Devlet Güvenlik Sınıflandırmaları Politikası - Government Security Classifications Policy

Devlet Güvenlik Sınıflandırmaları Politikası (GSCP) bir sınıflandırma sistemidir hassas hükümet verileri içinde Birleşik Krallık.

GPMS

Tarihsel olarak, Devlet Koruyucu İşaretleme Şeması Birleşik Krallık'taki devlet kurumları tarafından kullanıldı; verileri SINIFLANDIRILMAMIŞ, KORUMA, KISITLI, GİZLİ, GİZLİ ve ÜST GİZLİ olarak ayırır. Bu sistem kağıt tabanlı kayıtlar için tasarlanmıştır; modern hükümet çalışmalarına kolayca uyarlanamaz ve geniş çapta anlaşılamaz.[1]

Güncel sınıflandırmalar

Sınıflandırmalar için kriterler de ayarlanıyor, bu nedenle her zaman katmandan katmana mükemmel bir harita olmuyor.

GSCP üç düzeyde sınıflandırma kullanır: RESMİ, GİZLİ ve ÜST GİZLİ.[2] Bu, eski modelden daha basittir ve eski ve yeni sınıflandırmalar arasında doğrudan bir ilişki yoktur. Yeni modelde "Sınıflandırılmamış" kasıtlı olarak çıkarılmıştır. Devlet kurumlarının mevcut verileri otomatik olarak açıklamaları beklenmez, bu nedenle yeni sistem altında çalışan kuruluşların eski sisteme göre işaretlenmiş bazı verileri hala işlediği durumlar olabilir.

Bilgi Varlığı Sahipleri, bilgilerden sorumlu olmaya devam etmektedir. Yeni politika, belirli BT güvenlik gereksinimlerini belirtmez - BT sistemleri, mevcut kılavuzlara uygun olarak kurulmalı ve kullanılmalıdır. CESG.[3]

Devletle çalışan herkes - yükleniciler ve tedarikçiler dahil - koruyucu bir işarete sahip olup olmadığına bakılmaksızın birlikte çalıştıkları bilgileri korumaktan sorumludur.

Toplama, koruyucu işaretlemede otomatik olarak bir artışı tetiklemez. Örneğin, tek tek RESMİ olan binlerce kayıt içeren bir veritabanı, GİZLİ veritabanı olarak yeniden etiketlenmemelidir. Bunun yerine, bilgi sahiplerinin aşağıdakiler hakkında karar vermeleri beklenir: kontroller bir risk değerlendirmesi ve toplanan bilgilerin ne olduğunu dikkate almalı, kimin erişmesi gerekiyor o ve nasıl.

RESMİ

RESMİ, günlük devlet işleri hakkında çok çeşitli bilgiler de dahil olmak üzere çoğu kamu sektörü verilerini içerir. Herhangi bir özel riske tabi değildir. Kişisel veriler genellikle RESMİ olacaktır.[4] Veriler şu şekilde korunmalıdır: kontroller pahalı, zorlu uzman teknolojisi ve bürokrasi yerine en iyi ticari uygulamaya dayanmaktadır. Her belgeyi "RESMİ" olarak işaretleme zorunluluğu yoktur - bunun devlet belgeleri için varsayılan olduğu anlaşılmaktadır.[5]

Kuruluşlar, sözleşmeler hakkında ticari olarak hassas bilgiler veya yerel olarak işe alınan elçilik personeli tarafından görülmemesi gereken diplomatik veriler gibi belirli resmi verileri vurgulamak için "tanımlayıcılar" ekleyebilir. Bu tanımlayıcılar otomatik olarak özel kontroller gerektirmez. "RESMİ" genellikle daha önce SINIFLANDIRILMAMIŞ, KISITLANMIŞ veya GİZLİ olan veri türlerini içerecektir; ancak bu değişebilir.

RESMİ veriler için tehdit modeli, tipik büyük özel sektör kuruluşlarına benzer; bireysel bilgisayar korsanlarının, baskı gruplarının, suçluların ve araştırmacı gazetecilerin bilgi almaya çalışabileceğini tahmin ediyor. Tehdit modeli, örneğin organize suç grupları veya yabancı hükümetler tarafından çok ısrarcı ve yetenekli saldırılara karşı korumayı garanti etmez; bunlar mümkündür, ancak normal kontroller onları daha zor hale getirir ve çok daha güçlü kontroller orantısız olur. RESMİ bilgilere rutin erişimi olan kişiler şunlara tabi olmalıdır: BPSS tarama.

