De flesta säkerhetsprogram börjar med en policy som säger att information ska skyddas efter sin känslighet. Sedan definierar ingen vad känslighetsnivåerna faktiskt är, så varje team gissar. Marknad behandlar en kundlista som en öppen broschyr, och en avdelning låser en mötesagenda som om den vore en statshemlighet. Båda har fel, och ingen av dem kan bevisa att de gjorde rätt bedömning.

Dataklassificering löser det. Den ger varje informationsmängd en etikett som säger hur känslig den är, och den etiketten avgör vem som får se den, hur länge du sparar den och hur du skyddar den. Får du klassningen rätt faller resten av dina kontroller på plats. Hoppar du över den skyddar du allt på samma nivå, vilket betyder att du antingen lägger för mycket på lågriskinformation eller för lite på den data som faktiskt skulle skada dig om den läckte.

Varför klassningen kommer först

Nästan varje säkerhetsbeslut du fattar är egentligen en fråga om känslighet. Vem ska kunna öppna den här filen? Hur länge måste vi spara de här uppgifterna, och när måste vi radera dem? Behöver det här krypteras i vila, och vem håller nycklarna? Du kan inte besvara något av det konsekvent förrän ni är överens om hur känslig datan är.

Därför ligger klassningen uppströms om dina andra kontroller:

• Åtkomsten följer klassningen. Ju känsligare data, desto färre personer bör nå den. En nivå talar om ifall åtkomsten är öppen för alla, begränsad till personal eller reserverad för en namngiven grupp.
• Lagringen följer klassningen. Data med lågt värde kan sparas lösare eller gallras tidigt. Känslig och reglerad data behöver en bestämd lagringstid och ett verkligt raderingssteg, inte en mapp som bara växer.
• Krypteringen följer klassningen. Allt behöver inte samma skydd. Klassningen talar om vad som måste krypteras, var, och hur noga du vaktar nycklarna.

Gör du tvärtom och bestämmer åtkomst och lagring från fall till fall utan en modell får du glidning. Två liknande filer får olika regler för att två olika personer gjorde bedömningen olika dagar. Klassningen byter ut de där engångsbedömningarna mot en regel alla tillämpar likadant.

En nivåindelning som teamet faktiskt använder

Den bästa klassningsmodellen är den ditt team kommer ihåg. Fyra nivåer täcker nästan varje situation utan att göra klassningen till ett pussel. Måste folk fundera mer än några sekunder väljer de fel eller struntar i det.

Öppen

Information du gärna låter vem som helst se. Marknadssidor, publicerad dokumentation, lediga tjänster och ditt trust center hör hemma här. Ingen skada sker om den sprids, så hanteringen är lätt. Den enda verkliga regeln är att någon godkänt den för publicering.

Intern

Standard för det dagliga arbetet. Mötesanteckningar, interna wikin, projektplaner och vanlig e-post. Det är inte hemligt, men du skulle inte lägga ut det offentligt. Om det läckte vore det pinsamt snarare än skadligt. Åtkomsten är begränsad till personal och betrodda partner.

Konfidentiell

Data som skulle orsaka verklig skada om den kom ut. Kunduppgifter, avtal, ekonomi och personuppgifter hör oftast hit. En läcka betyder brutet förtroende, ett regulatoriskt problem eller ett övertag för en konkurrent. Åtkomsten är begränsad till dem som behöver den för sin roll, och hanteringen blir striktare.

Strikt konfidentiell

Din känsligaste information, där en incident vore allvarlig. Tänk hemligheter, autentiseringsuppgifter, särskilda kategorier av personuppgifter och allt under en strikt regulatorisk skyldighet. Åtkomsten är begränsad till en liten, namngiven grupp, allt loggas, och skyddet är som tätast.

Du kan döpa om nivåerna så att de passar er kultur, men motstå frestelsen att lägga till fler. Fem nivåer känns redan som en byråkrati. Poängen är en modell folk tillämpar utan ett möte.

Märkning så att nivån följer med datan

En klassning hjälper bara om den sitter kvar på datan. En nivå som bara lever i någons minne är värdelös i samma stund som personen är på semester. Så etiketten måste följa med tillgången.

För dokument och filer betyder det en synlig markering: en sidhuvud, en sidfot eller en egenskap som säger "konfidentiell" så att alla som öppnar filen känner reglerna. För system och datamängder hör etiketten hemma i ditt inventarium, noterad på tillgången själv snarare än i en sidoanteckning. När du inför ett nytt verktyg eller en ny datamängd bör klassningen vara en del av intaget, inte en eftertanke du hinner med sedan.

