Основи класифікації даних

Що таке Основи класифікації даних?

Класифікація визначає, який захист застосовувати до яких даних. Ви пройдете чотири рівні — Публічна, Внутрішня, Конфіденційна та Суворо конфіденційна — з прикладами кожного та вимогами до поводження з даними на кожному рівні. Потім ви класифікуєте список контактів працівників і матимете справу з колегою, який через дедлайн просить надіслати клієнтську пропозицію на особисту адресу. Ви відповідаєте безпечною альтернативою, тож правило застосовується під тиском, а не просто заучується.

Що ви дізнаєтесь у Основи класифікації даних

• Присвоюйте документам і наборам даних правильні позначки класифікації (Публічна, Внутрішня, Конфіденційна, Суворо конфіденційна) залежно від чутливості змісту та вимог законодавства
• Застосовуйте відповідні правила поводження для кожного рівня класифікації, зокрема щодо зберігання, шифрування, передачі та знищення
• Змінюйте класифікацію інформації, коли її чутливість змінюється через публікацію, завершення проєкту чи зміни в законодавстві
• Розпізнавайте типові помилки класифікації, які призводять до розкриття даних, зокрема віднесення регульованих персональних даних лише до внутрішніх
• Розумійте, до яких організаційних і регуляторних наслідків призводить неправильна класифікація: від порушень вимог до витоків даних

Основи класифікації даних — Кроки навчання

1. Ласкаво просимо до Prism Analytics

   Сьогодні ви проходите щорічне навчання з класифікації даних. Його мають пройти всі працівники, які працюють із корпоративною інформацією. Уміти правильно класифікувати дані важливо, щоб захистити і компанію, і її клієнтів.

2. Навіщо потрібна класифікація

   Не всі дані однакові. Прес-реліз і фінансові записи клієнта потребують зовсім різного рівня захисту. Класифікація даних допомагає кожному в організації зрозуміти: з якими даними він працює наскільки вони чутливі який захист потрібен хто може мати до них доступ Без правильної класифікації працівники можуть випадково поділитися конфіденційною інформацією або марно витрачати ресурси на захист публічних даних.

3. Сповіщення про навчання

   Аліса отримує лист від служби ІТ-безпеки про обов'язкове щорічне навчання з класифікації даних.

4. Портал безпеки

   Аліса переходить за посиланням на навчальний портал безпеки. Це єдина система, де зібрано всі навчальні матеріали з безпеки та облік виконання вимог.

5. Чотири рівні класифікації

   На навчальному порталі безпеки показано чотири рівні класифікації даних, які діють у компанії Prism Analytics: Публічна (Public) — інформація, призначена для оприлюднення Внутрішня (Internal) — загальна ділова інформація лише для працівників Конфіденційна (Confidential) — чутлива ділова або клієнтська інформація Суворо конфіденційна (Restricted) — дуже чутливі дані, що потребують суворого контролю Що чутливіша інформація, то суворіші вимоги до поводження з нею.

6. Публічні та внутрішні дані

   Перший рівень — Публічна : інформація, яку прямо схвалено для оприлюднення. Приклади: опубліковані прес-релізи маркетингові буклети та тексти на вебсайті відкриті вакансії опубліковані річні звіти Поводження: особливий захист не потрібен можна вільно передавати будь-кому перед публікацією все одно потрібне схвалення Другий рівень — Внутрішня : загальна ділова інформація лише для працівників. Приклади: внутрішні політики та процедури організаційні схеми та довідники працівників нотатки із зустрічей і плани проєктів внутрішні оголошення Поводження: передавати лише тим працівникам, яким це потрібно не публікувати відкрито й не передавати за межі компанії розсилати через корпоративну пошту спеціальне шифрування не потрібне

7. Конфіденційні дані

   Третій рівень — Конфіденційна : чутлива інформація, розкриття якої може зашкодити компанії чи клієнтам. Приклади: клієнтські договори та пропозиції фінансові звіти та прогнози бізнес-стратегії та плани неоприлюднена інформація про продукти оцінювання ефективності працівників Поводження: шифрувати, коли надсилаєте за межі компанії захищати чутливі документи паролем перед передачею перевіряти особу одержувача користуватися захищеним обміном файлами, а не особистою поштою позначати документи як «Конфіденційно»

8. Суворо конфіденційні дані

   Найвищий рівень — Суворо конфіденційна : дуже чутлива інформація, що потребує найсуворішого контролю. Приклади: персональні дані (PII): номери соціального страхування (SSN), номери паспортів дані платіжних карток (PCI) медичні записи (PHI) облікові дані для автентифікації та ключі шифрування комерційна таємниця та інтелектуальна власність Поводження: завжди шифрувати під час зберігання та передачі доступ мають лише окремі схвалені особи для будь-якого доступу обов'язкове журналювання аудиту про будь-який несанкціонований доступ повідомляти негайно потрібні особливі процедури знищення Портал пропонує вам класифікувати документ. Документ: таблиця з іменами, електронними адресами та номерами телефонів усіх працівників відділу маркетингу. Подумайте: хто має мати до неї доступ? Що буде, якщо вона витече?

9. Практика класифікації

10. Застосування на практиці

    Пізніше того ж дня Аліса отримує лист від колеги Маркуса з проханням надіслати клієнтську пропозицію за межі компанії. Він просить надіслати її контактній особі в партнерській агенції, але на особисту адресу Gmail цієї людини, «бо в неї не працює корпоративна пошта». Маркусові пропозиція потрібна терміново, для завтрашньої зустрічі. Але пропозиція для Meridian містить ціни й обсяг послуг: це конфіденційні дані.