Класифікація інформації

Що це означає

Класифікація інформації - поділ даних фірми на групи залежно від того, якої шкоди завдали б їхній витік, зміна чи втрата. Зазвичай виділяють чотири рівні: публічні, внутрішні, конфіденційні й суворо конфіденційні. До кожного рівня належать правила, хто може мати доступ до даних, де їх зберігати, як пересилати й як знищувати.

Публічні - наприклад, інформація на сайті чи прайси, внутрішні - організаційні вказівки, конфіденційні - договори, зарплати, калькуляції й персональні дані клієнтів, суворо конфіденційні - наприклад, підготовлювані угоди, ключі доступу чи чутливі персональні дані. Точне віднесення кожна фірма визначає сама за своєю діяльністю.

Класифікація - основа інформаційної безпеки. Без неї не можна розумно налаштувати керування доступом, шифрування чи DLP, бо фірма не знає, що захищає. Її вимагає, наприклад, ISO 27001, і вона входить до політики безпеки.

Як це працює на практиці

Невеликим фірмам радимо починати просто: три-чотири рівні, короткий опис із прикладами й правило, що документ без позначки вважається внутрішнім. Конфіденційні документи позначають у заголовку чи назві файлу й зберігають у теках з обмеженим доступом.

Для бухгалтерських і зарплатних даних класифікація природна: зарплати, особові справи й персональні номери конфіденційні, і доступ до них мають лише ті, кому вони потрібні. Так само комерційна таємниця захищається в суді, лише якщо фірма справді охороняє її як таємницю, і класифікація - один із доказів.

Класифікація стосується й постачальників. Якщо фірма передає конфіденційні дані зовнішньому бухгалтерові, ІТ-адміністраторові чи в хмару, договір має містити конфіденційність і вимоги до захисту, що відповідають рівню даних.

На що звернути увагу

Найчастіша помилка - надто складна система, якою ніхто не користується. Якщо фірма має вісім рівнів і сотні правил, люди перестають позначати документи, і класифікація існує лише на папері. Проста система, якої дотримуються, краща за ідеальну, яку ігнорують.

Друга помилка - класифікувати лише документи й забути про дані в системах, листах чи резервних копіях. Конфіденційні дані в незашифрованій копії на зовнішньому диску чи у вкладенні старого листа так само вразливі, як папір на столі.