Класифікація інформації – як крок за кроком виконати класифікацію KRT
Поділитися
Остання перевірка фактів: 12 жовтня 2026 р. · Тема: інформаційна безпека, GDPR та управління бізнес-процесами · Застосування у Швеції
Класифікація інформації передбачає оцінку бізнесом наслідків у разі витоку інформації до сторонніх осіб, її викривлення або відсутності доступу до неї в потрібний момент. Результати використовуються для вибору належних заходів захисту. Тут ви знайдете конкретний метод, матрицю класифікації та детально опрацьований приклад.
- Почніть з інвентаризації обсягів інформації, а не лише IT-систем.
- Оцініть три різні потреби у захисті: конфіденційність, цілісність та доступність (КЦД).
- Виходьте з наслідків порушення, а не лише з того, чи вважаються дані таємними.
- Задокументуйте власників інформації, клас, обґрунтування, заходи та терміни перегляду рішення.
- Шаблон класифікації — це робочий інструмент, а не доказ сам по собі того, що GDPR або інше законодавство дотримуються.
Яка різниця між інвентаризацією інформації та класифікацією інформації?
Інвентаризація інформації відповідає на запитання, яку інформацію має організація, де вона зберігається, хто за неї відповідає і як вона використовується. Прикладами можуть бути реєстри клієнтів, виробничі креслення, особові справи працівників, комерційні пропозиції, договори та резервні копії.
Класифікація інформації відповідає на запитання про те, наскільки серйозними можуть бути наслідки, якщо ця ж інформація буде розголошена, спотворена або стане недоступною. Ці два процеси пов'язані: без інвентаризації важливі інформаційні активи можуть ніколи не бути класифіковані.
Доцільно розмежовувати обсяг інформації та систему. Одні й ті самі дані клієнтів можуть міститися в CRM-системі, електронній пошті, системі бухгалтерського обліку та файлах експорту. Одна система може одночасно містити кілька обсягів інформації з різними потребами у захисті.
Які три потреби у захисті оцінюються під час КЦД-класифікації?
| Аспект | Запитання | Приклад наслідків |
|---|---|---|
| Конфіденційність | Що станеться, якщо сторонні особи отримають доступ до інформації? | Витік даних клієнтів або розголошення комерційної таємниці. |
| Цілісність | Що станеться, якщо інформація буде змінена або стане неправильною? | Використання невірної версії креслення спричиняє виробничий брак. |
| Доступність | Що станеться, якщо уповноважені особи не отримають доступ вчасно? | Система замовлень недоступна під час критичного періоду постачання. |
Кожен аспект оцінюється окремо. Публічний прайс-лист може мати низьку потребу в конфіденційності, але високу — у цілісності. Документи персоналу можуть мати високу потребу в конфіденційності, не вимагаючи постійної доступності.
Як провести класифікацію інформації – сім кроків
1. Визначте сферу застосування та відповідальність
Визначте межі діяльності, процесу або послуги. Призначте відповідальну особу або власника інформації, який може оцінити наслідки. IT-відділ та фахівці із захисту даних можуть допомогти, але класифікація має бути підтримана тим, хто розуміє важливість цієї інформації.
2. Проведіть інвентаризацію інформаційних активів
Зареєструйте назву обсягу інформації, мету, процес, власника інформації, систему та місце зберігання, зовнішніх отримувачів та наявність персональних даних. Уникайте зберігання самих конфіденційних даних у відкритому реєстрі інвентаризації.
3. Визначте наслідки для К, Ц та Д
Конкретно опишіть, що може статися з фізичними особами, бізнесом, фінансами, репутацією та договірними зобов'язаннями у разі порушення конфіденційності, цілісності чи доступності. Також врахуйте особливі правові або договірні вимоги.
4. Виберіть єдину модель класифікації
Визначте рівні наслідків та чіткі критерії перед початком класифікації. Модель, наприклад, з низьким, середнім та високим рівнем наслідків може бути корисним внутрішнім прикладом; вона не є універсальною юридично встановленою шкалою. Встановлена модель організації має використовуватися послідовно.
5. Задокументуйте рівень та обґрунтування для кожного аспекту
Записуйте кожну оцінку КЦД окремо, з коротким обґрунтуванням та вказанням того, хто її затвердив. Уникайте використання однієї сумарної цифри, яка приховує, яка саме потреба у захисті є критичною.
6. Визначте та розподіліть заходи безпеки
Зіставте класифікацію з фактичною картиною ризиків. Це може бути обмеження доступу, багатофакторна автентифікація, логування, шифрування, резервне копіювання, тестування відновлення, керування версіями та процедури моніторингу. Високий клас не автоматично призводить до однакового технічного рішення в усіх випадках.
7. Відстежуйте зміни
Визначте відповідальну особу та час для перегляду, особливо коли змінюється спосіб використання інформації, підключаються нові постачальники, стається значний інцидент або впроваджується нова система. Також перевіряйте, чи дійсно були впроваджені прийняті заходи захисту.
Приклад матриці класифікації для малого підприємства
Припустимо, компанія працює з реєстрами клієнтів, кресленнями виробів та публічним каталогом продукції. Нижче наведено ілюстрацію внутрішньої трирівневої шкали наслідків (1 низький, 2 середній, 3 високий), а не остаточне рішення для інших компаній.
| Обсяг інформації | К | Ц | Д | Обґрунтування (коротко) |
|---|---|---|---|---|
| Реєстр клієнтів з контактними даними | 3 | 2 | 2 | Несанкціонований витік може завдати шкоди окремим особам; помилки можуть порушити контакти. |
| Креслення виробництва | 2 | 3 | 3 | Неправильна версія або відсутність доступу можуть зупинити виробництво та створити дефекти якості. |
| Публічний каталог | 1 | 2 | 2 | Вміст публічний, але невірні ціни або збої можуть вплинути на клієнтів. |
Важливо: Вказані рівні є лише навчальними. Організація повинна провести власну оцінку наслідків та ризиків. Якщо інформація стосується безпеки Швеції, може застосовуватися законодавство про захист безпеки та окремі правила класифікації; звичайна КЦД-матриця не замінює ці перевірки.
