根據英國政府的數據，十分之四的英國企業（43%）和十分之三的慈善機構（30%）報告稱，在過去12個月中遭遇網路安全漏洞或攻擊。 2025 年網路安全漏洞調查這是一項英國調查，但其結論也適用於其他地方。大多數員工無法保護他們無法透露姓名的信息，而且在任何人遭受攻擊之前很久，他們就會問“這個電子表格是內部信息還是機密信息？”這個問題。
本文介紹了大多數組織使用的四種資料分類等級：公開、內部、機密和受限。每個層級都提供了五個範例和一條處理規則。然後，文章展示了它們與兩種正式方案的關聯，以便您了解哪些是慣例，哪些是標準。
什麼是資料分類？
資料分類是一種標籤，它告訴人們如何處理某個資訊。該標籤位於文件、文件或資料集上，並指向一條規則：誰可以查看該資訊、如何發送以及如何儲存該資訊。
並非所有組織都必須採用相同的層級清單。以下四種層級是常用的策略設定方式，並非美國國家標準與技術研究院 (NIST) 或任何政府機構所製定的標準。您自己的策略可以使用三層、五層或其他名稱，資料擁有者可以自行決定使用哪個標籤。這些範例是通用的，因此在講解時請替換為您自己的文件。
第一輪：公開（5個例子）
公共資訊旨在讓所有人都能看到。在組織外部分享這些資訊並不會造成任何損害。
處理規則： 分享沒有限制，但只有所有者才能發布，內容保持準確。
- 已發布的新聞稿。
- 招募廣告。
- 產品手冊。
- 公眾 blog 帖子。
- 網站上公佈的價格。
我們的選擇：招募廣告。 人們常常認為這是敏感訊息，因為它出自人力資源部門。但它是寫給陌生人閱讀的，所以屬於公開資訊。
第二輪：內部範例（5個）
內部資訊僅供本組織員工使用。它並非秘密，但也不允許外人取得。
處理規則： 僅限員工使用，僅在公司係統內有效，未經老闆許可不得對外共享。
- 員工名錄。
- 內部通訊。
- 會議記錄。
- 一份政策文件。
- 項目計劃。
我們的推薦：會議記錄。 它們看起來無害，但通常會洩漏客戶姓名、價格或人名。在將它們轉發給供應商之前，請務必檢查其中的內容。
第三輪：保密（5個例子）
機密資訊如果落入不該落入的人手中，會造成實際損害，例如導致客戶流失、法律風險或在談判中處於不利地位。
處理規則： 僅限必要知情者，發送時加密，並透過經批准的工具共享，而非透過個人電子郵件共享。
- 客戶名單。
- 一份已簽署的合約。
- 財務預測。
- 績效考核。
- 供應商定價。
我們的選擇：客戶名單。 匯出和貼上到電子郵件中都很容易。但稍有不慎，你的所有業務都可能拱手讓給競爭對手。
第四輪：限制性範例（5 個例子）
受限等級是權限最嚴格的等級。洩漏資訊可能會對組織或個人造成嚴重損害，因此只有指定人員才能存取。
處理規則： 僅限指定人員訪問，最嚴格的控制措施，以及記錄訪問日誌。
- 密碼和密鑰。
- 支付卡數據。
- 健康記錄。
- 尚未公佈的財務業績。
- 安全事件詳情。
我們的建議：將憑證保存在共用文件中。 大多數人都能在自己的團隊中發現這種錯誤。共享表格中的密碼屬於受限數據，卻被當作內部數據儲存。
各層級如何與正式方案對應
這四個層級只是約定俗成的劃分，因此沒有任何正式的方案可以完全對應。表格展示的是最接近的對應關係。請將此映射視為近似值。
| 常見 4 級 | NIST FIPS 199（美國聯邦系統） | 英國政府安全分類 |
|---|---|---|
| 公共 | 保密性不適用，大致如此。 | 由於英國方案對政府資訊進行分類，因此不予涵蓋。 |
| 內部 | 影響較小，大致如此 | 官方的，大致如此 |
| 機密 | 中等影響，大致 | 帶有“-敏感”標記的官方版本，大致如下 |
| 受限 | 高衝擊力，大致 | 機密和絕密，大致如此 |
第 199 章 它沒有定義四個等級。它根據機密性、完整性或可用性的喪失會造成多大的損害，定義了聯邦資訊和資訊系統潛在影響的三個層級（低、中、高）。NIST FIPS 199）。輕微的不良反應風險較低，嚴重的不良反應風險為中等，而嚴重或災難性的不良反應風險較高。
这 英國政府安全分類政策 資訊安全分為三個層次：官方、秘密、絕密。 GOV.UK 頁面最後更新時間為 2024 年 8 月 5 日。官方資訊涵蓋大部分政府訊息，「-敏感」是對官方資訊的附加標記，此類資訊一旦洩露可能會造成更大的損害。該政策聲明其並非法定方案（GOV.UK：政府安全分類).
