doel
dit richtsnoer heeft tot doel een kader vast te stellen voor de classificatie van institutionele gegevens op basis van de mate van gevoeligheid, waarde en kriticiteit voor de Universiteit, zoals vereist door het informatiebeveiligingsbeleid van de Universiteit. Classificatie van gegevens zal helpen bij het bepalen van basisbeveiligingscontroles voor de bescherming van gegevens.
is van toepassing op
dit beleid is van toepassing op alle faculteiten, medewerkers en externe agenten van de Universiteit, alsmede op alle andere universitaire filialen die gemachtigd zijn om toegang te krijgen tot institutionele gegevens. Dit richtsnoer is met name van toepassing op degenen die verantwoordelijk zijn voor de indeling en bescherming van institutionele gegevens, zoals gedefinieerd door de taken en verantwoordelijkheden op het gebied van informatiebeveiliging.
definities
vertrouwelijke gegevens zijn een algemene term die gewoonlijk gegevens vertegenwoordigt die als beperkt zijn geclassificeerd, volgens het in dit richtsnoer gedefinieerde gegevensclassificatieschema. Deze term wordt vaak door elkaar gebruikt met gevoelige gegevens.
een Data Steward is een senior medewerker van de universiteit die toezicht houdt op de levenscyclus van een of meer reeksen institutionele gegevens. Zie de functies en verantwoordelijkheden voor informatiebeveiliging voor meer informatie.
institutionele gegevens worden gedefinieerd als alle gegevens die eigendom zijn van of een vergunning hebben van de Universiteit.
niet-openbare informatie wordt gedefinieerd als alle informatie die volgens het in dit richtsnoer gedefinieerde gegevensclassificatieschema als particuliere of niet-openbare informatie is geclassificeerd.
gevoelige gegevens zijn een algemene term die typisch gegevens vertegenwoordigt die geclassificeerd zijn als beperkt, volgens het in dit richtsnoer gedefinieerde gegevensclassificatieschema. Deze term wordt vaak door elkaar gebruikt met vertrouwelijke gegevens.
gegevensclassificatie
gegevensclassificatie in het kader van informatiebeveiliging is de classificatie van gegevens op basis van de mate van gevoeligheid en de impact voor de Universiteit indien gegevens zonder toestemming worden vrijgegeven, gewijzigd of vernietigd. De classificatie van gegevens helpt bepalen welke basisbeveiligingscontroles geschikt zijn om die gegevens te beschermen. Alle institutionele gegevens moeten worden ingedeeld in een van de drie gevoeligheidsniveaus, of classificaties:
| indeling | definitie |
| beperkt | gegevens moeten als beperkt worden geclassificeerd wanneer de ongeoorloofde openbaarmaking, wijziging of vernietiging van die gegevens een aanzienlijk risico voor de universiteit of haar filialen zou kunnen opleveren. Voorbeelden van beperkte gegevens zijn gegevens die worden beschermd door de privacywetgeving van de staat of de federale overheid en gegevens die worden beschermd door vertrouwelijkheidsovereenkomsten. Het hoogste niveau van beveiligingscontroles moet worden toegepast op gegevens met beperkte toegang. |
| privé | gegevens moeten als privé worden geclassificeerd wanneer ongeoorloofde openbaarmaking, wijziging of vernietiging van die gegevens tot een matig risico voor de universiteit of haar filialen zou kunnen leiden. Standaard moeten alle institutionele gegevens die niet expliciet als beperkte of openbare gegevens worden geclassificeerd, als privégegevens worden behandeld. Er moet een redelijk niveau van beveiligingscontroles worden toegepast op persoonlijke gegevens. |
| Openbaar | gegevens moeten als openbaar worden geclassificeerd wanneer de ongeoorloofde openbaarmaking, wijziging of vernietiging van die gegevens weinig of geen risico voor de universiteit en haar filialen zou opleveren. Voorbeelden van publieke gegevens zijn persberichten, cursusinformatie en onderzoekspublicaties. Hoewel er weinig of geen controles nodig zijn om de vertrouwelijkheid van openbare gegevens te beschermen, is een zekere mate van controle vereist om ongeoorloofde wijziging of vernietiging van openbare gegevens te voorkomen. |
de classificatie van de gegevens moet worden uitgevoerd door een geschikte Data Steward. Data Stewards zijn senior medewerkers van de universiteit die toezicht houden op de levenscyclus van één of meerdere institutionele Data. Zie functies en verantwoordelijkheden voor informatiebeveiliging voor meer informatie over de rol van Data Steward en bijbehorende verantwoordelijkheden.
