تصنيف المعلومات – كيفية إجراء تصنيف KRT خطوة بخطوة
يشارك
آخر مراجعة للحقائق: 12 أكتوبر 2026 · الموضوع: أمن المعلومات، اللائحة العامة لحماية البيانات (GDPR) وحوكمة المؤسسات · التطبيق السويدي
يعني تصنيف المعلومات قيام المؤسسة بتقييم العواقب المترتبة على الكشف عن المعلومات لجهات غير مصرح لها، أو في حال أصبحت غير دقيقة، أو في حال عدم توفرها عند الحاجة إليها. تُستخدم النتائج لاختيار تدابير الحماية المناسبة. تجد هنا منهجية ملموسة، ومصفوفة تصنيف، ومثالاً مفصلاً.
- ابدأ بـ جرد كميات المعلومات، وليس فقط أنظمة تكنولوجيا المعلومات.
- قيّم ثلاثة احتياجات مختلفة للحماية: السرية، والسلامة، والتوافر (KRT).
- اعتمد على عواقب حدوث خلل، وليس فقط على ما إذا كانت البيانات تبدو سرية.
- قم بتوثيق مالك المعلومات، والتصنيف، والتبرير، والتدابير المتخذة، وموعد مراجعة القرار.
- قالب التصنيف هو أداة مساعدة للعمل، وليس بحد ذاته دليلاً على الامتثال للائحة GDPR أو أي تشريعات أخرى.
ما الفرق بين جرد المعلومات وتصنيف المعلومات؟
جرد المعلومات يجيب على أسئلة حول نوع المعلومات التي تمتلكها المؤسسة، وأين توجد، ومن المسؤول عنها، وكيف يتم استخدامها. ومن الأمثلة على ذلك: سجلات العملاء، ورسومات الإنتاج، وملفات الموظفين، وعروض الأسعار، والعقود، ونسخ النسخ الاحتياطي.
تصنيف المعلومات يجيب على مدى خطورة العواقب التي قد تترتب إذا تم كشف نفس المعلومات أو تحريفها أو إذا تعذر الوصول إليها. يرتبط النشاطان ببعضهما البعض: فبدون جرد، تخاطر الأصول المعلوماتية الهامة بعدم تصنيفها مطلقاً.
من المناسب فصل كمية المعلومات عن النظام. يمكن أن توجد نفس بيانات العملاء في نظام إدارة علاقات العملاء (CRM)، والبريد الإلكتروني، والنظام المالي، وملفات التصدير. كما يمكن لنظام واحد أن يحتوي في الوقت نفسه على عدة كميات من المعلومات ذات احتياجات حماية مختلفة.
ما هي احتياجات الحماية الثلاثة التي يتم تقييمها في تصنيف KRT؟
| الجانب | السؤال | مثال على العواقب |
|---|---|---|
| السرية | ماذا يحدث إذا اطلع غير المصرح لهم على المعلومات؟ | كشف بيانات العملاء أو تسريب أسرار تجارية. |
| السلامة | ماذا يحدث إذا تغيرت المعلومات أو أصبحت غير دقيقة؟ | إصدار رسم خاطئ يسبب أخطاء في الإنتاج. |
| التوافر | ماذا يحدث إذا لم يتمكن المصرح لهم من الوصول إليها في الوقت المناسب؟ | توقف نظام الطلبات أثناء عملية تسليم حرجة. |
يتم تقييم كل جانب على حدة. قائمة الأسعار العامة قد يكون لها حاجة منخفضة للسرية ولكن حاجة عالية للسلامة. وثائق الموظفين قد يكون لها حاجة عالية للسرية دون الحاجة إلى توافر دائم.
كيف تقوم بتصنيف المعلومات – سبع خطوات
1. تحديد النطاق والمسؤولية
حدد النشاط أو العملية أو الخدمة. عيّن مسؤولاً عن النشاط أو مالكاً للمعلومات قادراً على تقييم العواقب. يمكن لقسم تكنولوجيا المعلومات ومسؤولي حماية البيانات تقديم المساعدة، ولكن يجب أن يتم اعتماد التصنيف من قبل الشخص الذي يفهم أهمية المعلومات.
2. جرد أصول المعلومات
سجّل اسم كمية المعلومات، والغرض، والعملية، ومالك المعلومات، والنظام ومكان التخزين، والمستلمين الخارجيين، وأي وجود لبيانات شخصية. تجنب تخزين البيانات الحساسة نفسها في سجل الجرد المفتوح.
3. تحديد العواقب لكل من السرية والسلامة والتوافر (K, R, T)
صف بشكل ملموس ما يمكن أن يحدث للأفراد، أو المؤسسة، أو الاقتصاد، أو الثقة، أو العقود إذا حدث خلل في السرية أو السلامة أو التوافر. خذ بعين الاعتبار أيضاً أي متطلبات قانونية أو تعاقدية خاصة.
