Dataklassifisering hjelper bedrifter med å slutte å behandle all informasjon som om den utgjør samme risiko. En e-post fra en leverandør, et internt prosessnotat, en betalingsoversikt for en kunde og en gjenopprettingskode for en administrator skal ikke flyte gjennom bedriften under de samme reglene.
Sensitive data er lagret overalt i bedriftens nettverk: De flyter gjennom CRM-er, innbokser, skylagring, regneark, HR-systemer, støtteplattformer, økonomiprogramvare og leverandørverktøy. Uten et felles system for å klassifisere dem, stoler team ofte på instinkt: Hvis noe ser trygt ut å dele, eller sannsynligvis trenger godkjenning, velger de den raskeste og enkleste veien.
Dette kan fungere en stund, men det er ikke skalerbart. En tydelig retningslinje for dataklassifisering gir bedriften din et felles språk for å bestemme hvilken informasjon som kan være offentlig, hva som skal forbli internt, hva som krever strengere kontroll, og hva som kun skal være tilgjengelig for bestemte roller.
Hvorfor dataklassifisering er viktig
Et enkelt rammeverk for dataklassifisering
Eksempler på dataklassifisering for bedriftsteam
Hvordan klassifisering styrer tilgangskontroll
Sikker deling av klassifiserte data
Hvordan opprette en retningslinje for dataklassifisering
Hvordan Proton Pass for Business støtter dataklassifisering
Gjør klassifisering til en del av den daglige databeskyttelsen
Hva er dataklassifisering?
Dataklassifisering er prosessen med å merke bedriftsdata etter hvor sensitive de er, og hvor stor skade de kan forårsake hvis de blir eksponert, endret, tapt eller misbrukt. I praksis betyr det å gruppere informasjon i tydelige nivåer, slik at folk vet hvordan de skal lagre, dele, beskytte og til slutt slette den.
Et nyttig klassifiseringssystem passer inn i det daglige arbeidet. Det gir ansatte en rask måte å forstå når informasjon kan flyte fritt, når den trenger godkjenning, og når tilgang bør begrenses til en liten gruppe. Målet er å gjøre den sikrere avgjørelsen åpenbar før data blir kopiert, delt, eksportert eller lagret et sted de ikke burde være.
Det britiske National Cyber Security Centres veiledning om ressursstyring(nytt vindu) behandler informasjon som en ressurs som krever synlighet, eierskap og beskyttelse. Dette er en nyttig måte å ramme inn klassifisering på: Før du bestemmer hvem som skal ha tilgang til sensitive data, må du vite hva disse dataene er og hvor de befinner seg.
Hvorfor dataklassifisering er viktig
Du kan ikke beskytte det bedriften din ikke har identifisert. Dette gjelder spesielt for SMB-er, som vanligvis ikke har ressurser til å beskytte alle systemer og alle typer informasjon med samme kontrollnivå. Før en bedrift kan bestemme hvem som skal ha tilgang til sensitive data, hvilke systemer som trenger sterkere beskyttelse, eller hvor MFA og sikker deling er mest kritisk, må den vite hvilken informasjon den besitter, og hvilke data som betyr mest.
Dataklassifisering er det første trinnet i en praktisk strategi for beskyttelse mot databrudd. Det skiller rutinemessig bedriftsinformasjon fra data som kan forårsake reell skade hvis de blir eksponert, endret, tapt eller delt med feil person.
Dette er spesielt nyttig ettersom informasjon sprer seg over CRM-er, innbokser, skylagring, HR-systemer, støtteverktøy, økonomiprogramvare, eksporter og leverandørplattformer. Klassifisering gir ansatte et tydelig signal om hva som kan behandles som normalt, hva som krever godkjenning, og hva som kun skal være tilgjengelig for spesifikke roller.