Яке відношення має класифікація інформації до GDPR та NIS2?
GDPR: Стаття 32 вимагає вжиття відповідних технічних та організаційних заходів безпеки на основі ризиків для прав і свобод фізичних осіб. Класифікація інформації може бути корисною основою, але не є спеціально вказаним обов'язковим методом шаблону для всіх компаній. Інвентаризація також не є автоматично рівнозначною реєстру обробки даних згідно зі ст. 30 GDPR.
NIS2 та регулювання кібербезпеки у Швеції: Для компаній, які підпадають під галузеві вимоги кібербезпеки, інвентаризація, управління ризиками, відповідальність та моніторинг можуть бути центральними елементами ширшої роботи. Спочатку перевірте, чи насправді організація підпадає під дію регулювання і які саме вимоги застосовуються. Дивіться наш посібник щодо заходів безпеки та управління ризиками згідно з NIS2.
Класифікація інформації також має бути узгоджена з планом управління інцидентами та керуванням доступом компанії. В іншому випадку результати класифікації ризикують перетворитися на ізольований інвентаризаційний список без реального впливу на безпеку.
Контрольний список перед затвердженням класифікації
- Чи існує повний і зрозумілий перелік пріоритетних обсягів інформації?
- Чи має кожен запис призначеного відповідального, дату оновлення та чітку сферу використання?
- Чи оцінені конфіденційність, цілісність та доступність окремо?
- Чи можна вивести рівні з загальноприйнятої моделі?
- Чи задокументовані можливі наслідки для окремих осіб та діяльності організації?
- Чи визначені заходи захисту, відповідальні особи та терміни моніторингу?
- Чи враховані персональні дані, зовнішні постачальники та спільні копії?
- Чи перевірив і затвердив власник інформації результати?
П'ять поширених помилок, яких слід уникати
- Інвентаризувати лише IT-системи. Важливі електронні таблиці, паперові документи та експортовані файли залишаються непоміченими.
- Класифікувати лише конфіденційність. Цілісність та доступність можуть бути принаймні настільки ж важливими.
- Копіювати рівні в інших. Наслідки та правові вимоги можуть суттєво відрізнятися.
- Змішувати класифікацію та аналіз ризиків. Класифікація описує потреби у захисті; аналіз ризиків додатково враховує загрози, вразливості та ймовірність.
- Відсутність плану дій. Реєстр без відповідальних осіб, заходів або моніторингу зменшує практичну цінність.
Поширені запитання про класифікацію інформації
Чи повинні всі компанії мати реєстр класифікації інформації?
Ні, загальної вимоги в GDPR саме до реєстру з такою назвою та форматом для всіх компаній немає. Проте існують ризикоорієнтовані вимоги до належного захисту персональних даних, а інші правила або договірні умови можуть встановлювати додаткові вимоги до бізнесу.
Який клас класифікації повинні мати персональні дані?
Універсального класу, який застосовується до всіх персональних даних, не існує. Ризики залежать від типу даних, мети, обсягу та наслідків несанкціонованого розголошення чи інших помилок.
Чи є класифікація інформації тим самим, що й класифікація безпеки?
Ні. Загальну класифікацію інформації на основі КЦД не слід плутати з класифікацією захисту безпеки відповідно до правил захисту безпеки, де можуть застосовуватися інші визначення та обов'язки.
Як часто слід переглядати класифікацію?
Загального інтервалу для кожного обсягу інформації немає. Визначте пропорційний моніторинг залежно від темпів змін та ризиків організації; переглядайте класифікацію у разі суттєвих змін, нових інформаційних потоків або інцидентів.
Чи можна використовувати Excel для класифікації інформації?
Так, добре продуманий реєстр в Excel може бути практичним для інвентаризації інформації, документування рішень про класифікацію та відстеження заходів. Реєстр при цьому має бути захищений належним чином і мати чітке керування версіями.
Практична робота з класифікацією інформації
Хочете зібрати обсяги інформації, оцінки КЦД, відповідальних осіб та моніторинг заходів в одному робочому пакеті? Редагований шаблон магазину шаблонів містить, зокрема, реєстр Excel та додаткові документи.
Дивіться "Класифікація інформації та інвентаризація інформації 2026/2027"Коли класифікацію завершено, ви можете перейти до аудиту прав доступу та перевірки прав доступу. Також дивіться шаблони для NIS2 та кібербезпеки.
Урядові джерела та додаткова література
- Управління захисту приватності (IMY) – GDPR стаття 32 та повний текст регламенту.
- IMY – Заходи безпеки та ризикоорієнтований захист.
- SKR KLASSA – посібник з класифікації інформації.
- Fortifikationsverket – інформаційна безпека та класифікація.
Відповідні посібники: Читайте про видалення та терміни зберігання згідно з GDPR, AI, кібербезпеку та IT-договори, а також управління ризиками та заходи захисту згідно з NIS2.
Примітка: Текст є загальним посібником, а не індивідуальною юридичною консультацією чи оцінкою відповідності вимогам вашої конкретної організації. Правила, галузеві вимоги та заходи захисту слід перевіряти у конкретному контексті.
