Informationssäkerhetskontor

syfte

syftet med denna riktlinje är att upprätta en ram för klassificering av institutionella data baserat på dess känslighet, värde och kritik för universitetet enligt universitetets informationssäkerhetspolicy. Klassificering av uppgifter kommer att bidra till att fastställa grundläggande säkerhetskontroller för skydd av uppgifter.

gäller

denna Policy gäller för alla fakultets -, Personal-och Tredjepartsagenter vid universitetet samt alla andra Universitetsförbund som har behörighet att få tillgång till institutionella Data. I synnerhet gäller denna riktlinje för dem som är ansvariga för att klassificera och skydda institutionella uppgifter, enligt definitionen i Informationssäkerhetsroller och ansvarsområden.

definitioner

konfidentiella Data är en generaliserad term som vanligtvis representerar data klassificerade som begränsade, enligt dataklassificeringsschemat som definieras i denna riktlinje. Denna term används ofta omväxlande med känsliga data.

en data Steward är en senior-nivå anställd vid universitetet som övervakar livscykeln för en eller flera uppsättningar av institutionella Data. Se Informationssäkerhetsroller och ansvar för mer information.

institutionell Data definieras som all data som ägs eller licensieras av universitetet.

icke-offentlig Information definieras som all information som klassificeras som privat eller begränsad Information enligt det dataklassificeringsschema som definieras i denna riktlinje.

känsliga Data är en generaliserad term som vanligtvis representerar data klassificerade som begränsade, enligt dataklassificeringsschemat som definieras i denna riktlinje. Denna term används ofta omväxlande med konfidentiella uppgifter.

Dataklassificering

dataklassificering, i samband med informationssäkerhet, är klassificeringen av data baserat på dess känslighetsnivå och påverkan på universitetet om uppgifterna avslöjas, ändras eller förstörs utan tillstånd. Klassificeringen av data hjälper till att avgöra vilka grundläggande säkerhetskontroller som är lämpliga för att skydda dessa data. Alla institutionella data ska klassificeras i en av tre känslighetsnivåer eller klassificeringar:

klassificering av data bör utföras av en lämplig Dataförvaltare. Dataförvaltare är högskolans anställda som övervakar livscykeln för en eller flera uppsättningar institutionella Data. Se Informationssäkerhetsroller och ansvar för mer information om Data Steward-rollen och tillhörande ansvarsområden.

datainsamlingar

Dataförvaltare kan vilja tilldela en enda klassificering till en insamling av data som är vanligt i syfte eller funktion. Vid klassificering av en insamling av data bör den mest restriktiva klassificeringen av något av de enskilda dataelementen användas. Till exempel, om en datainsamling består av en studerandes namn, adress och personnummer, bör datainsamlingen klassificeras som begränsad även om studentens namn och adress kan betraktas som offentlig information.

omklassificering

regelbundet är det viktigt att omvärdera klassificeringen av institutionella Data för att säkerställa att den tilldelade klassificeringen fortfarande är lämplig baserat på förändringar i juridiska och avtalsförpliktelser samt förändringar i användningen av uppgifterna eller dess värde för universitetet. Denna utvärdering bör utföras av lämplig Dataförvaltare. Det uppmuntras att göra en utvärdering på årsbasis, men Dataförvaltaren bör fastställa vilken frekvens som är lämpligast baserat på tillgängliga resurser. Om en Dataförvaltare fastställer att klassificeringen av en viss datamängd har ändrats, bör en analys av säkerhetskontroller utföras för att avgöra om befintliga kontroller överensstämmer med den nya klassificeringen. Om luckor upptäcks i befintliga säkerhetskontroller bör de korrigeras i tid, i proportion till den risknivå som luckorna utgör.

beräkning av klassificering

målet med informationssäkerhet, som anges i universitetets informationssäkerhetspolicy, är att skydda sekretess, integritet och tillgänglighet för institutionella Data. Dataklassificering återspeglar graden av påverkan på universitetet om sekretess, integritet eller tillgänglighet äventyras.

tyvärr finns det inget perfekt kvantitativt system för beräkning av klassificeringen av ett visst dataelement. I vissa situationer kan lämplig klassificering vara mer uppenbar, till exempel när federala lagar kräver att universitetet skyddar vissa typer av data (t.ex. personligt identifierbar information). Om lämplig klassificering inte i sig är uppenbar, överväga varje säkerhetsmål med hjälp av följande tabell som en guide. Det är ett utdrag från Federal Information Processing Standards (FIPS) publikation 199 publicerad av National Institute of Standards and Technology, som diskuterar kategorisering av informations-och informationssystem.

eftersom den totala potentiella effekten på universitetet ökar från låg till hög, bör klassificeringen av data bli mer restriktiv från Offentlig till begränsad. Om en lämplig klassificering fortfarande är oklar efter att ha övervägt dessa punkter, kontakta Informationssäkerhetsbyrån för hjälp.

Bilaga A – fördefinierade typer av begränsad Information

Informationssäkerhetskontoret och Office of General Counsel har definierat flera typer av begränsade data baserat på statliga och federala myndighetskrav. De definieras enligt följande:

Revisionshistorik