Klassificera information och stöd för tillgångssäkerhet - dummies

Information och data är i alla sina olika former värdefulla affärstillgångar som kräver säkerhet. Precis som med andra mer materiella tillgångar, bestämmer värdet av informationen vilken nivå av skydd som krävs av organisationen.

Ett dataklassificeringssystem hjälper en organisation att tilldela ett värde till sina informationstillgångar baserat på dess känslighet för förlust eller avslöjande och dess kritik för organisationens uppdrag eller syfte och hjälper organisation bestämmer lämplig nivå av skydd. Dessutom kan system för dataklassificering krävas för lagar eller annan laglig efterlevnad.

Det är inte praktiskt eller önskvärt att tillämpa en ensam skyddsstandard enhetligt över hela organisationens tillgångar. I ett sådant fall är antingen icke-kritiska data överskyddade eller kritiska data underskyddade.

En organisations anställda behöver också förstå klassificeringsschemat som används, hur man klassificerar informationstillgångar, hanterar och skyddar krav och korrekt destruktion eller bortskaffande.

Kommersiell dataklassificering

Kommersiella dataklassificeringar implementeras typiskt för att skydda information som har ett monetärt värde, att följa gällande lagar och skydda integritet och begränsa ansvar. Kriterier enligt vilka kommersiella data klassificeras inkluderar

• Värde: Det vanligaste klassificeringskriteriet i kommersiella organisationer. Den baseras på penningvärde eller något annat värde.
• Ålder / nyttjandeperiod: Information som förlorar värde över tiden, blir föråldrad eller irrelevant, eller blir vanligt / allmänhetens kunskap klassificeras på detta sätt.
• Regulatoriska krav: Privata uppgifter, till exempel medicinska register som omfattas av HIPAA (Health Insurance Portability and Accountability Act of 1996) och HITECH (Health Information Technology for Economic and Clinical Health Act) Lag, kan ha rättsliga krav på skydd. Klassificering av sådan information kan baseras inte bara på överensstämmelse utan även på ansvarsbegränsningar.

Beskrivande etiketter tillämpas ofta på företagsinformation, till exempel Konfidentiellt och eget och Endast internt bruk. De organisatoriska kraven för att skydda information som är märkta som sådana definieras emellertid ofta inte formellt. Organisationer bör formellt identifiera standardklassificeringsnivåer samt särskilda krav för märkning, hantering, lagring och destruktion / bortskaffande.

Offentlig dataklassificering

Regeringsdata klassificeringssystem tillämpas generellt till

• Skydda nationella intressen eller säkerhet.
• Uppfyller gällande lagar.
• Skydda privatlivet.

Ett av de vanligaste systemen, som används inom Förenta staternas försvarsdepartement (DoD), består av fem breda kategorier för informationsklassificering: Ej klassificerat, Känsligt men Oklassificerat (SBU), Konfidentiellt, Hemligt och Tophemligt.

Inom varje klassificeringsnivå krävs vissa skyddsåtgärder vid användning, hantering, reproduktion, transport och förstöring av försvarsdepartementets information. Förutom att ha en lämplig clearingsnivå vid eller över graden av information som behandlas, måste individer ha ett behov av att veta innan de kan komma åt informationen. De som behöver veta är de som behöver informationen för att utföra en tilldelad arbetsfunktion.

Ej klassificerad

Den lägsta statliga dataklassificeringsnivån är Ej klassificerad. Oklassificerad information är inte känslig, och obehörigt avslöjande kommer inte att skada nationell säkerhet. Oklassificerad information kan innehålla information som en gång klassificerats på högre nivå men har sedan avklassificerats av en lämplig myndighet. Oklassificerad information kan inte automatiskt släppas ut till allmänheten och kan innehålla ytterligare modifierare som Endast för officiell användning eller Endast för intern användning.

Känslig men oklassificerad (SBU)

Känslig men oklassificerad Information är en vanlig modifierare av oklassificerad information. Den innehåller allmänt information av privat eller personlig karaktär. Exempel är testfrågor, disciplinärenden och journaler.

Konfidentiell

Konfidentiell Information är information som, om den kompromissas, kan skada den nationella säkerheten. Konfidentiell information är den lägsta nivån av sekretessbelagd information.

Hemlig

Hemlig Information är information som, om den äventyras, kan orsaka allvarlig skada på den nationella säkerheten. Hemlig information måste normalt redovisas under hela dess livscykel, hela vägen till dess förstörelse.

Top Secret

Top Secret Information är information som, om den kompromissas, kan orsaka allvarlig skada på den nationella säkerheten. Hemlig hemlig information kan kräva ytterligare skyddsåtgärder, såsom speciella beteckningar och hanteringsbegränsningar.

En individ måste ha lämplig clearance nivå och need-to-know för tillgång till sekretessbelagd information.