美國國家檔案館也保存著一份受控非密資訊 (CUI) 登記冊。它是一份按主題分組的類別列表，例如關鍵基礎設施、國防和金融，而不是一個層級分明的列表（NARA CUI 註冊表如果您的組織處理美國政府訊息，請閱讀合同，以了解適用哪些類別。
標籤和處理
標籤只有在人們以相同方式使用時才有效。四個習慣確保了標籤使用的一致性。
- 建立時貼上標籤。 作者最了解文件內容，所以請他們在儲存時做好標記。
- 不確定時，請使用較高等級。 將文件視為機密文件會花費一些時間。將機密資料視為內部資料可能會為客戶帶來損失。
- 未經所有者許可，切勿降級。 只有資料擁有者才能依照政策降低標籤等級。
- 當敏感度改變時，重新分類。 預測結果在公佈前屬於機密信息，公佈後可能會公開。
這些習慣至關重要，因為資料外洩事件屢見不鮮。上述調查發現，43%的英國企業報告在過去一年中發生過資料外洩事件，而沒有標籤的文件意味著沒有人知道需要對其進行保護。關於攻擊的人為因素，請參閱我們關於…的文章。 社會工程學範例.
如何舉辦分類測驗 AhaSlides
你可以在20分鐘的課程中講解這四個等級。課堂互動比政策PDF更容易讓人記住規則。請根據上述範例製作每一張投影片。
- 選擇答案： 「這份文件屬於哪個等級？」展示每一輪的範例，加入排行榜，並根據正確等級給予相應的分數。
- 詞云： 「你處理的最敏感的事情是什麼？」答案顯示了你的哪些團隊每天都在處理機密或受限資料。
- 評分標準： 「您對文件標註的信心有多大？」請從 1 到 5 分進行評分，然後跟進得分較低的人員。
- 開放式，匿名： 「您想問安保團隊什麼問題？」人們會問一些他們不會當面說出口的問題。
想了解更多運作方式？請參閱 網絡安全意識培訓, IT安全與網路釣魚脈衝檢查 Slack 以及 人工智慧文件和隱私培訓資料分類與處理課程範本提供了可直接修改的幻燈片。
常見問題
資料分類的四個等級是什麼？
最常見的權限劃分方案是公開、內部、機密和限制級，不過每個組織都會自行設定。公開權限可以與任何人共享，內部權限僅限組織內部人員查看，機密權限僅限需要知道的人員查看，限制級權限僅限指定人員查看。
是否存在一套標準的資料分類等級？
不，並沒有統一的標準。 FIPS 199 為美國聯邦系統定義了三個影響等級（低、中、高），而英國政府則使用自己的三個分類：官方、機密和絕密。私營機構可以自行選擇分類標準，四級分類是常見的模式。
機密資料的例子有哪些？
客戶名單、合約、財務預測和績效評估。供應商定價也包含在內。所有這些資訊如果落入不該知曉的人手中，都會造成實際損害，因此只在必要時共享。
機密資料和受限資料有什麼差別？
受限層級是權限最嚴格的級別，僅限指定人員訪問，並採取最嚴格的控制措施。機密資料會與任何因工作需求而需要存取的人員共用。受限資料（例如密碼或支付卡資料）的存取權限要少得多，並且每次存取都會被記錄。
誰來決定資料如何分類？
資料所有者需遵循組織政策。通常情況下，標籤由作者首先添加，然後由所有者確認或修改。員工不應自行降級標籤。
從哪兒開始
選擇一個團隊，用這四個層級標記其最常用的 10 個文件，然後執行測試，看看大家的意見分歧在哪裡。這些分歧能幫助你了解政策需要哪些範例。
