Классификация информации

Что это значит

Классификация информации - деление данных фирмы на группы в зависимости от того, какой ущерб причинили бы их утечка, изменение или потеря. Обычно выделяют четыре уровня: публичные, внутренние, конфиденциальные и строго конфиденциальные. К каждому уровню относятся правила, кто может иметь доступ к данным, где их хранить, как пересылать и как уничтожать.

Публичные - например, информация на сайте или прайсы, внутренние - организационные указания, конфиденциальные - договоры, зарплаты, калькуляции и персональные данные клиентов, строго конфиденциальные - например, готовящиеся сделки, ключи доступа или чувствительные персональные данные. Точное отнесение каждая фирма определяет сама по своей деятельности.

Классификация - основа информационной безопасности. Без неё нельзя разумно настроить управление доступом, шифрование или DLP, потому что фирма не знает, что защищает. Её требует, например, ISO 27001, и она входит в политику безопасности.

Как это работает на практике

Небольшим фирмам мы советуем начинать просто: три-четыре уровня, краткое описание с примерами и правило, что документ без пометки считается внутренним. Конфиденциальные документы помечают в заголовке или имени файла и хранят в папках с ограниченным доступом.

Для бухгалтерских и зарплатных данных классификация естественна: зарплаты, личные дела и персональные номера конфиденциальны, и доступ к ним есть только у тех, кому они нужны. Точно так же коммерческая тайна защищается в суде, только если фирма действительно охраняет её как тайну, и классификация - одно из доказательств.

Классификация касается и поставщиков. Если фирма передаёт конфиденциальные данные внешнему бухгалтеру, ИТ-администратору или в облако, договор должен содержать конфиденциальность и требования к защите, соответствующие уровню данных.

На что обратить внимание

Самая частая ошибка - слишком сложная система, которой никто не пользуется. Если у фирмы восемь уровней и сотни правил, люди перестают помечать документы, и классификация существует только на бумаге. Простая система, которую соблюдают, лучше идеальной, которую игнорируют.

Вторая ошибка - классифицировать только документы и забыть о данных в системах, письмах или резервных копиях. Конфиденциальные данные в незашифрованной копии на внешнем диске или во вложении старого письма так же уязвимы, как бумага на столе.