Modello di politica di classificazione dei dati
Questo modello di politica di classificazione dei dati ti offre una struttura pronta all’uso per etichettare i dati in base alla sensibilità, da Pubblico a Riservato. Ogni sezione qui sotto include sia le indicazioni su cosa scrivere sia un esempio compilato, così puoi adattarlo direttamente alla tua organizzazione senza partire da una pagina vuota.
Scarica il modello della policy di classificazione dei dati (DOCX)
Esempio di politica di classificazione dei dati
1. Scopo della politica di classificazione dei dati
Spiega perché la classificazione dei dati dovrebbe essere effettuata e quali benefici dovrebbe portare.
Lo scopo di questa politica è stabilire un quadro per classificare i dati in base alla loro sensibilità, valore e criticità per l'organizzazione, in modo che i dati sensibili aziendali e dei clienti possano essere adeguatamente protetti.
2. Ambito della politica
Definisci i tipi di dati che devono essere classificati e specifica chi è responsabile della corretta classificazione, protezione e gestione dei dati.
Questa politica si applica a qualsiasi forma di dati, inclusi documenti cartacei e dati digitali memorizzati su qualsiasi tipo di supporto. Si applica a tutti i dipendenti dell'organizzazione, nonché agli agenti terzi autorizzati ad accedere ai dati.
3. Ruoli e responsabilità
Descrivi i ruoli e le responsabilità associati allo sforzo di classificazione dei dati. I dipartimenti dovrebbero designare le persone che saranno responsabili di svolgere i compiti associati a ciascuno dei ruoli.
Responsabilità del proprietario dei dati
Proprietario dei dati: La persona che è in ultima analisi responsabile dei dati e delle informazioni raccolti e mantenuti dal suo dipartimento o divisione, solitamente un membro della direzione senior. Il proprietario dei dati deve affrontare quanto segue:
- Revisione e categorizzazione: Revisionare e categorizzare i dati e le informazioni raccolte dal suo dipartimento o divisione
- Assegnazione delle etichette di classificazione dei dati: Assegna etichette di classificazione dei dati in base al livello di impatto potenziale dei dati
- Compilazione dei dati: Assicurarsi che i dati compilati da più fonti siano classificati almeno con il livello di classificazione più sicuro di qualsiasi dato classificato singolarmente
- Coordinamento della classificazione dei dati: Assicurarsi che i dati condivisi tra i reparti siano classificati e protetti in modo coerente
- Conformità alla classificazione dei dati (in collaborazione con i custodi dei dati): Assicurarsi che le informazioni con un livello di impatto alto e moderato siano protette in conformità con le normative e le linee guida federali o statali
- Accesso ai dati (in collaborazione con i custodi dei dati): Sviluppare linee guida per l'accesso ai dati per ogni etichetta di classificazione dei dati
Responsabilità del custode dei dati
Custodi dei dati: Tecnici del reparto IT o, nelle organizzazioni più grandi, dell’ufficio Sicurezza Informatica. I custodi dei dati sono responsabili della manutenzione e del backup dei sistemi, database e server che memorizzano i dati dell’organizzazione. Inoltre, questo ruolo è responsabile dell’implementazione tecnica di tutte le regole stabilite dai proprietari dei dati e di garantire che le regole applicate nei sistemi funzionino correttamente. Alcune responsabilità specifiche dei custodi dei dati includono:
- Controllo degli accessi: Assicurarsi che i controlli di accesso appropriati siano implementati, monitorati e verificati in conformità con le etichette di classificazione dei dati assegnate dal proprietario dei dati
- Rapporti di audit: Invia un rapporto annuale ai proprietari dei dati che affronti disponibilità, integrità e riservatezza dei dati classificati
- Backup dei dati: Eseguire backup regolari dei dati di stato
- Validazione dei dati: Verificare periodicamente l'integrità dei dati
- Ripristino dei dati: Ripristina i dati dai supporti di backup
- Conformità: Soddisfa i requisiti dei dati specificati nelle politiche, negli standard e nelle linee guida di sicurezza dell'organizzazione relative alla sicurezza delle informazioni e alla protezione dei dati
- Monitorare l'attività: Monitorare e registrare l'attività dei dati, inclusa l'informazione su chi ha avuto accesso a quali dati
- Archiviazione sicura: Crittografa i dati sensibili a riposo durante l'archiviazione; verifica l'attività dell'amministratore della storage area network (SAN) e rivedi regolarmente i log di accesso
- Conformità alla classificazione dei dati (in collaborazione con i proprietari dei dati): Garantire che le informazioni con un livello di impatto alto e moderato siano protette in conformità con le normative e le linee guida federali o statali
- Accesso ai dati (in collaborazione con i proprietari dei dati): Sviluppare linee guida per l'accesso ai dati per ogni etichetta di classificazione dei dati
Responsabilità dell'utente dei dati
Utente dei dati: Persona, organizzazione o entità che interagisce con, accede, utilizza o aggiorna i dati allo scopo di svolgere un compito autorizzato dal proprietario dei dati. Gli utenti dei dati devono utilizzare i dati in modo coerente con lo scopo previsto e conformarsi a questa politica e a tutte le politiche applicabili all'uso dei dati.
