Przejdź do głównej zawartości

5.13 Oznaczanie informacji

W skrócie: informacje są oznaczane tak, by każdy wiedział, jak je traktować, a systemy mogły automatycznie stosować właściwą ochronę.

Cel: ułatwienie komunikacji klasyfikacji informacji oraz wspieranie automatyzacji przetwarzania i zarządzania informacjami.

Atrybuty​

Typ atrybutuWartości
Typ zabezpieczenia#Preventive (prewencyjne)
Właściwości bezpieczeństwa informacji#Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność)
Koncepcje cyberbezpieczeństwa#Protect (ochrona)
Zdolności operacyjne#Information_protection (ochrona informacji)
Domeny bezpieczeństwa#Protection (ochrona), #Defence (obrona)

Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.

Wytyczne​

  • Procedury oznaczania obejmują informacje i powiązane aktywa w każdej postaci — papierowej i elektronicznej — i odzwierciedlają schemat klasyfikacji (5.12).
  • Oznaczenia muszą być łatwo rozpoznawalne. Procedury mówią, gdzie i jak umieszcza się etykiety, zależnie od nośnika i sposobu dostępu.
  • Procedury określają przypadki, w których oznaczanie się pomija, np. informacje publiczne, by zmniejszyć obciążenie.
  • Metadane klasyfikacji powinny być czytelne dla systemów, aby te mogły automatycznie stosować zabezpieczenia (np. DLP, kontrolę dostępu).
  • Pracownicy i strony zewnętrzne znają procedury oznaczania.
  • Norma zwraca uwagę na ryzyko: oznaczenie „poufne” może wskazać napastnikowi, co jest wartościowe. W niektórych przypadkach stosuje się więc oznaczenia pośrednie.

W praktyce​

Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.

  • Etykiety wrażliwości w pakietach biurowych (np. Microsoft Purview) z automatycznym nagłówkiem i stopką oraz regułami szyfrowania.
  • Oznaczenie klasyfikacji w temacie wiadomości e-mail i w nazwach udziałów sieciowych.
  • Na nośnikach wymiennych i wydrukach — fizyczna etykieta lub znak wodny z nazwą użytkownika.

Powiązania​