gegevensverzamelingen
gegevens Stewards kunnen een enkele classificatie willen toekennen aan een verzameling gegevens die gemeenschappelijk is in doel of functie. Bij het classificeren van een verzameling gegevens moet de meest restrictieve classificatie van elk van de afzonderlijke gegevenselementen worden gebruikt. Als een gegevensverzameling bijvoorbeeld bestaat uit naam, adres en Burgerservicenummer van een student, moet de gegevensverzameling als beperkt worden geclassificeerd, hoewel de naam en het adres van de student als openbare informatie kunnen worden beschouwd.
herclassificatie
op periodieke basis is het belangrijk om de classificatie van institutionele gegevens opnieuw te evalueren om ervoor te zorgen dat de toegewezen classificatie nog steeds passend is op basis van wijzigingen in wettelijke en contractuele verplichtingen en veranderingen in het gebruik van de gegevens of de waarde ervan voor de Universiteit. Deze evaluatie moet worden uitgevoerd door de juiste data Steward. Een evaluatie op jaarbasis wordt aangemoedigd; de Data Steward moet echter op basis van de beschikbare middelen bepalen welke frequentie het meest geschikt is. Indien een Data Steward vaststelt dat de classificatie van een bepaalde gegevensverzameling is gewijzigd, moet een analyse van beveiligingscontroles worden uitgevoerd om te bepalen of de bestaande controles in overeenstemming zijn met de nieuwe classificatie. Indien lacunes in de bestaande beveiligingscontroles worden geconstateerd, moeten deze tijdig worden gecorrigeerd, in verhouding tot het risiconiveau van de lacunes.
het berekenen van de classificatie
het doel van informatiebeveiliging, zoals vermeld in het informatiebeveiligingsbeleid van de Universiteit, is het beschermen van de vertrouwelijkheid, integriteit en beschikbaarheid van institutionele gegevens. De gegevensclassificatie weerspiegelt de mate van impact op de Universiteit als de vertrouwelijkheid, integriteit of beschikbaarheid in het gedrang komt.
helaas bestaat er geen perfect kwantitatief systeem voor het berekenen van de classificatie van een bepaald gegevenselement. In sommige situaties kan de juiste classificatie duidelijker zijn, zoals wanneer federale wetten vereisen dat de Universiteit bepaalde soorten gegevens (bijvoorbeeld persoonlijk identificeerbare informatie) te beschermen. Als de juiste classificatie niet inherent duidelijk is, overweeg dan elke beveiligingsdoelstelling met behulp van de volgende tabel als leidraad. Het is een uittreksel uit Federal Information Processing Standards (FIPS) publicatie 199 gepubliceerd door het National Institute of Standards and Technology, die de categorisering van informatie en informatiesystemen bespreekt.
| potentieel effect | |||
| Veiligheidsdoelstelling | laag | matig | hoog |
| vertrouwelijkheid behoud van toegestane beperkingen op toegang tot en openbaarmaking van informatie, met inbegrip van middelen voor de bescherming van de persoonlijke levenssfeer en bedrijfseigen informatie. |
de ongeoorloofde openbaarmaking van informatie zou naar verwachting een beperkt nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. | de ongeoorloofde openbaarmaking van informatie kan naar verwachting een ernstig nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. | de ongeoorloofde openbaarmaking van informatie kan naar verwachting een ernstig of catastrofaal nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. |
| integriteit bescherming tegen onjuiste wijziging of vernietiging van informatie, met inbegrip van het waarborgen van niet-afwijzing en authenticiteit van informatie. |
de ongeoorloofde wijziging of vernietiging van informatie kan naar verwachting een beperkt nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. | het ongeoorloofde wijzigen of vernietigen van informatie kan naar verwachting een ernstig nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. | het ongeoorloofde wijzigen of vernietigen van informatie kan naar verwachting een ernstig of catastrofaal nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. |
| beschikbaarheid zorgen voor tijdige en betrouwbare toegang tot en gebruik van informatie. |
de verstoring van de toegang tot of het gebruik van informatie of een informatiesysteem kan naar verwachting een beperkt nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. | de verstoring van de toegang tot of het gebruik van informatie of een informatiesysteem kan naar verwachting een ernstig nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. | de verstoring van de toegang tot of het gebruik van informatie of een informatiesysteem kan naar verwachting een ernstig of catastrofaal nadelig effect hebben op organisatorische activiteiten, organisatorische activa of individuen. |
naarmate de totale potentiële impact voor de Universiteit toeneemt van laag naar hoog, zou de classificatie van gegevens restrictiever moeten worden en van publiek naar beperkt moeten gaan. Als een passende classificatie na het overwegen van deze punten nog onduidelijk is, neem dan contact op met het Bureau voor informatiebeveiliging voor assistentie.
