Tiêu chuẩn phân loại dữ liệu

Tiêu chuẩn phân loại dữ liệu này (Tiêu chuẩn) là tiêu chuẩn thực thi của Chính sách dữ liệu và Chính sách an ninh mạng toàn thành phố sắp được ban hành.

Các quy định của Tiêu chuẩn này áp dụng cho Thành phố và Quận San Francisco (Thành phố) và các sở, ban, văn phòng, ủy ban và các đơn vị chính phủ khác (các sở). Tất cả nhân viên và người dùng dữ liệu khác (được định nghĩa bên dưới) có trách nhiệm tuân thủ Tiêu chuẩn này.

Tiêu chuẩn này không thay đổi các yêu cầu về quyền truy cập thông tin công khai. Đạo luật Hồ sơ Công khai California hoặc Sắc lệnh Ánh sáng San Francisco yêu cầu và các nghĩa vụ pháp lý khác có thể yêu cầu tiết lộ hoặc phát hành dữ liệu từ bất kỳ phân loại nào.

Các phòng ban phải:

1. Phân loại và dán nhãn hoặc đánh dấu dữ liệu theo các cấp độ phân loại bên dưới như một phần của quy trình kiểm kê dữ liệu hàng năm được nêu trong Chính sách Dữ liệu. Trường hợp nhiều loại dữ liệu được lưu trữ trong cùng một hệ thống, các Phòng ban nên ưu tiên phân loại hệ thống (chứ không phải từng tập dữ liệu riêng lẻ) theo cấp độ phân loại cao nhất của dữ liệu được lưu trữ trong đó. Tuy nhiên, điều này không được làm ảnh hưởng đến mục tiêu bảo mật về “khả năng truy cập” như đã nêu bên dưới.
2. Rà soát việc phân loại dữ liệu một cách thường xuyên, nhưng không ít hơn mỗi năm một lần, như một phần của quy trình kiểm kê dữ liệu hàng năm được quy định trong Chính sách Dữ liệu.
3. Xem xét và điều chỉnh phân loại dữ liệu cho phù hợp khi dữ liệu được ẩn danh, kết hợp hoặc tổng hợp.

Các phòng ban cần tuân thủ các hướng dẫn dưới đây khi sử dụng Tiêu chuẩn này:

1. Phụ lục A cung cấp quy trình từng bước để phân loại dữ liệu theo sơ đồ phân loại dữ liệu này.
2. Phụ lục B cung cấp các ví dụ về dữ liệu ở mỗi cấp độ phân loại.

Sau khi dữ liệu được phân loại, các phòng ban nên tham khảo:

1. Chính sách an ninh mạng toàn thành phố và các tiêu chuẩn liên quan đến khung đánh giá rủi ro cũng như phương pháp luận để lựa chọn các biện pháp kiểm soát an ninh phù hợp cho các loại dữ liệu mà họ thu thập và lưu trữ.
2. Chính sách dữ liệu và các tiêu chuẩn liên quan về quản lý dữ liệu và nguyên tắc bảo mật áp dụng cho các loại dữ liệu mà họ thu thập và lưu trữ.

Dưới đây là các mục tiêu phân loại dữ liệu, được định nghĩa bởi khuôn khổ an ninh thông tin FISMA (Đạo luật Quản lý An ninh Thông tin Liên bang) của Chính phủ Liên bang và tiêu chuẩn xử lý thông tin FIPS (Tiêu chuẩn Xử lý Thông tin Liên bang) hỗ trợ.

Mục tiêu bảo mật: Tính bí mật

• Định nghĩa của FISMA: “Duy trì các hạn chế được cho phép đối với việc truy cập và tiết lộ thông tin, bao gồm các biện pháp bảo vệ quyền riêng tư cá nhân và thông tin độc quyền…”
• Định nghĩa theo FIPS 199: Mất tính bảo mật là việc tiết lộ thông tin trái phép.

