5.12 Klasyfikacja informacji
W skrócie: informacje są przypisane do poziomów klasyfikacji według tego, jak bardzo zaszkodziłoby organizacji ich ujawnienie, zmiana lub niedostępność.
Cel: identyfikacja i zrozumienie potrzeb ochrony informacji zgodnie z ich znaczeniem dla organizacji.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Identify (identyfikacja) |
| Zdolności operacyjne | #Information_protection (ochrona informacji) |
| Domeny bezpieczeństwa | #Protection (ochrona), #Defence (obrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Schemat klasyfikacji uwzględnia potrzeby poufności, integralności i dostępności oraz wymagania prawne. Musi być spójny w całej organizacji.
- Klasyfikację ustala się w oparciu o potrzeby biznesowe dzielenia się informacją albo jej ograniczania. Odpowiadają za nią właściciele informacji.
- Schemat zawiera zasady klasyfikowania i kryteria przeglądu klasyfikacji w czasie — wartość i wrażliwość informacji się zmieniają.
- Schemat jest powiązany z polityką kontroli dostępu (5.15) i procedurami postępowania z informacjami (5.10).
- Przy wymianie informacji z innymi organizacjami ustala się, jak interpretować ich poziomy klasyfikacji względem własnych.
- Norma podaje przykładowy schemat poufności oparty na skutkach ujawnienia: brak szkody, niewielka szkoda wizerunkowa lub operacyjna, znaczący krótkoterminowy wpływ na działalność, poważny wpływ na długoterminowe cele lub zagrożenie dla istnienia organizacji.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Trzy lub cztery poziomy w zupełności wystarczą — np. publiczne, wewnętrzne, poufne, ściśle poufne. Więcej poziomów rzadko jest stosowanych konsekwentnie.
- Domyślna klasyfikacja „wewnętrzne” dla nowych dokumentów — użytkownik podnosi ją świadomie.
- Informacje niejawne w rozumieniu ustawy o ochronie informacji niejawnych mają własne, ustawowe klauzule. Wewnętrznego schematu nie należy z nimi mieszać.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.5.12 — wykaz zabezpieczeń organizacyjnych.
- Pokrewne zabezpieczenia: 5.9 Inwentaryzacja informacji i innych powiązanych aktywów, 5.10 Dopuszczalne użycie informacji i innych powiązanych aktywów, 5.13 Oznaczanie informacji, 5.15 Kontrola dostępu, 8.12 Zapobieganie wyciekom danych.
- ISO/IEC 27002:2013: 8.2.1.