Appendix A-vooraf gedefinieerde soorten beperkte informatie
het Bureau voor informatiebeveiliging en het Bureau van de Algemene Raad hebben verschillende soorten beperkte gegevens gedefinieerd op basis van wettelijke vereisten van de staat en de federale overheid. Ze zijn als volgt gedefinieerd:
| Verificatieverificateur | |
een Verificatieverificateur is een stuk informatie dat door een individu in vertrouwen wordt gehouden en wordt gebruikt om te bewijzen dat de persoon is wie hij zegt te zijn. In sommige gevallen kan een Verificatieverificateur worden gedeeld met een kleine groep personen. Een Verificatieverificateur kan ook worden gebruikt om de identiteit van een systeem of dienst aan te tonen. Voorbeelden zijn onder meer, maar zijn niet beperkt tot:
|
|
| gedekte financiële informatie | |
| Bekijk het Gramm-Leach-Bliley informatiebeveiligingsprogramma van de Universiteit. | |
| elektronische beschermde gezondheidsinformatie (“EPHI”) | |
EPHI wordt gedefinieerd als elke beschermde gezondheidsinformatie (“PHI”) die wordt opgeslagen in of verzonden via elektronische media. Voor de toepassing van deze definitie omvat elektronische media::
|
|
| gecontroleerde materialen exporteren | |
|
Export Controlled Materials wordt gedefinieerd als alle informatie of materialen die onderworpen zijn aan de export control regulations van de Verenigde Staten, waaronder, maar niet beperkt tot, de Export Administration Regulations (EAR) gepubliceerd door de VS. Ministerie van Handel en de International Traffic in Arms Regulations (ITAR) gepubliceerd door het Amerikaanse Ministerie van Buitenlandse Zaken. Zie de veelgestelde vragen over exportcontrole van het Office of Research Integrity and Compliance voor meer informatie. |
|
| federale belastinginformatie (“FTI”) | |
| FTI wordt gedefinieerd als elke return, return informatie of belastingbetaler return informatie die wordt toevertrouwd aan de universiteit door de Internal Revenue Services. Zie Internal Revenue Service Publication 1075 Exhibit 2 voor meer informatie. | |
| betaalkaart informatie | |
|
betaalkaartgegevens worden gedefinieerd als een creditcardnummer (ook wel een primair rekeningnummer of PAN genoemd) in combinatie met een of meer van de volgende gegevenselementen::
informatie over betaalkaarten is ook onderworpen aan het PCI DSS-beleid en de richtlijnen van de Universiteit (login vereist). |
|
| persoonlijk identificeerbare onderwijs Records | |
persoonlijk identificeerbare Onderwijsrecords worden gedefinieerd als alle Onderwijsrecords die een of meer van de volgende persoonlijke identifiers bevatten:
zie Carnegie Mellon ‘ s policy on student privacy rights voor meer informatie over wat een onderwijsrecord vormt. |
|
| persoonlijk identificeerbare informatie | |
met het oog op het voldoen aan de meldingsvereisten voor inbreuken op de beveiliging, wordt PII gedefinieerd als de voornaam van een persoon of de eerste voor-en achternaam in combinatie met een of meer van de volgende gegevenselementen:
|
|
| Beschermde gezondheidsinformatie (“PHI”) | |
PHI is gedefinieerd als “individueel identificeerbare informatie over gezondheid”, uitgezonden door de elektronische media, onderhouden van elektronische media of verzonden of onderhouden in een andere vorm of medium door een gedekte Component, zoals gedefinieerd in het HIPAA-beleid van Carnegie Mellon. PHI wordt als individueel identificeerbaar beschouwd indien het een of meer van de volgende identificatoren bevat::
Per Carnegie Mellon ‘ s HIPAA Beleid, PHI omvat niet het onderwijs records of behandeling records gedekt door de Wet op de rechten en Privacy van het gezin of arbeidsregisters die de Universiteit in haar rol als werkgever heeft. |
