Veri Sınıflandırması Açıklandı: Genel, Dahili, Gizli ve Kısıtlı

Neden Veri Sınıflandırması Önemlidir

Her bilgi parçası aynı koruma düzeyini hak etmez. Bir halka açık blog yazısı, bir dahili planlama notu, bir müşteri sözleşmesi ve bir üretim sırrı aynı şekilde ele alınmamalıdır. Bunun anlamı veri sınıflandırmasıdır: bilgiyi gizlilik ve iş etkisine göre etiketleyin ki insanlar nasıl depolayacağını, paylaşacağını ve koruyacağını bilsin.

Evrensel tek bir adlandırma şeması yoktur. Bazı çerçeveler şu tür etiketler kullanır:\n\t\tas Public, General, Confidential, ve Yüksek Derecede Gizli. Hükümet modelleri tamamen farklı etiketler kullanabilir. İsimler değişebilir, ancak amaç aynıdır: bilginin açığa çıkması, değiştirilmesi, kaybolması veya yanlış bir kitleye gönderilmesi halinde ne tür bir zararın olabileceğini anlamak.

Dört Seviyeli Model

Birçok özel sektör ekibi için basit bir dört seviyeli model iyi çalışır çünkü\n\t\töğretmesi kolay ve uygulaması pratiktir:

• Public
• Internal
• Confidential
• Restricted

Bu model tek geçerli model değildir, ancak hassasiyet açısından net bir merdiven oluşturur. İnsanların onlarca etiketi ezberlemesine gerek yok. Bir dosya gönderirken, bir not paylaşırken veya bir sohbet botunun içeriği görüp görmemesine karar verirken gerçekten kullanılabilir bir modele ihtiyaçları vardır.

1. Halka Açık

Public bilgi kuruluş dışında paylaşılabilir ve anlamlı bir gizlilik zararına yol açmaz. Örnekler genellikle halka açık blog yazıları, basın bültenleri, yayımlanmış dokümantasyon, onaylı pazarlama metni ve halka açık ürün sayfalarını içerir.

Halka Açık eğer önemsiz demek değildir. Hâlâ bütünlük ve inceleme gerektirir. Ancak gizlilik açısından bu en düşük riskli sınıftır.

2. Dahili

Internal bilgi kuruluş içinde normal kullanım için amaçlanmıştır.\n\t\tSızarsa, zarar genellikle sınırlıdır, ancak yine de halka açık dağıtım için tasarlanmamıştır. Dahili politikalar, toplantı notları, işe alıştırma materyalleri, sadece dahili ekran görüntüleri ve sıradan proje dokümantasyonu genellikle buraya uyar.

Birçok ekibin dikkatsiz davrandığı yer burasıdır. “Çok hassas değil” demek “her yerde paylaşılabilir” demek değildir. Dahili veri yine de onaylı sistemlere ait olmalı ve bazı erişim kontrollerine ihtiyaç duyar.

3. Gizli

Confidential bilgi yanlış kişilere ifşa edilirse gerçek zarar verebilir. Müşteri kayıtları, çalışan verileri, halka açık olmayan finansallar, sözleşmeler, hukuki dosyalar, dahili güvenlik prosedürleri, halka açık olmayan fiyatlandırma ve özel kaynak kodu genellikle bu kategoriye aittir.

Bu seviye genellikle daha güçlü erişim kısıtlamaları, daha iyi denetim ve daha sıkı paylaşım kuralları gerektirir. İfşa müşterilere, çalışanlara, hukuki yükümlülüklere, gelire veya güvene zarar verebilecekse, muhtemelen Gizli alanındasınızdır.

4. Kısıtlı

Restricted bilgi tipik dört seviyeli özel sektör modelinde en yüksek hassasiyet kategorisidir. Açığa çıkması ciddi ticari, hukuki, mali, operasyonel veya güvenlik zararlarına neden olabilir.

Örnekler arasında üretim sırları, root kimlik bilgileri, şifreleme anahtarları, son derece hassas güvenlik mimarisi, birleşme materyalleri, ticari sırlar ve en hassas düzenlemeye tabi veri kümeleri olabilir. Bu, yalnızca bilmesi gerekenlerle paylaşılan ve en sıkı kontrollerin uygulandığı bilgidir.

Sınıflandırma Etki Hakkındadır

Veri sınıflandırmasında en faydalı alışkanlıklardan biri, “Bu hassas mı hissediliyor?” diye sormayı bırakıp bunun yerine “Bu açığa çıkarsa, değiştirilirse veya yanlış yere gönderilirse ne olur?” diye sormaktır.

Bir belge sıkıcı görünebilir ama yine de hassas olabilir. Müşteri e-postaları içeren bir tablo, dahili URL'ler içeren bir ekran görüntüsü veya API sırlarıyla dolu düz bir metin dosyası dramatik görünmeyebilir, ancak açığa çıkmasının etkisi yüksek olabilir. Bağlam duygudan daha önemlidir.