4. Procedura di classificazione dei dati
Descrivi ogni procedura di classificazione dei dati passo dopo passo. Dettaglia chi esegue ogni passaggio, come vengono valutati i dati per sensibilità, cosa fare quando i dati non rientrano in una categoria stabilita, e così via.
Esempio di una procedura dettagliata:
1. I proprietari dei dati esaminano ogni dato di cui sono responsabili e ne determinano il livello complessivo di impatto, come segue:
- Se corrisponde a uno dei tipi predefiniti di informazioni riservate elencati nell'Appendice A, il proprietario dei dati assegna un livello di impatto complessivo “Alto”.
- Se non corrisponde a nessuno dei tipi predefiniti nell'Appendice A, il proprietario dei dati dovrebbe determinare il tipo di informazione e i livelli di impatto in base alle indicazioni fornite nelle Sezioni 5 e 6 di questo documento, e NIST 800-600 Volume 2. Il livello di impatto più alto dei tre è il livello di impatto complessivo.
- Se non è ancora possibile determinare il tipo di informazione e il livello complessivo di impatto, il proprietario dei dati deve collaborare con i custodi dei dati per risolvere la questione
2. Il proprietario dei dati assegna a ogni dato un'etichetta di classificazione basata sul livello complessivo di impatto:
Livello complessivo di impatto | Etichetta di classificazione |
|---|---|
|
Alto |
Riservato |
|
Moderato |
Confidenziale |
|
Basso |
Pubblico |
3. Il proprietario dei dati registra l'etichetta di classificazione e il livello di impatto complessivo per ogni dato nella tabella ufficiale di classificazione dei dati, sia in un database che su carta.
4. I responsabili dei dati applicano controlli di sicurezza appropriati per proteggere ogni dato in base all'etichetta di classificazione e al livello di impatto complessivo registrato nella tabella ufficiale di classificazione dei dati.
Esempio di una procedura di base:
1. I proprietari dei dati esaminano e assegnano a ogni dato di loro proprietà un tipo di informazione basato sulle categorie in NIST 800-600 Volume 1.
2. I proprietari dei dati assegnano a ogni dato un livello di impatto potenziale per ciascuno degli obiettivi di sicurezza (riservatezza, integrità, disponibilità), utilizzando la guida nella Sezione 6 di questo documento. Il più alto dei tre è il livello di impatto complessivo.
3. I proprietari dei dati assegnano a ogni dato un'etichetta di classificazione basata sul livello complessivo di impatto:
Livello di impatto complessivo | Etichetta di classificazione |
|---|---|
|
Alto |
Riservato |
|
Moderato |
Confidenziale |
|
Basso |
Pubblico |
4. I proprietari dei dati registrano il livello di impatto e l'etichetta di classificazione per ogni dato nella tabella di Netwrix Data Classification.
5. I custodi dei dati applicano controlli di sicurezza delle informazioni a ogni dato in base alla sua etichetta di classificazione e al livello di impatto complessivo.