|
| Gecontroleerde Technische Informatie (“CTI”) | |
| Gecontroleerde Technische Informatie betekent “technische informatie met militaire of ruimte-toepassing die is onderworpen aan controle op de toegang, het gebruik, de reproductie, wijziging, uitvoering, vertoning, release, de openbaarmaking of verspreiding” per DFARS 252.204-7012. | |
| Voor het Officiële Gebruik (“FOUO”) | |
| Documenten en gegevens aangeduid of aangegeven Voor Officieel Gebruik Alleen een pre-cursor van de Gecontroleerde niet-Geclassificeerde Informatie (CUI), zoals gedefinieerd door de Nationale Archieven (NARA) | |
| Gegevens uit de Europese Unie (EU) | |
|
De Algemene EU Data Protection Regulation (GDPR) definieert persoonsgegevens als alle informatie waaruit de identiteit van een natuurlijke persoon die, direct of indirect, door verwijzing naar een identificatienummer waaronder
persoonlijke gegevens die worden verzameld van personen in landen van de Europese Economische Ruimte (eer) zijn onderworpen aan de AVG. Voor vragen, stuur e-mail naar [email protected]. |
Geschiedenis
| Versie | Gepubliceerd | Auteur | Beschrijving |
| 0.1 | 07/02/2008 | Doug Markiewicz | Origineel |
| 0.2 | 09/25/2008 | Doug Markiewicz | Vervangen sectie Categorisatie met Data Collecties en toegevoegde hoofdstukken over de Herindeling en de Berekening van de Classificaties. |
| 0.3 | 10/20/2008 | Doug Markiewicz | herschreef het gedeelte over de berekening van classificaties als gevolg van fouten in het oorspronkelijke systeem. Bijgewerkt doel, is van toepassing op en definities. |
| 0.4 | 11/04/2008 | Doug Markiewicz | verwijderde vergelijking, maakte een kleine update van de definitie van openbare gegevens en bijgewerkte aanvullende informatie. Gesorteerde Bijlage A zodat de termen in alfabetische volgorde worden weergegeven en gedekte financiële informatie als term worden toegevoegd. |
| 0.5 | 02/20/2009 | Doug Markiewicz | voegde een ontbrekende opsommingsteken toe aan de laatste identifier in Bijlage A definitie G. De definitie zelf is niet gewijzigd. |
| 0.6 | 02/26/2009 | Doug Markiewicz | verschillende updates gebaseerd op Feedback. Belangrijke wijzigingen zijn onder meer het toevoegen van “Data Steward” aan de definities, het toevoegen van verwijzingen naar Informatiebeveiligingsfuncties & verantwoordelijkheden en het toevoegen van federale belastinginformatie aan Appendix A. |
| 0.7 | 03/18/2009 | Doug Markiewicz | bijgewerkte definitie van PHI in Bijlage A om te verwijzen naar het HIPAA informatiebeveiligingsbeleid. Authenticatie verificateur toegevoegd aan bijlage A. |
| 0.8 | 09/17/2009 | Doug Markiewicz | bijgewerkt toegepast op consistentie met gerelateerde publicaties. Verwijderd onderwijs Records uit bijlage A volgens de aanbeveling van de General Counsel. Bijgewerkt persoonlijk identificeerbare Onderwijsrecords in Bijlage A om te verwijzen naar het beleid op Student Privacy Rights. |
| 0.9 | 01/22/2010 | Doug Markiewicz | heeft Bijlage A bijgewerkt om Exportcontrolled Materials op te nemen. |
| 1.0 | 09/15/2011 | Doug Markiewicz | heeft de definitie van beschermde gezondheidsinformatie bijgewerkt om deze in overeenstemming te brengen met het nieuwe HIPAA-beleid. Verwijderde ontwerp-aanwijzing. |
| 1.1 | 04/07/2015 | Laura Raderman |
heeft Bijlage A bijgewerkt met gecontroleerde technische informatie. |
| 1.2 | 03/20/2018 | Laura Raderman |
heeft Bijlage A bijgewerkt met FOUO en CUI. |
| 1.3 | 05/23/2018 | Mary Ann Blair |
Bijgewerkte Bijlage zijn Gegevens uit de Europese Unie |
| Status: | Gepubliceerd |
| Gepubliceerd: | 07/02/2008 |
| Laatst Bekeken: | 05/23/2018 |
| Laatst Bijgewerkt: | 05/23/2018 |