Det støtter også samsvar. Det britiske datatilsynet (ICO), myndigheten som er ansvarlig for håndheving av personvern og UK GDPR-veiledning(nytt vindu), forventer at organisasjoner bruker hensiktsmessige tekniske og organisatoriske tiltak. Klassifisering bidrar til å gjøre dette praktisk ved å tilpasse beskyttelsen til hvor sensitive dataene er.
For forebygging av brudd er prinsippet enkelt: Sensitive data bør ikke være tilgjengelige for flere enn nødvendig. Protons veiledning om forebygging av datatap for bedrifter forklarer hvordan reduksjon av unødvendig eksponering før en hendelse inntreffer, kan begrense skaden i etterkant.
Et enkelt rammeverk for dataklassifisering
Et klassifiseringsrammeverk trenger ikke å være komplisert. Fire nivåer er vanligvis tilstrekkelig for små og mellomstore bedrifter:
- Offentlig
- Internt
- Konfidensielt
- Begrenset
Offentlig
Offentlige data er informasjon som er godkjent for ekstern bruk. En publisert versjon av denne artikkelen du leser nå, vil for eksempel være offentlige data: De kan leses, er trygge å dele åpent og kan indekseres uten å utgjøre noen vesentlig risiko for sikkerhet eller personvern.
Andre eksempler inkluderer:
- Nettstedtekst
- Pressemeldinger
- Offentlige stillingsbeskrivelser
- Godkjent salgsmateriell
- Produktsider
- Offentlige bedriftsbeskrivelser.
Offentlig informasjon krever fortsatt nøyaktighet og merkevaregjennomgang, men den trenger vanligvis ikke streng tilgangskontroll når den først er godkjent.
Internt
Interne data er kun ment for ansatte og godkjente samarbeidspartnere, ikke for offentlig distribusjon. Eksponering vil kanskje ikke forårsake alvorlig skade, men det kan skape forvirring, omdømmerisiko eller driftsmessige problemer.
Eksempler inkluderer:
- Interne prosessdokumenter
- Teamnotater
- Standard driftsprosedyrer
- Opplæringsmateriell
- Ikke-sensitive prosjektplaner
- Interne kalendere
- Generelle kontaktlister for leverandører.
Interne data bør forbli i godkjente bedriftssystemer. For eksempel er kanskje ikke et utkast til en kampanje-brief, en sjekkliste for nyansatte eller notater fra et planleggingsmøte i teamet svært sensitive, men de hører likevel hjemme i bedriftens godkjente arbeidsområde, ikke i en personlig mappe, en privat innboks eller en uadministrert nedlasting.
Konfidensielt
Konfidensielle data er sensitive forretningsdata eller personidentifiserbar informasjon (PII) som kan skade bedriften, kunder, ansatte eller partnere hvis de blir eksponert. Tilgang bør begrenses til godkjente roller med et tydelig forretningsbehov.
Eksempler inkluderer:
- Kunderegister
- Ansattfiler
- Kontrakter
- Kommersielle vilkår
- Økonomiske rapporter
- Detaljer om salgspipelinen
- Støttesaker som inneholder personopplysninger
- Upubliserte forretningsplaner
- Ikke-offentlige leverandøravtaler
Konfidensielle data skal kun være tilgjengelige for godkjente roller. De skal ikke ligge på personlige stasjoner, i åpne delte mapper, uadministrerte regneark eller innbokser der ingen kontrollerer tilgangen. Hvis de må deles eksternt, bør bedriften bruke ende-til-ende-kryptert (E2EE) skylagring for bedrifter og begrense delingen til autoriserte mottakere med et tydelig forretningsformål.
Begrenset
Begrensede data er den mest sensitive kategorien. Hvis de blir eksponert, misbrukt eller endret, kan bedriften stå overfor alvorlige økonomiske, juridiske, driftsmessige eller sikkerhetsmessige konsekvenser.