Mục tiêu bảo mật: Tính toàn vẹn

• Định nghĩa của FISMA: Tránh “sửa đổi hoặc phá hủy thông tin một cách không phù hợp, và bao gồm việc đảm bảo tính không thể phủ nhận và tính xác thực của thông tin…”
• Định nghĩa theo FIPS 199: Mất tính toàn vẹn là việc sửa đổi hoặc phá hủy thông tin một cách trái phép.

Mục tiêu bảo mật: Tính khả dụng

• Định nghĩa của FISMA: “Đảm bảo việc truy cập và sử dụng thông tin một cách kịp thời và đáng tin cậy…”
• Định nghĩa theo FIPS 199: Mất khả năng truy cập là sự gián đoạn trong việc truy cập hoặc sử dụng thông tin hoặc hệ thống thông tin.

Dưới đây là mô tả về từng loại dữ liệu và tác động tiêu cực tiềm tàng liên quan.

Công cộng cấp 1

• Mô tả: Dữ liệu có sẵn để công khai hoặc phát hành.
• Tác động bất lợi tiềm tàng: Không có - Mức độ thấp

Cấp độ 2 Sử dụng nội bộ

• Mô tả: Dữ liệu này là thông tin hoạt động bình thường, nhưng không được chủ động công bố cho công chúng. Việc xem và sử dụng chỉ dành cho nhân viên; dữ liệu có thể được cung cấp cho toàn thành phố hoặc cho các nhân viên cụ thể trong một phòng ban, bộ phận hoặc đơn vị kinh doanh. Một số dữ liệu nhất định có thể được cung cấp cho các bên ngoài theo yêu cầu của họ.
• Tác động bất lợi tiềm tàng: Thấp

Mức độ nhạy cảm 3

• Mô tả: Dữ liệu chỉ được công bố trên cơ sở cần thiết. Dữ liệu này tuân theo luật hoặc quy định về quyền riêng tư, hoặc bị hạn chế bởi cơ quan quản lý hoặc các điều khoản và điều kiện của hợp đồng, khoản tài trợ hoặc thỏa thuận khác.
• Tác động bất lợi tiềm tàng: Thấp - Trung bình

Cấp độ bảo vệ 4

• Mô tả: Dữ liệu kích hoạt yêu cầu thông báo cho các bên bị ảnh hưởng hoặc cơ quan công quyền trong trường hợp xảy ra vi phạm an ninh.
• Tác động bất lợi tiềm tàng: Mức độ trung bình

Cấp độ 5 bị hạn chế

• Mô tả: Dữ liệu này gây ra mối đe dọa trực tiếp đến tính mạng con người hoặc thiệt hại nghiêm trọng về tài sản và cơ sở hạ tầng trọng yếu (ví dụ: gây ra sự gián đoạn kéo dài đối với các quy trình hoặc dịch vụ quan trọng cho người dân).* *Trước khi phân loại dữ liệu là Hạn chế Cấp độ 5, bạn nên trao đổi với lãnh đạo trong bộ phận của mình và Giám đốc An ninh Thông tin của Thành phố. Chỉ trong những trường hợp hiếm hoi, dữ liệu mới được phân loại ở cấp độ này. Ví dụ, trong hướng dẫn của NIST liên bang, thông tin an ninh nội địa, quốc phòng và tình báo được phân loại là có tác động “cao”.
• Tác động bất lợi tiềm tàng: Cao

Người quản lý dữ liệu phải:

• Như đã nêu trong phần Yêu cầu ở trên, hãy xác định phân loại phù hợp cho dữ liệu do bộ phận tạo ra theo Tiêu chuẩn, tham khảo ý kiến ​​của Cán bộ An ninh mạng hoặc Người liên lạc, Người quản lý dữ liệu, Cán bộ Bảo mật, cố vấn pháp lý, bộ phận quản lý rủi ro và/hoặc các nhân viên khác của bộ phận đó khi cần thiết;
• Xem xét và/hoặc điều chỉnh việc phân loại dữ liệu như đã nêu trong phần Yêu cầu ở trên.
• Đảm bảo việc truyền đạt thông tin về phân loại dữ liệu khi dữ liệu được công bố hoặc cung cấp cho một đơn vị khác; và
• Đảm bảo rằng các biện pháp kiểm soát quyền riêng tư và bảo mật phù hợp được thực hiện liên quan đến việc phân loại dữ liệu.