4. اختيار نموذج تصنيف مشترك
حدد مستويات العواقب ومعايير واضحة قبل البدء في التصنيف. يمكن أن يكون النموذج الذي يحتوي على عواقب منخفضة ومتوسطة وعالية مثالاً تربوياً داخلياً؛ فهو ليس مقياساً قانونياً عالمياً. يجب استخدام نموذج المؤسسة المعتمد بشكل متسق.
5. توثيق المستوى والتبرير لكل جانب
دوّن كل تقييم لـ KRT على حدة، مع تبرير موجز ومع من وافق عليه. تجنب استخدام رقم إجمالي واحد يخفي احتياج الحماية الذي يعد مرتفعاً فعلياً.
6. تحديد وتوزيع تدابير الأمان
طابق التصنيف مع صورة المخاطر الفعلية. قد يشمل ذلك تقييد الصلاحيات، والتحقق متعدد العوامل، وتسجيل الدخول، والتشفير، والنسخ الاحتياطي، واختبارات الاستعادة، وإدارة الإصدارات، وإجراءات المتابعة. التصنيف العالي لا يؤدي تلقائياً إلى نفس الحل التقني في كل مكان.
7. متابعة التغييرات
حدد مسؤولاً وموعداً للمراجعة، خاصة عند تغير استخدام المعلومات، أو ربط موردين جدد، أو وقوع حادث كبير، أو إدخال نظام جديد. تأكد أيضاً من تنفيذ تدابير الحماية المقررة فعلياً.
مثال على مصفوفة تصنيف لشركة صغيرة
افترض شركة تدير سجلات عملاء، ورسومات تصنيع، وكتالوج منتجات عام. فيما يلي توضيح لمقياس عواقب داخلي من ثلاث درجات (1 منخفض، 2 متوسط، 3 مرتفع)، وليس قراراً جاهزاً للشركات الأخرى.
| كمية المعلومات | K | R | T | التبرير باختصار |
|---|---|---|---|---|
| سجل العملاء مع بيانات الاتصال | 3 | 2 | 2 | الكشف غير المصرح به قد يضر بالأفراد؛ الأخطاء قد تعطل اتصالات العملاء. |
| رسومات الإنتاج التوجيهية | 2 | 3 | 3 | الإصدار الخاطئ أو عدم التوافر قد يوقف الإنتاج ويسبب عيوباً في الجودة. |
| كتالوج المنتجات العام | 1 | 2 | 2 | المحتوى عام، لكن الأسعار الخاطئة أو التوقف عن العمل قد يؤثر على العملاء. |
هام: المستويات المذكورة تعليمية فقط. يجب على المؤسسة إجراء تقييم المخاطر والعواقب الخاص بها. إذا كانت المعلومات تتعلق بأمن السويد، فقد يتم تفعيل تشريعات حماية الأمن وقواعد تصنيف منفصلة؛ مصفوفة KRT العادية لا تحل محل ذلك التقييم.
ما علاقة تصنيف المعلومات باللائحة العامة لحماية البيانات (GDPR) وتوجيه NIS2؟
GDPR: تتطلب المادة 32 تدابير تقنية وتنظيمية مناسبة بناءً على، من بين أمور أخرى، المخاطر التي تهدد حقوق وحريات الأشخاص الطبيعيين. يمكن أن يكون تصنيف المعلومات أساساً مفيداً، لكنه ليس طريقة إلزامية محددة لجميع الشركات. كما أن الجرد ليس هو نفسه تلقائياً سجل المعالجة وفقاً للمادة 30 من GDPR.
NIS2 والتشريعات السويدية للأمن السيبراني: بالنسبة للمؤسسات التي تخضع لمتطلبات الأمن السيبراني القطاعية، يمكن أن يكون الجرد، وإدارة المخاطر، والمسؤولية، والمتابعة أجزاءً مركزية في عمل أوسع. تحقق أولاً مما إذا كانت المؤسسة مشمولة فعلياً وما هي المتطلبات السارية. انظر دليلنا حول تدابير الأمان وإدارة المخاطر بموجب NIS2.
بالإضافة إلى ذلك، يجب تنسيق تصنيف المعلومات مع خطة إدارة الحوادث وإدارة صلاحيات الشركة. وإلا، فإن نتيجة التصنيف قد تصبح قائمة جرد معزولة دون أي تأثير أمني حقيقي.