Eksempler inkluderer:
- Påloggingsinformasjon for administrator
- Gjenopprettingskoder
- Autentiseringshemmeligheter
- Betalingsopplysninger for kunder
- Svært sensitive HR-dokumenter
- Filer knyttet til juridiske tvister
- Rapporter om sikkerhetshendelser
- Tilgangslogger for privilegerte brukere
- Krypteringsnøkler
- Tilgangsdetaljer for sikkerhetskopier
Begrensede data krever de strengeste kontrollene: begrenset tilgang, sterk autentisering og administrasjon av påloggingsinformasjon, ende-til-ende-kryptert skylagring, sikker deling og sporbarhet.
| Klassifiseringsnivå | Sensitivitet | Eksempler | Tilgangsnivå | Delingsregler |
| Offentlig | Lav | Publiserte artikler, nettstedtekst, pressemeldinger, offentlige stillingsannonser, godkjent salgsmateriell | Godkjent for ekstern bruk | Kan deles offentlig når det er gjennomgått og godkjent |
| Internt | Moderat | Teamnotater, utkast til kampanje-briefer, sjekklister for nyansatte, interne prosessdokumenter | Ansatte og godkjente samarbeidspartnere | Holdes innenfor godkjente bedriftssystemer |
| Konfidensielt | Høy | Kunderegistre, ansattfiler, kontrakter, økonomiske rapporter, støttesaker med personopplysninger | Kun godkjente roller | Del kun med autoriserte mottakere og med et tydelig forretningsformål |
| Begrenset | Høyest | Påloggingsinformasjon for administrator, gjenopprettingskoder, betalingsopplysninger, rapporter om sikkerhetshendelser, tilgangslogger for privilegerte brukere | Navngitte brukere eller strengt kontrollerte grupper | Ikke del via e-post, chat, skjermbilder eller uadministrerte dokumenter |
Eksempler på dataklassifisering for bedriftsteam
Klassifisering blir enklere når team kan kjenne det igjen i sitt eget arbeid. Økonomiteam kan behandle en offentlig prisside som offentlig, mens fakturaer, lønnsfiler, skattedokumenter og betalingsposter vanligvis er konfidensielle. Bankinformasjon og administrator-tilgang til betalingsplattformer bør være begrenset fordi de kan eksponere informasjon, endre innstillinger eller overføre penger.
I praksis bør denne tilgangen kontrolleres gjennom rollebaserte tillatelser, sterk autentisering, regelmessige tilgangskontroller og en passordapp for bedrifter som hjelper team med å administrere og kontrollere påloggingsinformasjonen bak sensitive systemer.
HR-data følger et lignende mønster. En stillingsutlysning kan være offentlig, mens arbeidskontrakter, lønnsinformasjon, sykefraværshistorikk, detaljer om goder og kandidatdata vanligvis er konfidensielle. Sensitive undersøkelser, HR-administratorers påloggingsinformasjon og bred tilgang til ansattmapper bør være begrenset.
Dette er ikke et historisk unntak: ICO-boten fra 2022 mot Interserve(nytt vindu) på totalt 4,4 millioner pund, er en sterk advarsel om at ansattdata bør klassifisere og beskyttes som sensitiv bedriftsinformasjon, og ikke behandles som vanlig intern dokumentasjon.
Salg, kundeservice, markedsføring og IT-team trenger også tydelige grenser. Kunderegistre og støttesaker som inneholder person- eller kontoinformasjon er ofte konfidensielle. Internt segmenteringsarbeid, kampanjeplanlegging og resultatrapporter kan være interne eller konfidensielle, avhengig av om de inneholder data på kundenivå, kommersiell sensitivitet eller upublisert forretningsstrategi.
Leverandørdokumentasjon bør klassifiseres basert på hva den inneholder, spesielt hvis den inkluderer tilgangsdetaljer, kommersielle vilkår eller sikkerhetsinformasjon. Eksporterte kundedatasett, CRM-administrator-tilgang, administrator-tilgang til annonseplattformer som Google Ads eller Meta Business Manager, påloggingsinformasjon for sikkerhetskopier, gjenopprettingskoder, tilgangslogger for privilegerte brukere og påloggingsinformasjon for sikkerhetsverktøy bør være begrenset, fordi én eksponert fil eller konto kan påvirke langt flere enn én person.