Cán bộ hoặc người phụ trách an ninh mạng phải:

• Tư vấn về mức độ rủi ro chấp nhận được và mức độ kiểm soát an ninh phù hợp cho các hệ thống thông tin theo Tiêu chuẩn này và Chính sách An ninh mạng toàn thành phố.

Cán bộ phụ trách bảo mật thông tin phải:

• Hỗ trợ đầy đủ cho các Quản lý dữ liệu của bộ phận họ trong việc phân loại dữ liệu và tuân thủ Chính sách dữ liệu cũng như các tiêu chuẩn thực hiện của chính sách đó.

Người quản lý dữ liệu phải:

• Hỗ trợ đầy đủ cho các Quản lý dữ liệu và Cán bộ hoặc Người liên lạc về An ninh mạng của bộ phận họ trong việc thực hiện vai trò và trách nhiệm của họ theo Tiêu chuẩn này.

Trưởng phòng An ninh Thông tin Thành phố phải:

• Hỗ trợ đầy đủ các phòng ban trong nỗ lực phân loại dữ liệu và tuân thủ Chính sách An ninh mạng toàn thành phố cùng các tiêu chuẩn thực thi của chính sách này.

Giám đốc dữ liệu thành phố phải:

• Hỗ trợ đầy đủ các phòng ban trong nỗ lực phân loại dữ liệu và tuân thủ Chính sách Dữ liệu cùng các tiêu chuẩn thực thi của chính sách này.

Người dùng dữ liệu phải:

• Xin phép thu thập, truy cập hoặc sử dụng dữ liệu từ Người quản lý dữ liệu hoặc người được họ ủy quyền (bao gồm cả các quyền được thiết lập sẵn dựa trên nhiệm vụ công việc);
• Tuân thủ các yêu cầu về xử lý và bảo mật do Cán bộ An ninh mạng hoặc Người liên lạc của bộ phận hoặc người được ủy quyền của họ quy định; và
• Nắm vững các luật về bảo mật hoặc quyền riêng tư của liên bang, tiểu bang và địa phương liên quan đến dữ liệu mà họ thu thập, truy cập, sử dụng hoặc lưu trữ trong quá trình thực hiện công việc.

Điều 22D.2 của Bộ luật Hành chính Thành phố quy định: “Mỗi sở, ban, ủy ban và cơ quan của Thành phố (“Sở”) phải:

1. Nỗ lực hợp lý để công khai tất cả các tập dữ liệu thuộc quyền kiểm soát của Bộ, với điều kiện việc công khai đó phải phù hợp với các quy tắc và tiêu chuẩn kỹ thuật do CDO soạn thảo và được COIT thông qua, cũng như với luật pháp hiện hành, bao gồm cả luật liên quan đến quyền riêng tư.
2. Xem xét các bộ dữ liệu của từng phòng ban để đánh giá khả năng đưa vào DataSF và đảm bảo chúng tuân thủ các quy tắc và tiêu chuẩn kỹ thuật do COIT đề ra.
3. Chỉ định một Điều phối viên Dữ liệu….”

• Chính sách an ninh mạng toàn thành phố
• Chính sách dữ liệu
• NIST (Viện Tiêu chuẩn và Công nghệ Quốc gia) 800-60 Tập 2 Sửa đổi 1
• Bộ luật hành chính San Francisco

