Wyjaśnienie klasyfikacji danych: publiczne, wewnętrzne, poufne i ograniczone

Dlaczego klasyfikacja danych ma znaczenie

Nie każda informacja zasługuje na ten sam poziom ochrony. Publiczny wpis na blogu, wewnętrzna notatka planistyczna, umowa z klientem i sekret produkcyjny nie powinny być traktowane tak samo. Oto sens klasyfikacji danych: oznaczać informacje według wrażliwości i wpływu biznesowego, aby ludzie wiedzieli, jak je przechowywać, udostępniać i chronić.

Nie ma jednego uniwersalnego schematu nazewnictwa. Niektóre ramy używają etykiet takich jak\n\t\tas Public, General, Confidential, oraz Wysoce poufne (Highly Confidential). Modele rządowe mogą używać zupełnie innych etykiet. Nazwy mogą się zmieniać, ale cel pozostaje ten sam: zrozumieć, jakie szkody mogą wyniknąć z ujawnienia, zmiany, utraty lub wysłania informacji do niewłaściwej grupy odbiorców.

Model czteropoziomowy

Dla wielu zespołów prywatnego sektora prosty model czteropoziomowy działa dobrze, ponieważ\n\t\tjest łatwy do nauczenia i praktyczny w zastosowaniu:

• Public
• Internal
• Confidential
• Restricted

Ten model nie jest jedynym słusznym, ale tworzy wyraźną drabinę wrażliwości. Ludzie nie muszą zapamiętywać dziesiątek etykiet. Potrzebują działającego modelu, którego naprawdę będą używać przy wysyłaniu pliku, udostępnianiu notatki lub decydowaniu, czy chatbot powinien widzieć zawartość.

1. Publiczny (Public)

Public informacje mogą być udostępniane poza organizacją bez\n\t\tznaczącego naruszenia poufności. Przykłady często obejmują publiczne wpisy na blogu,\n\t\tkomunikaty prasowe, opublikowaną dokumentację, zatwierdzone materiały marketingowe i strony produktowe skierowane do odbiorców zewnętrznych.

Publiczny nie znaczy nieważny. Nadal wymaga integralności i przeglądu. Jednak z punktu widzenia poufności jest to klasa o najniższym ryzyku.

2. Wewnętrzny (Internal)

Internal informacje przeznaczone do normalnego użytku wewnątrz organizacji.\n\t\tJeśli wyciekną, szkody zwykle są ograniczone, ale wciąż nie są przeznaczone do publicznego\n\t\tudostępniania. Polityki wewnętrzne, notatki ze spotkań, materiały wdrożeniowe, zrzuty ekranu wyłącznie wewnętrzne i zwykła dokumentacja projektowa często pasują tutaj.

To miejsce, w którym wiele zespołów pozwala sobie na niedbałość. „Nie bardzo wrażliwe” nie znaczy „można udostępniać wszędzie”. Dane wewnętrzne nadal powinny być przechowywane w zatwierdzonych systemach i nadal wymagają pewnej kontroli dostępu.

3. Poufne (Confidential)

Confidential informacje mogą spowodować realne szkody w razie ujawnienia niewłaściwym osobom. Rejestry klientów, dane pracowników, niepubliczne dane finansowe, umowy, dokumenty prawne, wewnętrzne procedury bezpieczeństwa, niepubliczne cenniki i prywatny kod źródłowy zwykle należą do tej kategorii.

Ten poziom zwykle wymaga silniejszych ograniczeń dostępu, lepszego audytu i surowszych zasad udostępniania. Jeśli ujawnienie mogłoby zaszkodzić klientom, pracownikom, zobowiązaniom prawnym, przychodom lub zaufaniu, prawdopodobnie jesteś w obszarze Poufnym.

4. Ograniczone (Restricted)

Restricted informacja jest kategorią o najwyższej wrażliwości w\n\t\ttypowym czteropoziomowym modelu sektora prywatnego. Ujawnienie mogłoby spowodować poważne szkody biznesowe, prawne, finansowe, operacyjne lub bezpieczeństwa.

Przykłady mogą obejmować sekrety produkcyjne, dane root, klucze szyfrujące, wysoce wrażliwą architekturę bezpieczeństwa, materiały dotyczące fuzji, tajemnice handlowe oraz najbardziej wrażliwe regulowane zbiory danych. To informacje na zasadzie potrzeby wiedzy (need-to-know) z najsurowszą kontrolą.

Klasyfikacja dotyczy wpływu

Jednym z najbardziej przydatnych nawyków w klasyfikacji danych jest przestać pytać „Czy to wydaje się wrażliwe?” i zacząć pytać „Co się stanie, jeśli to zostanie\n\t\tujawnione, zmienione lub wysłane w niewłaściwe miejsce?”

Dokument może wyglądać nudno, a mimo to być wrażliwy. Arkusz kalkulacyjny z e-mailami klientów, zrzut ekranu z wewnętrznymi adresami URL lub zwykły plik tekstowy z tajemnicami API mogą nie wyglądać dramatycznie, ale wpływ ujawnienia może być wysoki. Kontekst ma większe znaczenie niż emocje.