Hvordan klassifisering styrer tilgangskontroll
Når data er klassifisert, slutter tilgang å være en generell tillatelsesinnstilling og blir en forretningsbeslutning. Spørsmålet er ikke lenger bare om noen kan åpne et system, men om rollen deres rettferdiggjør tilgang til informasjonen i det.
Et kundestøtteteam kan trenge kundesamtaler, men ikke alle eksporterte kundefiler. Økonomiavdelingen kan trenge betalings- og regnskapsopplysninger, men ikke HR-undersøkelser. En ekstern konsulent kan trenge tilgang til ett enkelt prosjektområde, ikke hele bedriftens arkiv med kundefiler.
For konfidensielle og begrensede data må tilgang etterlate et revisjonsspor. Bedriften bør vite hvem som har hatt tilgang til hva, hvorfor tilgangen eksisterer, og om tillatelser blir tilbakekalt umiddelbart etter en rolleendring eller offboarding.
En passordapp for IT-team støtter sentralisert administrasjon, sikker deling, retningslinjer, administratorrapport og logger, SCIM-klargjøring og SSO-integrasjoner. Dette hjelper teamene med å begrense tilgangen til påloggingsinformasjonen som låser opp sensitive systemer, i stedet for å etterlate passord i nettlesere, regneark eller chattråder.
Sikker deling av klassifiserte data
Delingsregler bør følge informasjonens sensitivitet. En publisert ressurs kan sirkulere fritt når den er godkjent, men en kontrakt, kundefil, betalingsoversikt eller gjenopprettingskode krever mer kontroll. Jo mer sensitive dataene er, desto færre personer bør motta dem, og desto mer gjennomtenkt bør delingsmetoden være.
Dette er spesielt viktig for e-post. Mange bedrifter sender fortsatt sensitiv informasjon via vedlegg, skjermbilder eller kopiert tekst, og mister deretter oversikten over hvor denne informasjonen havner. Protons veiledning om hvordan du sender sensitiv informasjon sikkert via e-post forklarer sikrere måter å håndtere sensitiv informasjon på når e-post er nødvendig.
Påloggingsinformasjon og hemmeligheter krever strengere regler enn vanlige dokumenter. Passord, gjenopprettingskoder, passnøkler og tilgangsdetaljer for administrator bør ikke sendes via e-post, chat, skjermbilder eller delte dokumenter. De bør lagres og deles gjennom en passordapp for bedrifter som Proton Pass for Business, der tilgangen kan kontrolleres, gjennomgås og tilbakekalles på en sikrere måte.
Start med en datakontroll
Kartlegg hvor bedriftsdata allerede befinner seg før du skriver en retningslinje for dataklassifisering. Den første gjennomgangen trenger ikke å være perfekt. Den må bare vise hvilke systemer som inneholder sensitiv informasjon, hvem som har tilgang til dem, og hvor det kan finnes ukontrollerte kopier.
Start med daglige plasseringer som CRM-systemer, HR-plattformer, økonomiprogramvare, skylagring, e-postinnbokser, delte stasjoner, støtteverktøy, passordapper, leverandørportaler, nedlastinger, eksporter og sikkerhetskopier.
| Felt | Hva som skal registreres |
| Sted | Hvor dataene befinner seg |
| Datatype | Kunde-, ansatt-, økonomi-, påloggings- eller driftsdata |
| Klassifiseringsnivå | Offentlig, internt, konfidensielt eller begrenset |
| Eier | Ansvarlig person eller team |
| Tilgang | Hvem som kan se, redigere, eksportere eller dele det |
| MFA | Hvorvidt flerfaktorautentisering er aktivert |
| Leverandørdeling | Hvorvidt tredjeparter har tilgang |
| Oppbevaringsstatus | Behold, gjennomgå, slett eller anonymiser |
Hvordan opprette en retningslinje for dataklassifisering
En retningslinje for dataklassifisering bør være kort nok til at ansatte kan bruke den, og spesifikk nok til å veilede reelle beslutninger. Den bør definere klassifiseringsnivåene, forklare hvem som eier sensitive data, og koble hvert nivå til tilgang, lagring, deling, oppbevaring og gjennomgang.