• Cán bộ hoặc người phụ trách an ninh mạng: Cán bộ hoặc người phụ trách an ninh mạng do mỗi phòng ban bổ nhiệm theo quy định trong Chính sách An ninh mạng toàn thành phố.
• Dữ liệu: Thông tin được chuẩn bị, quản lý, sử dụng hoặc lưu giữ bởi một phòng ban hoặc nhân viên của Thành phố hoặc người sử dụng dữ liệu liên quan đến các hoạt động hoặc nghiệp vụ của Thành phố, bao gồm thông tin nhận dạng cá nhân (PII) được định nghĩa bên dưới. Dữ liệu không bao gồm bất kỳ thông tin nhận dạng cá nhân nào của nhân viên hoặc người sử dụng dữ liệu không liên quan đến (i) các hoạt động hoặc nghiệp vụ của Thành phố hoặc (ii) tư cách của họ với tư cách là nhân viên, tình nguyện viên, nhà thầu, người nhận tài trợ, chi nhánh hoặc đại lý của Thành phố.
• Điều phối viên dữ liệu: Nhân viên thành phố được một phòng ban chỉ định làm đầu mối liên lạc và điều phối chính về quản lý và phân loại dữ liệu trong phòng ban đó.
• Người quản lý dữ liệu: Là người chịu trách nhiệm về môi trường kỹ thuật (ví dụ: cơ sở dữ liệu hoặc hệ thống). Đối với các nhóm nhỏ, người quản lý dữ liệu và người giám sát có thể là cùng một người. Đối với một số môi trường kỹ thuật, người quản lý dữ liệu có thể là một nhà thầu.
• Quản trị viên dữ liệu: Là người chịu trách nhiệm quản lý hàng ngày các cơ sở dữ liệu, tập dữ liệu hoặc hệ thống thông tin riêng lẻ. Nhìn chung, quản trị viên dữ liệu có kiến ​​thức nghiệp vụ về dữ liệu và có thể trả lời các câu hỏi về chính dữ liệu đó.
• Người sử dụng dữ liệu: Nhân viên, nhà thầu hoặc cá nhân khác có liên hệ với Thành phố, đủ điều kiện và được ủy quyền thu thập, truy cập và/hoặc sử dụng dữ liệu. Một tập dữ liệu có thể có nhiều hơn một nhóm người dùng.
• Thông tin nhận dạng cá nhân (PII): Bất kỳ dữ liệu nào về một cá nhân được một cơ quan lưu giữ, bao gồm (1) bất kỳ thông tin nào có thể được sử dụng để phân biệt hoặc truy tìm danh tính của một cá nhân, chẳng hạn như tên, số an sinh xã hội, ngày và nơi sinh, tên thời con gái của mẹ hoặc hồ sơ sinh trắc học; và (2) bất kỳ thông tin nào khác được liên kết hoặc có thể liên kết với một cá nhân, chẳng hạn như thông tin y tế, giáo dục, tài chính và việc làm.
• Cán bộ phụ trách bảo mật thông tin: Là nhân viên thành phố được một phòng ban chỉ định làm đầu mối liên lạc và chịu trách nhiệm chính về bảo mật thông tin. Không phải tất cả các phòng ban đều có Cán bộ phụ trách bảo mật thông tin.

Bước 1: Đây có phải là dữ liệu của Thành phố không?

Dữ liệu là:

• Thông tin được chuẩn bị, quản lý, sử dụng hoặc lưu giữ bởi một phòng ban hoặc nhân viên của Thành phố hoặc người sử dụng dữ liệu, VÀ
• Liên quan đến các hoạt động hoặc nghiệp vụ của Thành phố, bao gồm:
  • Thông tin nhận dạng cá nhân (PII);
  • Dữ liệu có nguồn gốc từ các nguồn bên ngoài nhưng được quản lý, sử dụng hoặc lưu giữ bởi Thành phố; và
  • Thông tin nhận dạng cá nhân liên quan đến tư cách của một người với tư cách là nhân viên, tình nguyện viên, nhà thầu, người nhận tài trợ, thành viên liên kết hoặc đại lý của Thành phố.

Dữ liệu không bao gồm:

• Bất kỳ thông tin nhận dạng cá nhân (PII) nào của nhân viên hoặc người dùng dữ liệu không liên quan đến (i) các hoạt động hoặc nghiệp vụ của Thành phố hoặc (ii) tư cách của họ với tư cách là nhân viên, tình nguyện viên, nhà thầu, người nhận tài trợ, chi nhánh hoặc đại lý của Thành phố.

