Dataklassifikation

ISO/IEC 27002:2022 fordeler emnet på tre kontroller: 5.12 (klassifikation af information efter fortrolighed, integritet, tilgængelighed og relevante interessenters krav), 5.13 (mærkning efter klassifikationsordningen) og 5.14 (regler for overførsel af information). Selve ordningen er et lille ordnet sæt niveauer, typisk tre til fem, hver defineret ud fra den skade, som uautoriseret videregivelse eller ændring vil forvolde, og hver koblet til håndteringsregler: hvem der må få adgang, om kryptering er obligatorisk ved lagring og transmission, om deling med eksterne, udskrift eller flytbare medier er tilladt, samt opbevaring og sikker bortskaffelse. Klassifikationen foretages af informationsejeren, og niveauet bør revurderes, efterhånden som informationen ældes, for en pressemeddelelse er fortrolig, indtil den bliver udsendt.

Offentlige og fælles ordninger viser spændvidden. Det danske sikkerhedscirkulære for klassificerede informationer bruger TIL TJENESTEBRUG, FORTROLIGT, HEMMELIGT og YDERST HEMMELIGT, afstemt med NATO's og EU's klassificerede informationer (RESTREINT UE/EU RESTRICTED op til TRÈS SECRET UE/EU TOP SECRET). Traffic Light Protocol, TLP 2.0 fra FIRST (2022), er ikke en klassifikation, men en delingsmærkning for trusselsefterretninger: TLP:RED, TLP:AMBER, TLP:AMBER+STRICT, TLP:GREEN og TLP:CLEAR. De fleste virksomheder bruger enklere niveauer som offentlig, intern, fortrolig og strengt fortrolig.

Juridiske kategorier er et lag ovenpå, ikke en erstatning. Særlige kategorier af personoplysninger (GDPR art. 9) og oplysninger om strafbare forhold (art. 10) samt i Danmark CPR-numre, som databeskyttelseslovens § 11 regulerer særskilt, fører som regel mindst til niveauet fortrolig, men et dokument kan være meget fortroligt uden at indeholde personoplysninger, fx en tilbudspris eller kildekode. Når hver juridisk kategori kobles til et minimumsniveau, holdes de to systemer i overensstemmelse.

Mærkninger er kun nyttige, hvis maskiner kan læse dem. Følsomhedsmærkater gemt i dokumenternes metadata, fx Microsoft Purview-labels, styrer kryptering, vandmærker, DLP-politikker i mailgatewayen og på endpoints samt CASB-regler for upload til cloud. Automatiske klassifikatorer baseret på regulære udtryk (fx mønstre for CPR-numre), fingerprinting eller trænede modeller hjælper med de store mængder eksisterende data, men giver falske positiver og kan ikke vurdere kontekst. De typiske fejl er overklassifikation, hvor alt bliver fortroligt, så mærkningen ikke længere siger noget, og medarbejderne går udenom, og underklassifikation som standard, hvor umærkede data ikke arver nogen beskyttelse. Klassifikation er også grundlaget for opbevaring og sletning, for at finde data ved indsigtsanmodninger og for at afgrænse backup og kryptering, og derfor hænger den så tæt sammen med kryptering og håndtering af personoplysninger.