Eğer ana riskiniz chat arayüzlerinde aşırı paylaşım ise, bu modeli şununla eşleştirin AI Sohbet Botlarıyla Asla Paylaşmamanız Gerekenler böylece sınıflandırma etiketi ve somut örnekler birbirini desteklesin.

Sınıflandırma İşlem Kurallarını Yönlendirmelidir

Bir sınıflandırma sistemi yalnızca her etiket davranışı değiştiriyorsa işe yarar. İşlem kuralları olmayan etiketler süs olur.

En azından her seviye birkaç pratik soruya cevap vermelidir:

• Kim erişebilir?
• Nerede saklanabilir?
• Dışarıya e-posta ile gönderilebilir mi?
• AI araçlarına kopyalanabilir mi?
• Şifreleme, onay veya izleme gerektirir mi?

Basit bir çalışır model şöyle görünebilir: Halka Açık dışarıya paylaşılabilir, Dahili şirket onaylı alanlarda kalır, Gizli sınırlı erişim ve daha güçlü paylaşım kısıtlamaları gerektirir ve Kısıtlı açık onay ve izleme beklentileriyle sıkı kontrollüdür.

Bunun AI Araçlarına Nasıl Yardımcı Olacağı

Veri sınıflandırmasının en büyük pratik faydalarından biri, bir şeyi bir sohbet botuna yapıştırmadan, bir ajana yüklemeden veya bir bağlayıcı aracılığıyla açığa çıkarmadan önce insanlara ilk karar filtresini sağlamasıdır.

• Eğer veri Public, bir AI aracıyla paylaşılması gizlilik açısından genellikle\n\t\t\tdüşük risklidir.
• Eğer veri Internal, yine de sadece\n\t\t\tonaylanmış kurumsal AI ortamlarında kabul edilebilir olabilir, otomatik olarak kişisel veya halka açık araçlarda değil.
• Eğer veri Confidential, genellikle varsayılan olarak tüketici odaklı yapay zeka araçlarına girilmemeli ve kırpma (redaksiyon) veya onaylanmış bir kurumsal iş akışı gerektirebilir.
• Eğer veri Restricted, en güvenli varsayım bunun\n\t\t\tgenel amaçlı AI araçlarının dışında kalması gerektiğidir, aksi takdirde sıkı kontrol edilen ve açıkça onaylanmış bir süreç olmalıdır.

Bu kararın gizlilik-kontrol tarafına ihtiyacınız varsa, şu kaynağı okuyun AI Sohbet Gizlilik Ayarları . Dış eylemler, araçlar veya entegrasyonlar konusunda endişeniz varsa, güvenlikle ilgili rehberdeki GPTs, agentler ve MCP bağlayıcıları güven sınırı tarafını ekler.

Bilgileri Sınıflandırmak İçin Pratik Bir Yol

Bir şeyi nasıl sınıflandıracağınızdan emin değilseniz, kısa bir etki temelli test genellikle yeterlidir:

1. Halka açık amaçlı mı? Eğer evet ise, muhtemelen Halka Açıktır.
2. Halka açık açıklama az veya sınırlı zarar verir mi? Eğer evet ise,\n\t\t\tmuhtemelen Dahili olabilir.
3. Açığa çıkması müşterilere, çalışanlara, hukuki yükümlülüklere,\n\t\t\t\toperasyonlara veya güvene zarar verir mi? Eğer evet ise, muhtemelen Gizli sınıfındadır.
4. Açığa çıkması şiddetli zarar yaratır mı veya en yüksek korumayı gerektirir mi? Eğer evet ise, muhtemelen Kısıtlı sınıfındadır.

Bu akış mükemmel değildir, ancak tahmin etmekten çok daha iyidir. Temel amaç insanları bilgiyi yanlış sisteme paylaşmadan önce durdurmaktır.

Yaygın Hatalar

Sık yapılan bir hata, tüm halka açık olmayan bilgileri eşit derecede hassas olarak değerlendirmektir. Bir diğeri en üst etiketi gereğinden fazla kullanıp onun anlamını kaybettirmektir. Her iki sorun da sınıflandırmayı zayıflatır.

Üçüncü bir hata bağlamın hassasiyeti değiştirdiğini unutmak. Zararsız görünen bir ekran görüntüsü, döküm veya tablo, adlar, zaman damgaları, dahili referanslar veya bağlantılı meta veriler içerdiğinde tanımlayıcı hale gelebilir.

Resmi Kaynaklar ve İleri Okuma

• Microsoft Learn: Veri sınıflandırması ve hassasiyet etiketi taksonomisi
• Microsoft Learn: Hassasiyet etiketleri hakkında bilgi edinin
• Microsoft Learn: Sınıflandırma etiketleri kavramları
• Cyera: Veri Sınıflandırmasının Dört Seviyesi Nedir?
• National Archives: Controlled Unclassified Information
• GOV.UK: Hükümet Güvenlik Sınıflandırmaları Politikası
• OWASP: LLM Uygulamaları için İlk 10

Sıkça Sorulan Sorular