Bước 2: Dữ liệu có sẵn để công bố rộng rãi không?

Lưu ý: Bạn phải đảm bảo dữ liệu này không bị điều chỉnh bởi bất kỳ luật nào hạn chế việc công khai. Nếu có, hãy chuyển sang Bước 2. Dữ liệu được phép công khai sẽ được phân loại là Cấp 1: Công khai. Vậy là xong!

Bước 3: Xác định mức độ tác động tiêu cực tiềm tàng do mất tính bảo mật, tính toàn vẹn hoặc tính khả dụng của dữ liệu.

Bộ tài liệu sau đây sẽ giúp bạn xác định mức độ tác động tiêu cực tiềm tàng do mất tính bảo mật, tính toàn vẹn hoặc tính khả dụng của dữ liệu. Các tài liệu này bao gồm 3 lĩnh vực:

1. Một mẫu để ghi lại quá trình ra quyết định của bạn.
2. Hiểu rõ các mức độ tác động tiêu cực tiềm tàng (thấp, trung bình, cao)
3. Hãy chọn (các) cấp độ phù hợp với dữ liệu của bạn cho từng mục tiêu bảo mật (bảo mật thông tin, tính toàn vẹn dữ liệu, tính khả dụng).

Vui lòng liên hệ với nhân viên COIT để được cung cấp các nguồn tài liệu này.

Dưới đây là một số ví dụ về các loại dữ liệu theo cấp độ phân loại. Dữ liệu của bạn có thể khác với các ví dụ bên dưới. Vui lòng sử dụng Quy trình phân loại dữ liệu trong Phụ lục A ở trên để được hỗ trợ thêm.

Công cộng cấp 1

• Dữ liệu mở
• Trang web công cộng
• Thông cáo báo chí
• Thông báo tuyển dụng
• Báo cáo công khai
• Danh sách hồ sơ dự thầu/hợp đồng/yêu cầu chào giá
• Một số dữ liệu và báo cáo tài chính nhất định
• Thông tin kiểm tra sức khỏe hoặc xây dựng
• Thông báo về các dự án xây dựng trong tương lai

Cấp độ 2 Sử dụng nội bộ

• Danh bạ điện thoại nhân viên
• Soạn thảo báo cáo, bản ghi nhớ và biên bản cuộc họp.
• Tài liệu dự án nội bộ
• Mạng nội bộ
• Dữ liệu tiêu thụ nhiên liệu/quản lý đội xe
• Dữ liệu quản lý học tập
• Một số dữ liệu tài chính
• Một số bản ghi âm và video

Mức độ nhạy cảm 3

• Hồ sơ nhân sự (bao gồm tên nhân viên + mã số DSW, đánh giá hiệu suất làm việc)
• Thông tin nhận dạng cá nhân (PII) không thuộc phạm vi yêu cầu thông báo theo luật định.
• Một số dữ liệu về an ninh công cộng/hồ sơ tội phạm
• Thông tin an ninh nhạy cảm (SSI)
• nhật ký truy cập an ninh vật lý
• Dữ liệu điều tra (ví dụ: liên quan đến trích dẫn, thủ tục pháp lý)
• bí mật thương mại/thông tin độc quyền/dữ liệu nhạy cảm về mặt thương mại
• Dữ liệu quản lý và giảm thiểu rủi ro nội bộ
• Thông tin quản lý tài sản trung tâm

Cấp độ bảo vệ 4

• Số an sinh xã hội
• Số giấy phép lái xe
• Số ID California
• Dữ liệu Tiêu chuẩn Bảo mật Thẻ Thanh toán (PCI) và các thông tin tài chính khác của khách hàng.
• Thông tin sức khỏe được bảo mật (PHI)

Cấp độ 5 bị hạn chế

• Thông tin mạng/cơ sở hạ tầng nhất định