RESMİ, aşağıdaki gibi ayrı düzenleyici gereksinimlere tabi verileri içerebilir: Veri koruma Yasası (kişisel veriler) veya PCI DSS (kart ödemeleri).

RESMİ DUYARLI

RESMİ DUYARLI, özellikle uygulanmasının önemli olduğu RESMİ veriler için ek bir uyarıdır. bilmem gerek kurallar. RESMİ-DUYARLI belgeler işaretlenmelidir, ancak bunlar mutlaka izlenmemelidir.

Bu bir sınıflandırma değil. "Hassas", görevliler tarafından özel olarak ele alınması gereken, RESMİ olarak işaretlenmiş küçük bir bilgi alt kümesi için bir kullanım uyarısıdır.

GİZLİ

Ulusal savunma veya suç soruşturmalarına (örneğin) ciddi şekilde zarar verebilecek "çok hassas bilgiler". Veriler, yalnızca Kıdemli Bilgi Riski Sahibi (bir kuruluşta yönetim kurulu düzeyinde bir pozisyon olan), verilerin yüksek etkili olduğunu kabul ederse GİZLİ olarak işaretlenmelidir ve verilerin çok yetenekli saldırganlara karşı korunması gerektiğini. Verileri korumak için bazı uzman teknolojiler kullanılabilse de, ticari güvenlik araçlarının yeniden kullanımına hala güçlü bir vurgu vardır.

SECRET, RESMİ'den büyük bir adımdır; hükümet organları, RESMİ'nin yeterli olacağı durumlarda aşırı tedbirli olma ve çok daha katı kurallar uygulama konusunda uyarılır.

SECRET bilgilerine rutin erişimi olan kişiler genellikle SC izni. SECRET verileri genellikle aşağıdakilerden muaf tutulabilir: FOIA açıklama.

ÇOK GİZLİ

Olağanüstü yüksek etki seviyelerine sahip veriler; Uzlaşmanın çok ciddi etkileri olacaktır - örneğin birçok ölüm. Bu, son derece yüksek seviyede koruma gerektirir ve kontrollerin, CESG onaylı ürünler dahil olmak üzere mevcut "Çok Gizli" verilerde kullanılanlara benzer olması beklenir. TOP SECRET'te çok az risk tolere edilebilir, ancak hiçbir faaliyet tamamen risksiz değildir.[6]

TOP SECRET bilgilerine rutin erişimi olan kişilerde genellikle DV izni. TOP SECRET bilgilerinin muaf tutulduğu varsayılır FOIA açıklama. Bu tür bilgilerin ifşa edilmesinin, aşağıdakiler için eşiğin üzerinde olduğu varsayılmaktadır: Resmi Sırlar Yasası Soruşturma.[7]

Özel kullanım talimatları

Özel kullanım talimatları, içeriğinin doğasını veya kaynağını belirtmek, belirlenen gruplara erişimi sınırlandırmak ve / veya gelişmiş kullanım önlemlerine duyulan ihtiyacı belirtmek için bir sınıflandırma işaretiyle birlikte kullanılan ek işaretlerdir. Belgenin başlangıcına yakın bir paragrafa ek olarak, özel kullanım talimatları Açıklayıcıları, Kod Kelimeleri, Önekleri ve ulusal uyarıları içerir.[2]

Tanımlayıcılar

Bir AÇIKLAMA, belirli hassas bilgi kategorilerini tanımlamak için güvenlik sınıflandırmasıyla birlikte kullanılır ve erişimi sınırlandırmak için sağduyu önlemlerine olan ihtiyacı belirtir. Normal tanımlayıcılar "TİCARİ", "YEREL" ve "KİŞİSEL" dir.[2]

Kod sözcükler

Bir Kod Sözcük, belirli bir varlık veya olay için güvenlik kapsamı sağlamak için güvenlik sınıflandırmasını izleyen BÜYÜK harflerle ifade edilen tek bir kelimedir. Genellikle yalnızca SECRET ve TOP SECRET varlıklarına uygulanır.[2]

Ön ekler ve ulusal uyarılar

İngiltere öneki, yabancı hükümetlere veya uluslararası kuruluşlara gönderilen tüm varlıkların güvenlik sınıflandırmasına eklenir. Bu önek, İngiltere'yi menşe ülke olarak belirtir ve olası herhangi bir ifşadan önce İngiliz Hükümetine danışılması gerektiğini belirtir.[2]