Jeśli już wiesz, że twoim głównym ryzykiem jest nadmierne udostępnianie w interfejsach czatu, sparuj\n\t\tten model z Czego nigdy nie powinieneś udostępniać chatbotom AI aby etykieta klasyfikacji i konkretne przykłady wzajemnie się wzmacniały.

Klasyfikacja powinna determinować zasady postępowania

System klasyfikacji działa tylko wtedy, gdy każda etykieta zmienia zachowanie. Etykiety bez zasad postępowania to ozdoba.

Co najmniej każdy poziom powinien odpowiadać na kilka praktycznych pytań:

• Kto może mieć do tego dostęp?
• Gdzie można to przechowywać?
• Czy można to wysłać mailem na zewnątrz?
• Czy można to skopiować do narzędzi AI?
• Czy wymaga szyfrowania, zatwierdzenia lub monitorowania?

Prosty działający model mógłby wyglądać tak: Public można udostępniać\n\t\tna zewnątrz, Internal pozostaje w zatwierdzonych przestrzeniach firmy, Confidential\n\t\twymaga ograniczonego dostępu i surowszych zasad udostępniania, a Restricted jest\n\t\tszczególnie kontrolowany z wyraźnymi oczekiwaniami zatwierdzeń i monitoringu.

Jak to pomaga przy narzędziach AI

Jedną z największych praktycznych korzyści klasyfikacji danych jest to, że\n\t\tda ludziom pierwszy filtr decyzyjny, zanim wkleją coś do chatbota, przeładują do agenta lub udostępnią przez konektor.

• Jeśli dane są Public, udostępnienie tego narzędziu AI zwykle wiąże się z niskim ryzykiem z punktu widzenia poufności.
• Jeśli dane są Internal, może to być nadal akceptowalne tylko w\n\t\t\tzatwierdzonych środowiskach biznesowych AI, a nie automatycznie w narzędziach\n\t\t\tpublicznie dostępnych lub osobistych.
• Jeśli dane są Confidential, zwykle nie powinny trafiać domyślnie do konsumenckich narzędzi AI i mogą wymagać redakcji lub zatwierdzonego przebiegu pracy w przedsiębiorstwie.
• Jeśli dane są Restricted, najbezpieczniejszym założeniem jest to, że\n\t\t\tpowinny pozostać poza narzędziami ogólnego przeznaczenia, chyba że istnieje ściśle\n\t\t\tkontrolowany i wyraźnie zatwierdzony proces.

Jeśli potrzebujesz aspektu kontroli prywatności tej decyzji, przeczytaj Ustawienia prywatności czatu AI . Jeśli twoim zmartwieniem są działania zewnętrzne, narzędzia lub integracje, poradnik bezpieczeństwa dotyczący GPTs, agentów i connektorów MCP dodaje perspektywę granicy zaufania.

Praktyczny sposób klasyfikacji informacji

Kiedy nie jesteś pewien, jak coś sklasyfikować, krótki test oparty na wpływie zwykle wystarcza:

1. Czy jest to przeznaczone dla publiczności? Jeśli tak, prawdopodobnie to Public (Publiczny).
2. Czy publiczne ujawnienie spowodowałoby małe lub ograniczone szkody? Jeśli tak,\n\t\t\tmoże to być Informacyjne (Internal).
3. Czy ujawnienie mogłoby zaszkodzić klientom, pracownikom, zobowiązaniom prawnych,\n\t\t\t\toperacjom lub zaufaniu? Jeśli tak, prawdopodobnie to Poufne (Confidential).
4. Czy ujawnienie mogłoby spowodować poważne szkody lub wymagać najwyższego poziomu ochrony? Jeśli tak, prawdopodobnie to Ograniczone (Restricted).

Ten schemat nie jest doskonały, ale jest znacznie lepszy niż zgadywanie. Głównym celem jest skłonić ludzi do wstrzymania się, zanim udostępnią informacje w niewłaściwym systemie.

Częste błędy

Częstym błędem jest traktowanie wszystkich informacji niepublicznych jako jednakowo wrażliwych. Innym jest nadużywanie najwyższej etykiety do tego stopnia, że traci ona znaczenie. Oba problemy osłabiają skuteczność klasyfikacji.

Trzecim błędem jest zapominanie, że kontekst zmienia wrażliwość. Z pozoru nieszkodliwy zrzut ekranu, transkrypt lub arkusz kalkulacyjny może stać się identyfikowalny, gdy zawiera imiona, znaczniki czasowe, wewnętrzne odniesienia lub powiązane metadane.

Oficjalne źródła i dalsza lektura

• Microsoft Learn: Klasyfikacja danych i taksonomia etykiet wrażliwości
• Microsoft Learn: Dowiedz się o etykietach wrażliwości
• Microsoft Learn: Pojęcia dotyczące etykiet klasyfikacji
• Cyera: Jakie są cztery poziomy klasyfikacji danych?
• Archiwum Narodowe: Controlled Unclassified Information
• GOV.UK: Polityka klasyfikacji bezpieczeństwa rządu
• OWASP: Top 10 dla aplikacji LLM

Najczęściej zadawane pytania