Biroul de securitate a informațiilor

scop

scopul acestei orientări este de a stabili un cadru pentru clasificarea datelor instituționale pe baza nivelului său de sensibilitate, valoare și critică față de Universitate, conform cerințelor politicii de securitate a informațiilor a Universității. Clasificarea datelor va ajuta la determinarea controalelor de securitate de bază pentru protecția datelor.

se aplică

această politică se aplică tuturor cadrelor didactice, personalului și agenților terți ai universității, precum și oricărui alt afiliat universitar care este autorizat să acceseze date instituționale. În special, prezenta orientare se aplică celor care sunt responsabili pentru clasificarea și protejarea datelor instituționale, astfel cum sunt definite de rolurile și responsabilitățile privind securitatea informațiilor.

definiții

date confidențiale este un termen generalizat care reprezintă de obicei date clasificate ca restricționate, în conformitate cu schema de clasificare a datelor definită în prezenta orientare. Acest termen este adesea folosit interschimbabil cu datele sensibile.

un administrator de date este un angajat de nivel superior al universității care supraveghează ciclul de viață al unuia sau mai multor seturi de date instituționale. Consultați rolurile și responsabilitățile privind securitatea informațiilor pentru mai multe informații.

datele instituționale sunt definite ca toate datele deținute sau licențiate de universitate.

informațiile care nu sunt publice sunt definite ca orice informații care sunt clasificate ca informații Private sau restricționate în conformitate cu sistemul de clasificare a datelor definit în prezenta orientare.

date sensibile este un termen generalizat care reprezintă de obicei date clasificate ca restricționate, în conformitate cu schema de clasificare a datelor definită în prezenta orientare. Acest termen este adesea folosit interschimbabil cu datele confidențiale.

Clasificarea datelor

Clasificarea datelor, în contextul securității informațiilor, este Clasificarea datelor pe baza nivelului său de sensibilitate și a impactului asupra universității în cazul în care aceste date sunt dezvăluite, modificate sau distruse fără autorizație. Clasificarea datelor ajută la determinarea controalelor de securitate de bază adecvate pentru protejarea acestor date. Toate datele instituționale ar trebui clasificate într – unul din cele trei niveluri de sensibilitate sau clasificări:

Clasificarea datelor trebuie efectuată de un administrator de date adecvat. Administratorii de date sunt angajați de nivel superior ai universității care supraveghează ciclul de viață al unuia sau mai multor seturi de date instituționale. Consultați rolurile și responsabilitățile de securitate a informațiilor pentru mai multe informații despre rolul de administrator de date și responsabilitățile asociate.

colecții de date

administratorii de date pot dori să atribuie o clasificare unică unei colecții de date care este comună în scop sau funcție. Atunci când se clasifică o colecție de date, ar trebui utilizată clasificarea cea mai restrictivă a oricăruia dintre elementele individuale de date. De exemplu, dacă o colecție de date constă în numele, adresa și numărul de securitate socială al unui student, colectarea datelor ar trebui clasificată ca fiind restricționată, chiar dacă numele și adresa elevului pot fi considerate informații publice.

reclasificare

periodic, este important să se reevalueze Clasificarea datelor instituționale pentru a se asigura că clasificarea atribuită este încă adecvată pe baza modificărilor obligațiilor legale și contractuale, precum și a modificărilor în utilizarea datelor sau a valorii acestora pentru universitate. Această evaluare ar trebui să fie efectuată de administratorul de date corespunzător. Este încurajată efectuarea unei evaluări anuale; cu toate acestea, administratorul de date ar trebui să determine ce frecvență este cea mai potrivită pe baza resurselor disponibile. Dacă un administrator de date stabilește că clasificarea unui anumit set de date s-a modificat, ar trebui efectuată o analiză a controalelor de securitate pentru a determina dacă controalele existente sunt în concordanță cu noua clasificare. Dacă se constată lacune în controalele de securitate existente, acestea ar trebui corectate în timp util, proporțional cu nivelul de risc prezentat de lacune.

calcularea clasificării

scopul securității informațiilor, așa cum se menționează în Politica de securitate a informațiilor Universității, este de a proteja confidențialitatea, integritatea și disponibilitatea datelor instituționale. Clasificarea datelor reflectă nivelul de impact asupra Universității dacă confidențialitatea, integritatea sau disponibilitatea sunt compromise.

din păcate, nu există un sistem cantitativ perfect pentru calcularea clasificării unui anumit element de date. În unele situații, clasificarea adecvată poate fi mai evidentă, cum ar fi atunci când legile federale impun universității să protejeze anumite tipuri de date (de exemplu, informații de identificare personală). Dacă clasificarea corespunzătoare nu este inerent evidentă, luați în considerare fiecare obiectiv de securitate folosind următorul tabel ca ghid. Este un extras din publicația Federală a standardelor de procesare a informațiilor (FIPS) 199 publicată de Institutul Național de standarde și tehnologie, care discută clasificarea informațiilor și a sistemelor informatice.

pe măsură ce impactul potențial total asupra Universității crește de la mic la mare, Clasificarea datelor ar trebui să devină mai restrictivă trecând de la Public la restricționat. Dacă o clasificare adecvată este încă neclară după examinarea acestor puncte, contactați biroul de securitate a informațiilor pentru asistență.

Anexa A – tipuri predefinite de informații restricționate

Biroul pentru securitatea informațiilor și biroul consilierului General au definit mai multe tipuri de date restricționate pe baza cerințelor de reglementare de stat și federale. Acestea sunt definite după cum urmează:

istoricul reviziilor