En enkel retningslinje kan inneholde:
- Formål og omfang: Hva retningslinjen dekker, og hvem den gjelder for.
- Klassifiseringsnivåer: Offentlig, internt, konfidensielt og begrenset, med eksempler.
- Eierskap: Hvem som godkjenner tilgang og håndterer gjennomgang for sensitive datakategorier.
- Tilgangsregler: Hvem som har tilgang til hvert nivå, og hvordan tilgang godkjennes eller fjernes.
- Delingsregler: Hvilke kanaler som er godkjent for hvert klassifiseringsnivå.
- Lagring og oppbevaring: Hvor hver type data skal ligge, og hvor lenge de skal oppbevares.
- Gjenomgangsfrekvens: Hvor ofte retningslinjen og tilgangsreglene gjennomgås.
- Prosess for juridisk oppbevaring: Når slette- eller oppbevaringsregler må pauses under aktive undersøkelser, tvister eller rettssaker.
Retningslinjen bør også gi rom for skjønn. Ikke alle dokumenter vil passe perfekt inn i en kategori. Ved tvil bør ansatte vite hvem de skal spørre, og hvilken standard som skal følges. For sensitive data er den sikreste standarden vanligvis å begrense tilgangen inntil den rette eieren bekrefter noe annet.
Hvordan Proton Pass for Business støtter dataklassifisering
Dataklassifisering forteller bedriften din hvilken informasjon som trenger sterkere beskyttelse. Tilgangskontroll gjør denne beslutningen om til daglig praksis.
Påloggingsinformasjon er en del av dette tilgangslaget. Hvis et passord gir tilgang til begrensede data, som administratorinnstillinger, kundeeksporter, økonomisystemer, gjenopprettingskoder eller sikkerhetslogger, krever denne påloggingsinformasjonen strengere håndtering enn en pålogging for en intern tjeneste med lav risiko.
En sikker passordapp for bedrifter som Proton Pass for Business hjelper team med å bruke disse tilgangsbeslutningene i praksis. Påloggingsinformasjon kan lagres i krypterte hvelv, organiseres etter team eller funksjon, og deles kun med personene som trenger dem.
Administratorer får også bedre synlighet i tilgang til påloggingsinformasjon gjennom rapportering og logger, mens retningslinjer, SSO-integrasjoner og SCIM-klargjøring hjelper IT-team med å administrere onboarding og offboarding mer konsekvent.
Dette gjør det enklere å håndheve klassifisering i det daglige arbeidet. Påloggingsinformasjon for økonomi kan forbli hos økonomiavdelingen. HR-administratorers tilgang kan forbli hos autoriserte HR-ledere. Gjenopprettingskoder for sikkerhetskopier og privilegerte administratorpålogginger kan begrenses til personene som er ansvarlige for gjenoppretting og sikkerhet.
Gjør klassifisering til en del av den daglige databeskyttelsen
Dataklassifisering er ikke papirarbeid for papirarbeidets skyld. Det er een måte å gjøre beskyttelse mot databrudd enklere å følge i det daglige arbeidet.
Når bedriften din vet hvilke data som er mest sensitive, er neste trinn å kontrollere hvem som kan nå dem. En passordapp kan hjelpe team med å kontrollere og overvåke påloggingsinformasjonen som låser opp sensitive systemer og begrensede data.
Kontroller tilgangen til klassifiserte data på tvers av organisasjonen din med en passordapp for bedrifter.