5. Linea guida per la classificazione dei dati
Crea una tabella che descriva ogni tipo di asset informativo che l'agenzia conserva, dettagli l'impatto di ciascuno dei tre obiettivi di sicurezza e specifichi i livelli di impatto e la classificazione da assegnare a ciascun tipo di asset.
Usa questa tabella per determinare il livello di impatto complessivo e l'etichetta di classificazione per molte risorse informative comunemente utilizzate nell'organizzazione.
|
Documenti di pianificazione del bilancio federale |
|||
|
I documenti di pianificazione del bilancio federale indicano le spese potenziali per l'anno successivo. Includono dati su partner e fornitori, oltre a dati analitici e di ricerca. |
|||
|
Tipi di informazioni |
|||
|
Controllo dei fondi |
I documenti di controllo dei fondi includono informazioni sulla gestione del processo di bilancio federale, compreso lo sviluppo di piani e programmi, budget e risultati di prestazione, nonché informazioni sul finanziamento di programmi e operazioni federali tramite l'assegnazione e la ripartizione dell'autorità di spesa diretta e rimborsabile, trasferimenti di fondi, investimenti e altri meccanismi. |
||
|
Obiettivi di sicurezza |
Impatto sulla riservatezza |
Impatto sull'integrità |
Impatto sulla disponibilità |
|
Descrizione dell'impatto |
La divulgazione non autorizzata di informazioni sul controllo dei fondi (in particolare le assegnazioni di bilancio per programmi o elementi di programma specifici) può essere gravemente dannosa per gli interessi del governo nei processi di approvvigionamento. In molti casi, tale divulgazione non autorizzata è vietata da ordine esecutivo o dalla legge. Il rilascio prematuro di bozze di informazioni sul controllo dei fondi può avvantaggiare interessi concorrenti e mettere seriamente a rischio le operazioni o persino la missione dell'agenzia. |
Le attività di controllo dei fondi generalmente non sono critiche dal punto di vista temporale. Un accumulo di piccole modifiche ai dati o l'eliminazione di voci minori può causare carenze di bilancio o casi di obbligazioni o esborsi eccessivi. |
I processi di controllo dei fondi sono generalmente tolleranti ai ritardi. In genere, ci si aspetta che l'interruzione dell'accesso alle informazioni sul controllo dei fondi abbia solo un effetto negativo limitato sulle operazioni, sui beni o sul personale dell'agenzia. |
|
Livello di impatto |
Moderato |
Moderato |
Basso |
|
Livello di impatto complessivo |
Moderato |
||
|
Etichetta di classificazione dei dati |
Confidenziale |
||
6. Determinazione del livello di impatto
Fornire una tabella che aiuti i proprietari dei dati a determinare il livello di impatto per ogni dato descrivendo gli obiettivi di sicurezza che si desidera raggiungere e come il mancato raggiungimento di ciascun obiettivo influirebbe sull'organizzazione.
Usa questa tabella per valutare l'impatto potenziale sull'azienda della perdita di riservatezza, integrità o disponibilità di un asset di dati che non rientra in nessuno dei tipi di informazioni descritti nella Sezione 5 e NIST 800-600 Volume 2.
