Information Security Office

Purpose

the purpose of this Guidelines is to establish a framework for classification institutional data based on its level of sensitivity, value and criticality to the University as required by the University’s Information Security Policy. A Classificação dos dados ajudará a determinar os controlos de segurança de base para a protecção dos dados.

aplica-se a

esta política aplica-se a todos os professores, funcionários e agentes de terceiros da Universidade, bem como qualquer outro afiliado da Universidade que está autorizado a aceder a dados institucionais. Em especial, a presente orientação aplica-se aos responsáveis pela classificação e protecção dos dados institucionais, tal como definidos pelas funções e Responsabilidades em matéria de segurança da Informação.

definições

dados confidenciais é um termo generalizado que tipicamente representa dados classificados como restritos, de acordo com o esquema de classificação de dados definido na presente orientação. Este termo é frequentemente usado indistintamente com dados sensíveis.

um administrador de dados é um funcionário de nível superior da Universidade que supervisiona o ciclo de vida de um ou mais conjuntos de dados institucionais. Veja as funções e responsabilidades de segurança da Informação para mais informações.

os dados institucionais são definidos como todos os dados detidos ou licenciados pela Universidade.

a informação não pública é definida como qualquer informação classificada como informação privada ou restrita de acordo com o sistema de classificação de dados definido na presente orientação.Dados sensíveis é um termo generalizado que tipicamente representa dados classificados como restritos, de acordo com o esquema de classificação de dados definido na presente orientação. Este termo é frequentemente usado indistintamente com dados confidenciais.

Classificação de Dados

classificação de Dados, no contexto da segurança da informação, é a classificação dos dados com base em seu nível de sensibilidade e o impacto para a Universidade que os dados sejam divulgadas, alteradas ou destruídas, sem autorização. A Classificação dos dados ajuda a determinar que controlos de segurança de base são adequados para salvaguardar esses dados. Todos os dados institucionais devem ser classificadas em um dos três níveis de sensibilidade, ou as classificações:

a Classificação dos dados deve ser efectuada por um administrador de dados adequado. Os administradores de dados são empregados de nível superior da Universidade que supervisionam o ciclo de vida de um ou mais conjuntos de dados institucionais. Ver papéis e Responsabilidades em matéria de segurança da Informação para obter mais informações sobre o papel de administrador de dados e responsabilidades associadas.

recolhas de dados

os administradores de dados podem desejar atribuir uma única classificação a uma recolha de dados que é comum no propósito ou função. Ao classificar uma recolha de dados, deve ser utilizada a classificação mais restritiva de qualquer um dos elementos de dados individuais. Por exemplo, se uma recolha de dados consistir no nome, endereço e número de segurança social de um estudante, a recolha de dados deve ser classificada como restrita, embora o nome e endereço do estudante possam ser considerados informação pública.

Reclassificação

Em uma base periódica, é importante reavaliar a classificação de Dados Institucionais para garantir a classificação atribuída é ainda adequada de acordo com as alterações legais e obrigações contratuais, bem como as alterações de utilização dos dados, ou o seu valor para a Universidade. Esta avaliação Deve ser efectuada pelo administrador de dados adequado. É incentivada a realização de uma avaliação anual; no entanto, o responsável pelos dados deve determinar a frequência mais adequada com base nos recursos disponíveis. Se um administrador de Dados determinar que a classificação de um determinado conjunto de dados foi alterada, deve ser realizada uma análise dos controlos de segurança para determinar se os controlos existentes são coerentes com a nova classificação. Se forem detectadas lacunas nos controlos de segurança existentes, estas deverão ser corrigidas atempadamente, proporcionais ao nível de risco que as lacunas representam.

calcular a classificação

o objectivo da segurança da informação, tal como estabelecido na Política de segurança da Informação da Universidade, é proteger a confidencialidade, integridade e disponibilidade dos dados institucionais. A Classificação dos dados reflecte o nível de impacto para a Universidade se a confidencialidade, a integridade ou a disponibilidade forem comprometidas.

infelizmente não existe um sistema quantitativo perfeito para calcular a classificação de um determinado elemento de dados. Em algumas situações, a classificação apropriada pode ser mais óbvia, como quando as leis federais exigem que a Universidade proteja certos tipos de dados (por exemplo, informações de identificação pessoal). Se a classificação adequada não for intrinsecamente óbvia, considere cada objetivo de segurança utilizando o quadro seguinte como um guia. É um excerto da publicação 199 do Federal Information Processing Standards (FIPS) do Instituto Nacional de normas e tecnologia, que discute a categorização de sistemas de informação e informação.

à medida que o impacto potencial total para a Universidade aumenta de baixo para elevado, a Classificação dos Dados deverá tornar-se mais restritiva, passando do público para o Restrito. Se, após a análise destes pontos, não for ainda clara uma classificação adequada, contacte o serviço de segurança da Informação para obter assistência.

Appendix a-Predefined Types of Restricted Information

the Information Security Office and the Office of General Counsel have defined several types of Restricted data based on state and federal regulatory requirements. Eles são definidos da seguinte forma:

Histórico De Revisão