全分类).
美国国家档案馆还保存着一份受控非密信息 (CUI) 登记册。它是一份按主题分组的类别列表，例如关键基础设施、国防和金融，而不是一个层级分明的列表（NARA CUI 注册表如果您的组织处理美国政府信息，请阅读合同，了解适用哪些类别。
标签和处理
标签只有在人们以相同方式使用时才有效。四个习惯确保了标签使用的一致性。
- 创建时贴上标签。 作者最了解文件内容，所以请他们在保存时做好标记。
- 不确定时，请使用较高级别。 将文件视为机密文件会花费一些时间。将机密数据视为内部数据可能会给客户带来损失。
- 未经所有者许可，切勿降级。 只有数据所有者才能按照政策降低标签级别。
- 当敏感度发生变化时，重新分类。 预测结果在公布前属于机密信息，公布后可能会公开。
这些习惯至关重要，因为数据泄露事件屡见不鲜。上述调查发现，43%的英国企业报告称在过去一年中发生过数据泄露事件，而没有标签的文件意味着没有人知道需要对其进行保护。关于攻击的人为因素，请参阅我们关于……的文章。 社会工程学示例.
如何举办分类测验 AhaSlides
你可以在20分钟的课程中讲解这四个级别。课堂互动比政策PDF更容易让人记住规则。请根据以上示例制作每一张幻灯片。
- 选择答案： “这份文档属于哪个级别？”展示每一轮的示例，添加排行榜，并根据正确级别给予相应的分数。
- 词云： “你处理的最敏感的事情是什么？”答案显示了你的哪些团队每天都在处理机密或受限数据。
- 评级量表： “您对文件标注的信心有多大？”请从 1 到 5 分进行评分，然后跟进得分较低的人。
- 开放式，匿名： “您想问安保团队什么问题？”人们会问一些他们不会当面说出口的问题。
想了解更多运行方式？请参阅 网络安全意识培训, IT安全和网络钓鱼脉冲检查 Slack 和 人工智能文档和隐私培训数据分类与处理课程模板提供了可直接修改的幻灯片。
常见问题
数据分类的四个级别是什么？
最常见的权限划分方案是公开、内部、机密和限制级，不过每个组织都会自行设定。公开权限可以与任何人共享，内部权限仅限组织内部人员查看，机密权限仅限需要知道的人员查看，限制级权限仅限指定人员查看。
是否存在一套标准的数据分类级别？
不，并没有统一的标准。FIPS 199 为美国联邦系统定义了三个影响级别（低、中、高），而英国政府则使用自己的三个分类：官方、机密和绝密。私营机构可以自行选择分类标准，四级分类是一种常见的模式。
哪些数据属于机密数据？
客户名单、合同、财务预测和绩效评估。供应商定价也包含在内。所有这些信息如果落入不该知晓的人手中，都会造成实际损害，因此只在必要时共享。
机密数据和受限数据有什么区别？
受限层级是权限最严格的级别，仅限指定人员访问，并采用最严格的控制措施。机密数据会与任何因工作需要而需要访问的人员共享。受限数据（例如密码或支付卡数据）的访问权限要少得多，并且每次访问都会被记录。
谁来决定数据如何分类？
数据所有者需遵循组织政策。通常情况下，标签由作者首先添加，然后由所有者确认或修改。员工不应自行降级标签。
从哪儿开始
选择一个团队，用这四个级别标记他们最常用的 10 个文件，然后运行测试，看看大家的意见分歧在哪里。这些分歧能帮助你了解你的政策需要哪些示例。
