Informasjonssikkerhetskontor

Formål

Formålet med Denne Retningslinjen er å etablere et rammeverk for klassifisering av institusjonelle data basert på nivået av følsomhet, verdi og kritikk Til Universitetet som kreves Av Universitetets Informasjonssikkerhetspolitikk. Klassifisering av data vil bidra til å bestemme baseline sikkerhetskontroller for beskyttelse av data.

Gjelder

Denne Policyen gjelder for alle fakultet, ansatte og tredjepartsagenter Ved Universitetet, samt alle Andre Universitetsagenter som er autorisert til å få tilgang Til Institusjonelle Data. Spesielt gjelder Denne Retningslinjen for de som er ansvarlige for å klassifisere Og beskytte Institusjonelle Data, som definert Av Informasjonssikkerhetsrollene og-Ansvaret.

Definisjoner

Konfidensielle Data Er Et generalisert begrep som vanligvis representerer data klassifisert som Begrenset, i henhold til dataklassifiseringsordningen definert i Denne Retningslinjen. Dette begrepet brukes ofte om hverandre med sensitive data.

En Data Steward er en senior-nivå ansatt Ved Universitetet som overvåker livssyklusen til ett eller flere sett Med Institusjonelle Data. Se Roller Og Ansvar For Informasjonssikkerhet for mer informasjon.

Institusjonelle Data er definert som alle data som eies eller lisensieres Av Universitetet.

Ikke-offentlig Informasjon er definert som enhver informasjon som er klassifisert Som Privat Eller Begrenset Informasjon i henhold til dataklassifiseringsordningen definert i Denne Retningslinjen.

Sensitive Data Er et generalisert begrep som vanligvis representerer data klassifisert som Begrenset, i henhold til dataklassifiseringsordningen definert i Denne Retningslinjen. Dette begrepet brukes ofte utveksling med konfidensielle data.

Dataklassifisering

dataklassifisering, i sammenheng med informasjonssikkerhet, er klassifisering av data basert på sensitivitetsnivået og virkningen For Universitetet dersom dataene blir avslørt, endret eller ødelagt uten tillatelse. Klassifiseringen av data bidrar til å bestemme hvilke baseline sikkerhetskontroller som passer for å beskytte dataene. Alle institusjonelle data skal klassifiseres i ett av tre følsomhetsnivåer, eller klassifikasjoner:

Klassifisering av data skal utføres av en passende Dataforvalter. Data Forvaltere er senior-nivå ansatte Ved Universitetet som overvåker livssyklusen til ett eller flere sett Med Institusjonelle Data. Se Roller Og Ansvar For Informasjonssikkerhet for mer informasjon om Rollen Som Dataforvalter og tilknyttede ansvarsområder.

Datainnsamlinger

Dataforvaltere kan ønske å tildele en enkelt klassifisering til en samling av data som er felles i formål eller funksjon. Ved klassifisering av en innsamling av data, bør den mest restriktive klassifiseringen av noen av de enkelte dataelementene brukes. For eksempel, hvis en datainnsamling består av en students navn, adresse og personnummer, bør datainnsamlingen klassifiseres Som Begrenset selv om studentens navn og adresse kan betraktes Som Offentlig informasjon.

Omklassifisering

det er regelmessig viktig å revurdere klassifiseringen Av Institusjonsdata for å sikre at den tildelte klassifiseringen fortsatt er hensiktsmessig basert på endringer i juridiske og kontraktsmessige forpliktelser, samt endringer i bruken av dataene eller verdien Til Universitetet. Denne evalueringen skal utføres av den aktuelle Dataforvalteren. Det oppfordres til å gjennomføre en årlig evaluering, Men Dataforvalteren bør bestemme hvilken frekvens som er mest hensiktsmessig basert på tilgjengelige ressurser. Hvis En Dataforvalter bestemmer at klassifiseringen av et bestemt datasett er endret, bør det utføres en analyse av sikkerhetskontroller for å avgjøre om eksisterende kontroller er i samsvar med den nye klassifiseringen. Hvis det oppdages hull i eksisterende sikkerhetskontroller, bør de korrigeres i tide, i samsvar med risikonivået som presenteres av hullene.

Beregning Av Klassifisering

målet med informasjonssikkerhet, som angitt I Universitetets Informasjonssikkerhetspolitikk, er å beskytte konfidensialitet, integritet og tilgjengelighet Av Institusjonelle Data. Dataklassifisering gjenspeiler graden Av innvirkning På Universitetet hvis konfidensialitet, integritet eller tilgjengelighet er kompromittert.

Dessverre er Det Ikke noe perfekt kvantitativt system for beregning av klassifisering av et bestemt dataelement. I noen situasjoner kan den riktige klassifiseringen være mer åpenbar, for eksempel når føderale lover krever At Universitetet beskytter visse typer data(f. eks. personlig identifiserbar informasjon). Hvis den riktige klassifiseringen ikke er iboende åpenbar, bør du vurdere hvert sikkerhetsmål ved å bruke følgende tabell som en veiledning. Det Er et utdrag Fra Federal Information Processing Standards (FIPS) publikasjon 199 utgitt Av National Institute Of Standards and Technology, som diskuterer kategorisering av informasjon og informasjonssystemer.

Som den totale potensielle effekten Til Universitetet øker Fra Lav Til Høy, klassifisering av data bør bli mer restriktiv flytte Fra Offentlig Til Begrenset. Hvis en passende klassifisering fortsatt er uklar etter å ha vurdert disse punktene, ta kontakt Med Informasjonssikkerhetskontoret for å få hjelp.

Vedlegg A-Forhåndsdefinerte Typer Begrenset Informasjon

Informasjonssikkerhetskontoret og Kontoret For Generell Rådgivning har definert Flere typer Begrensede data basert på statlige og føderale regulatoriske krav. De er definert som følger:

Revisjonshistorikk