Märkningen avgör också frågan om blandat innehåll. När en fil håller data från fler än en nivå tar den den högsta nivån som finns. En rapport som mest är öppen men innehåller en konfidentiell siffra är konfidentiell. Den enda regeln hindrar folk från att prata sig ner till en lägre nivå för att det mesta av innehållet ser ofarligt ut.

Hanteringsregler per nivå

När etiketten är på plats bör hanteringen vara automatisk. Varje nivå kopplas till en uppsättning regler för hur datan lagras, delas, sparas och förstörs. Värdet är att ingen bestämmer om det på nytt i stunden. De tittar på nivån och följer regeln.

En rimlig grund ser ut så här. Öppen data kan delas fritt och behöver ingen kryptering utöver ditt vanliga överföringsskydd. Intern data stannar i dina system, delas bara med personal och följer standardlagring. Konfidentiell data krypteras i vila, delas bara med namngivna mottagare, sparas en bestämd tid och gallras sedan enligt schema. Strikt konfidentiell data lägger till hårdare kontroller: åtkomst strikt efter behov, full loggning av vem som rört den, kryptering med väl vaktade nycklar och ett dokumenterat förstöringssteg.

Datalagring hör hemma i de här reglerna också. Om din konfidentiella och strikt konfidentiella data måste stanna i EU namnger hanteringsregeln var den finns. OptiTech håller reglerad data i EU, i Stockholm och Frankfurt, så att datalagringen är ett faktum du noterar och bevisar snarare än ett löfte du hoppas håller.

Koppla klassningen till dina kontroller

Klassning är inte en arkiveringsövning. Den är indatan som gör dina kontroller konkreta. En kontroll som säger "kryptera känslig data" går inte att testa förrän en modell definierar vad "känslig" betyder. När konfidentiell och strikt konfidentiell är definierade blir kontrollen kontrollerbar: är varje tillgång på de nivåerna krypterad, ja eller nej?

Det är här klassningen förtjänar sin plats i ditt program. Åtkomstgranskningar blir skarpare för att du kan fråga om åtkomsten till strikt konfidentiella tillgångar fortfarande är befogad. Lagringen blir granskningsbar för att varje nivå har en bestämd tid. Ditt riskarbete blir bättre för att du kan väga en risk efter nivån på datan den hotar. Modellen gör vaga avsikter till kontroller du kan ta fram bevis för.

Så gör OptiTech klassningen till hantering

I OptiTech är klassningen en egenskap hos det du redan spårar, inte ett separat kalkylark som blir inaktuellt. Du noterar en dataklassificering på varje tillgång i ditt inventarium och på varje behandling i dina register. Nivån lever med tillgången, så den syns överallt där tillgången dyker upp i ditt program.

Därifrån driver klassningen hanteringsreglerna i stället för att bara beskriva dem. Eftersom nivån sitter på tillgången kan OptiTech koppla den till de kontroller nivån kräver: kryptering för konfidentiell och strikt konfidentiell data, åtkomstgränser per nivå, lagringstider och datalagring i Stockholm eller Frankfurt. När du gör en åtkomstgranskning eller samlar bevis i OptiTech Console kan du filtrera på nivå och gå direkt till tillgångarna som bär mest risk.

Den kopplingen matar också ditt trust center. När en köpare frågar hur du klassar och skyddar deras data kommer svaret från samma register du använder internt, inte en slide någon skrev för säljmötet. Din klassningsmodell, dina hanteringsregler och beviset på att du följer dem pekar alla på samma källa.

Kom igång

Du behöver inte ett halvårsprojekt för att börja. En realistisk första omgång ser ut så här:

1. Enas om fyra nivåer och skriv en tydlig mening som beskriver var och en.
2. Klassa dina tillgångar med högst risk först, systemen som håller personuppgifter, ekonomi och hemligheter.
3. Skriv hanteringsregeln för varje nivå, med åtkomst, lagring, kryptering och datalagring.
4. Notera klassningen i OptiTech på dina tillgångar och behandlingar så att nivån driver kontrollerna.

Klassningen belönar de team som behandlar den som grunden snarare än pappersarbetet. Bestäm nivåerna en gång, fäst dem på din data, så blir varje efterföljande val om åtkomst, lagring och kryptering enklare och mer konsekvent.

Redo att låta klassningen driva dina kontroller i stället för dina gissningar? Boka en demo och se hur OptiTech kopplar ihop dina tillgångar, klassningar och bevis.