|
Obiettivo di sicurezza |
Impatto potenziale |
||
|
Basso |
Moderato |
Alto |
|
|
Riservatezza. Limitare l'accesso ai dati e la loro divulgazione ai soli utenti autorizzati, al fine di proteggere la privacy personale e salvaguardare le informazioni riservate. |
Ci si aspetta che la divulgazione non autorizzata delle informazioni abbia effetti negativi limitati sulle operazioni, sui beni organizzativi o sulle persone. |
Ci si aspetta che la divulgazione non autorizzata delle informazioni abbia un effetto negativo grave sulle operazioni, sui beni organizzativi o sulle persone. |
Ci si aspetta che la divulgazione non autorizzata delle informazioni abbia un effetto negativo grave o catastrofico sulle operazioni, sui beni organizzativi o sulle persone. |
|
Integrità. Proteggere contro la modifica o la distruzione impropria dei dati, il che include garantire il non ripudio e l'autenticità delle informazioni. |
Ci si aspetta che la modifica o la distruzione non autorizzata delle informazioni abbia un effetto negativo limitato sulle operazioni, sui beni o sulle persone. |
Ci si aspetta che la modifica o la distruzione non autorizzata delle informazioni abbia un effetto negativo grave sulle operazioni, sui beni o sulle persone. |
Ci si aspetta che la modifica o la distruzione non autorizzata delle informazioni abbia un effetto negativo grave o catastrofico sulle operazioni, sui beni o sulle persone. |
|
Disponibilità. Garantire un accesso tempestivo e affidabile alle informazioni e il loro utilizzo. |
Ci si aspetta che l'interruzione dell'accesso alle informazioni o al sistema informativo, o del loro utilizzo, abbia un effetto negativo limitato sulle operazioni, sui beni o sulle persone. |
Ci si aspetta che l'interruzione dell'accesso alle informazioni o al sistema informativo, o del loro utilizzo, abbia un effetto negativo grave sulle operazioni, sui beni o sulle persone. |
Ci si aspetta che l'interruzione dell'accesso alle informazioni o al sistema informativo, o del loro utilizzo, abbia un effetto negativo grave o catastrofico sulle operazioni, sui beni o sulle persone. |
7. Appendice A
Descrivi i tipi di informazioni che dovrebbero essere automaticamente classificate come “Riservate” e assegnate a un livello di impatto “Alto”. Avere questa lista renderà il processo di classificazione dei dati più semplice per i proprietari dei dati.
Tipi di informazioni che devono essere classificate come “Riservate”
Informazioni di autenticazione
Le informazioni di autenticazione sono dati utilizzati per dimostrare l'identità di un individuo, sistema o servizio. Esempi includono:
- Password
- Segreti condivisi
- Chiavi private crittografiche
- Tabelle hash
Informazioni sanitarie elettroniche protette (ePHI)
ePHI è definito come qualsiasi informazione sanitaria protetta (PHI) che viene archiviata o trasmessa tramite supporti elettronici. I supporti elettronici includono dischi rigidi di computer così come supporti rimovibili o trasportabili, come nastro magnetico o disco, disco ottico o scheda di memoria digitale.
La trasmissione è il movimento o lo scambio di informazioni in forma elettronica. I mezzi di trasmissione includono internet, un extranet, linee affittate, linee dial-up, reti private e il movimento fisico di supporti di memorizzazione elettronici rimovibili o trasportabili.
Informazioni sulla carta di pagamento (PCI)
Le informazioni della carta di pagamento sono definite come un numero di carta di credito in combinazione con uno o più dei seguenti elementi di dati:
- Nome del titolare della carta
- Codice servizio
- Data di scadenza
- Valore CVC2, CVV2 o CID
- PIN o blocco PIN
- Contenuto della striscia magnetica di una carta di credito
Informazioni personali identificabili (PII)
PII è definito come il nome di battesimo di una persona o l’iniziale del nome e il cognome in combinazione con uno o più dei seguenti elementi di dati:
- Numero di previdenza sociale
- Numero di patente di guida rilasciata dallo stato
- Numero della carta d'identità rilasciata dallo stato
- Numero di conto finanziario in combinazione con un codice di sicurezza, codice di accesso o password che consentirebbe l'accesso al conto
- Informazioni mediche e/o sull'assicurazione sanitaria
8. Cronologia delle revisioni
Assicurati di tracciare tutte le modifiche alla tua politica di classificazione dei dati.
Versione | Pubblicato | Autore | Descrizione |
|---|---|---|---|
|
0.1 |
01/01/2018 |
John Smith |
Originale |
Questo modello ti fornisce il quadro delle politiche, ma la classificazione regge solo se le etichette rimangono accurate mentre i dati si spostano e crescono. Netwrix Data Classification automatizza il lavoro di scoperta e tagging descritto nelle Sezioni da 4 a 6, quindi la classificazione non si basa solo sulla revisione manuale.
Netwrix Data Classification individua e etichetta automaticamente i dati sensibili, così le etichette della tua policy rimangono accurate mentre i dati si spostano.
Domande frequenti
Condividi su