Klassifizieren Informationen und unterstützende Assets für Asset Security - Dummies

Informationen und Daten in all ihren verschiedenen Formen sind wertvolle Geschäftsressourcen, die Sicherheit erfordern. Wie bei anderen, konkreteren Vermögenswerten bestimmt der Wert der Informationen das von der Organisation geforderte Schutzniveau.

Ein Datenklassifizierungsschema hilft einer Organisation, ihren Informationsressourcen einen Wert zuzuordnen, basierend auf ihrer Sensitivität für Verlust oder Offenlegung und ihrer Kritikalität für die Mission oder den Zweck der Organisation. Organisation bestimmen das angemessene Schutzniveau. Darüber hinaus können Datenklassifizierungsschemata für die Einhaltung gesetzlicher Vorschriften oder anderer Gesetze erforderlich sein.

Die einheitliche Anwendung eines einzigen Schutzstandards auf alle Vermögenswerte einer Organisation ist weder praktisch noch wünschenswert. In einem solchen Fall sind entweder nicht kritische Daten übermäßig geschützt oder kritische Daten sind untergeschützt.

Die Mitarbeiter eines Unternehmens müssen auch das verwendete Klassifizierungsschema, die Klassifizierung von Informationsressourcen, die Handhabung und Absicherung von Anforderungen sowie ordnungsgemäße Vernichtungs- oder Entsorgungsverfahren verstehen.

Kommerzielle Datenklassifizierung

Kommerzielle Datenklassifizierungsschemata werden typischerweise implementiert, um Informationen zu schützen, die einen Geldwert haben, um geltenden Gesetzen zu entsprechen und die Privatsphäre zu schützen und die Haftung zu begrenzen. Kriterien, nach denen kommerzielle Daten klassifiziert werden, umfassen

• Wert: Das häufigste Klassifizierungskriterium in kommerziellen Organisationen. Es basiert auf Geldwert oder einem anderen Wert.
• Alter / Nutzungsdauer: Informationen, die im Laufe der Zeit an Wert verlieren, obsolet oder irrelevant werden oder allgemein bekannt werden / öffentliches Wissen wird auf diese Weise klassifiziert.
• Regulatorische Anforderungen: Private Informationen, wie medizinische Aufzeichnungen, die dem HIPAA-Gesetz (Health Insurance Portability and Accountability Act von 1996) und HITECH (Health Information Technology for Economic und Clinical Health Act) unterliegen, sowie Aufzeichnungen, die dem Datenschutz unterliegen Gesetz, kann gesetzliche Anforderungen für den Schutz haben. Die Klassifizierung solcher Informationen kann sich nicht nur auf die Einhaltung, sondern auch auf Haftungsgrenzen stützen.

Deskriptive Beschriftungen werden häufig auf Unternehmensinformationen angewendet, z. B. Vertraulich und proprietär und Nur für interne Zwecke. Die organisatorischen Anforderungen zum Schutz von Informationen, die als solche gekennzeichnet sind, sind jedoch häufig nicht formal definiert. Organisationen sollten formell Standard-Klassifizierungsstufen sowie spezifische Anforderungen für Kennzeichnung, Handhabung, Lagerung und Vernichtung / Entsorgung festlegen.

Regierungsdatenklassifizierung

Regierungsdatenklassifizierungsschemata werden im Allgemeinen implementiert, um

• nationale Interessen oder Sicherheit zu schützen.
• Befolgen Sie die geltenden Gesetze.
• Schützen Sie die Privatsphäre.

Eines der gebräuchlicheren Systeme, das innerhalb des US-Verteidigungsministeriums (DoD) verwendet wird, besteht aus fünf großen Kategorien für die Klassifizierung von Informationen: Nicht klassifiziert, Sensitiv, aber nicht klassifiziert (SBU), Vertraulich, Geheime und streng geheim.

Innerhalb jeder Klassifizierungsebene sind bestimmte Sicherheitsvorkehrungen bei der Verwendung, Handhabung, Reproduktion, Beförderung und Vernichtung von Informationen des Verteidigungsministeriums erforderlich. Zusätzlich zu einem angemessenen Freigabelevel auf oder über dem Informationsniveau, das verarbeitet wird, müssen Personen wissen müssen, bevor sie auf die Informationen zugreifen können. Diejenigen, die es wissen müssen, sind jene, die die Information benötigen, um eine zugewiesene Jobfunktion auszuführen.

Nicht klassifiziert

Die niedrigste Datenklassifizierungsstufe der Regierung ist Nicht klassifiziert. Nicht klassifizierte Informationen sind nicht sensibel, und eine unbefugte Offenlegung schadet der nationalen Sicherheit nicht. Nicht klassifizierte Informationen können Informationen enthalten, die einst auf einer höheren Ebene klassifiziert wurden, seitdem aber von einer entsprechenden Behörde freigegeben wurden. Nicht klassifizierte Informationen sind nicht automatisch für die Öffentlichkeit freigebbar und können zusätzliche Modifikatoren wie Nur für die offizielle Verwendung oder Nur für die interne Verwendung enthalten.

Sensitiv, aber nicht klassifiziert (SBU)

Sensitiv, aber nicht klassifiziert Information ist ein üblicher Modifikator für nicht klassifizierte Informationen. Es enthält im Allgemeinen Informationen privater oder persönlicher Natur. Beispiele umfassen Testfragen, Disziplinarverfahren und medizinische Aufzeichnungen.

Vertraulich

Vertraulich Informationen sind Informationen, die bei Kompromittierung der nationalen Sicherheit schaden könnten. Vertrauliche Informationen sind die niedrigste Ebene klassifizierter Regierungsinformationen.

Secret

Secret Informationen sind Informationen, die, wenn sie kompromittiert werden, einen schweren Schaden für die nationale Sicherheit verursachen könnten. Geheime Informationen müssen normalerweise während ihres gesamten Lebenszyklus bis hin zu ihrer Zerstörung berücksichtigt werden.

Top Secret

Top Secret Informationen sind Informationen, die, falls sie kompromittiert werden, ernsthafte Schäden an der nationalen Sicherheit verursachen können. Top Secret-Informationen können zusätzliche Sicherheitsvorkehrungen erfordern, wie z. B. spezielle Bezeichnungen und Handhabungsbeschränkungen.

Eine Person muss über die entsprechende Clearance -Level und need-to-know verfügen, um Zugang zu klassifizierten Informationen zu erhalten.