قائمة مراجعة قبل الموافقة على تصنيف المعلومات
- هل توجد قائمة كاملة ومفهومة لكميات المعلومات ذات الأولوية؟
- هل لكل بند مسؤول محدد، وتاريخ تحديث، ونطاق استخدام واضح؟
- هل تم تقييم السرية والسلامة والتوافر كل على حدة؟
- هل يمكن استنتاج المستويات من نموذج مشترك معتمد؟
- هل تم توثيق العواقب المحتملة على الأفراد والمؤسسة؟
- هل تم تحديد تدابير الحماية، والمسؤول عن التدابير، وموعد المتابعة؟
- هل تمت معالجة البيانات الشخصية، والموردين الخارجيين، والنسخ المشتركة؟
- هل قام مالك المعلومات بمراجعة النتائج والموافقة عليها؟
خمسة أخطاء شائعة يجب تجنبها
- جرد أنظمة تكنولوجيا المعلومات فقط. تصبح جداول البيانات الهامة، والوثائق الورقية، والملفات المصدرة غير مرئية.
- تصنيف السرية فقط. يمكن أن تكون السلامة والتوافر بنفس القدر من الأهمية.
- نسخ مستويات شخص آخر. العواقب والمتطلبات القانونية قد تكون مختلفة تماماً.
- الخلط بين التصنيف وتحليل المخاطر. يصف التصنيف احتياجات الحماية؛ بينما يأخذ تحليل المخاطر في الاعتبار التهديدات، ونقاط الضعف، والاحتمالات.
- عدم وجود خطة عمل. سجل بدون مسؤول أو تدابير أو متابعة يقلل من القيمة العملية. -->
أسئلة شائعة حول تصنيف المعلومات
هل يجب على جميع الشركات أن يكون لديها سجل لتصنيف المعلومات؟
لا، لا يوجد مطلب عام في اللائحة العامة لحماية البيانات (GDPR) بوجود سجل بهذا الاسم والصيغة لجميع الشركات. ومع ذلك، هناك متطلبات قائمة على المخاطر لحماية البيانات الشخصية، وقد تفرض قواعد أو شروط تعاقدية أخرى متطلبات إضافية على المؤسسة.
ما هو تصنيف المعلومات الذي يجب أن تحمله البيانات الشخصية؟
لا يوجد تصنيف عالمي ينطبق على جميع البيانات الشخصية. تعتمد المخاطر على نوع البيانات، والغرض منها، ونطاقها، والعواقب التي قد تترتب على الكشف غير المصرح به أو أي خطأ آخر.
هل تصنيف المعلومات هو نفسه تصنيف الأمان؟
لا. لا ينبغي الخلط بين تصنيف المعلومات العام بناءً على KRT وتصنيف حماية الأمن وفقاً لقواعد حماية الأمن، حيث قد تنطبق تعريفات والتزامات أخرى.
كم مرة يجب مراجعة التصنيف؟
لا يوجد فاصل زمني عام لكل كمية معلومات. حدد متابعة متناسبة بناءً على وتيرة تغير النشاط والمخاطر؛ أعد التقييم عند حدوث تغييرات جوهرية، أو تدفقات معلومات جديدة، أو حوادث.
هل يمكن استخدام Excel لتصنيف المعلومات؟
نعم، يمكن أن يكون سجل Excel المدروس جيداً عملياً لجرد كميات المعلومات، وتوثيق قرارات التصنيف، ومتابعة التدابير. يحتاج السجل في الوقت نفسه إلى الحماية بطريقة مناسبة ووجود إدارة إصدارات واضحة.
اعمل بشكل عملي على تصنيف المعلومات
هل ترغب في تجميع كميات المعلومات، وتقييمات KRT، والمسؤولين، ومتابعة التدابير في حزمة عمل واحدة؟ يحتوي القالب القابل للتحرير في متجر القوالب على سجل Excel ووثائق تكميلية.
اطّلع على تصنيف المعلومات وجرد المعلومات 2026/2027عند اكتمال التصنيف، يمكنك المتابعة بـ مراجعة الصلاحيات وفحص الوصول. انظر أيضاً قوالب NIS2 والأمن السيبراني.
مصادر الجهات الرسمية والقراءة الإضافية
- هيئة حماية النزاهة (IMY) – المادة 32 من GDPR واللائحة بالنص الكامل.
- IMY – تدابير الأمان والحماية القائمة على المخاطر.
- SKR KLASSA – إرشادات لتصنيف المعلومات.
- هيئة التحصينات – أمن المعلومات والتصنيف.
أدلة ذات صلة: اقرأ عن التنقية وفترة التخزين وفقاً لـ GDPR، والذكاء الاصطناعي، والأمن السيبراني، وعقود تكنولوجيا المعلومات، وإدارة المخاطر وتدابير الحماية بموجب NIS2.
ملاحظة: النص هو إرشاد عام وليس استشارة قانونية فردية أو تقييماً لامتثال مؤسستك للوائح. يجب التحقق من القواعد، ومتطلبات القطاع، وتدابير الحماية في سياقها الملموس.