Ulusal uyarılar güvenlik sınıflandırmasına uygundur. Açıkça belirtilmedikçe, ulusal bir uyarı içeren bilgiler yabancı hükümetlere, denizaşırı yüklenicilere, uluslararası kuruluşlara gönderilmez veya herhangi bir yabancı uyrukluya açıklanmaz.[2] Misal

"EN GİZLİ - YALNIZCA Birleşik Krallık / ABD GÖZLERİ"

İngiliz Büyükelçilikleri ve Diplomatik Misyonları veya Hizmet birimleri veya kuruluşları haricinde, YALNIZCA Birleşik Krallık GÖZLERİ ulusal uyarısını taşıyan varlıklar denizaşırı gönderilmez.[2]

Gizli bilgilerin işlenmesine yönelik yeni yaklaşım

Önceki GPMS modeline göre, sınıflandırma seçimi yalnızca verilerin gizliliği ile ilgilidir. Bununla birlikte, yerini aldığı eski modelin aksine, GSCP bir uzlaşmanın sonucunu birincil faktör olarak görmez, bunun yerine yetenek ve motivasyona dayanır. potansiyel tehdit aktörleri (saldırganlar) ve bu riskin işletme için kabul edilebilirliği.

Yabancı İstihbarat Servisi veya Ciddi ve Organize Suç gibi yetenekli ve motive edilmiş bir saldırganın sınıflandırılacak verilerin kapsamında olduğu düşünüldüğünde, işletme verileri RESMİ olarak sınıflandırmak için bu riski dolaylı olarak kabul etmelidir. Bu riski kabul edemezler, verileri en azından başlangıçta GİZLİ olarak kabul etmelidirler, ancak daha sonra bir uzlaşmanın sonuçları da dikkate alındığında RESMİ'ye indirgenebilir veya TOP SECRET'e yükseltilebilir.

Bu yaklaşımın anlamı ve yetenekli ve motive edilmiş saldırganlardan gelen bir riskin kabul edilebilir olup olmadığını belirlemenin ikili doğası, verilerin GPMS'de olduğu gibi GSCP üzerinden doğrusal bir şekilde kolayca ilerleyemeyeceği anlamına gelir.

Bu, daha önce GPMS'nin katı hiyerarşik kademeli yükselen yapısına (örneğin, SINIFLANDIRILMAMIŞ, KORUMA, SINIRLANDIRILMIŞ, ​​GİZLİ, GİZLİ, EN GİZLİ) kullanılan Bilgi Varlığı Sahiplerinde genellikle kaybolan bir karmaşıklıktır.

Aksine, GSCP verileri bir RESMİ ile başlar VEYA SECRET sınıflandırması, tehdidin niteliğine ve işletmeye kabul edilebilirliğine bağlıdır ve daha sonra uzlaşma sonucuna göre buna göre yukarı veya aşağı hareket eder.

RESMİ veriler bu nedenle ÜST GİZLİ hale gelebilir, ancak yetenekli bir saldırgan için önceden kabul edilen risk revize edilmedikçe GİZLİ olamaz.

GİZLİ verileri, potansiyel bir ihlalden ciddi sonuçların tespit edilemediği RESMİ'ye indirgenebilir veya Ciddi sonuçlar ortaya çıkarsa GİZLİ de TOP SECRET'e yükselebilir.

Etki seviyeleri aynı zamanda bütünlüğü ve kullanılabilirliği de dikkate alır, ancak CESG'nin İş Etki Düzeyleri (BIL) sistemi de gözden geçirilmektedir ve çoğu pratik bağlamda artık kullanılmaz hale gelmiştir.

Bu nedenle, veri gizliliğinin tehlikeye atılması durumunda sonuç ne kadar büyük olursa, sınıflandırma o kadar yüksek olur, çünkü yüksek etkiye sahip veriler (yaşamı tehdit edebilecek materyaller dahil) yine de RESMİ olarak sınıflandırılabilir. ilgili işletme sahibi bunu bir Yabancı İstihbarat Servisi veya Ciddi ve Organize Suç yeteneklerine sahip bir saldırgandan korumanın gerekli olmadığına inanıyorsa.

Tersine, çok daha düşük sonuçları olan bazı veriler (örneğin, bir suç örgütüyle ilgili devam eden Polis soruşturmaları veya olası kovuşturmalarla ilgili istihbarat bilgileri), ancak işletmenin böyle bir saldırgandan taviz vermeyi kabul etmeyeceği bazı veriler GİZLİ olarak sınıflandırılabilir.

GSCP'nin uygulanmasında Nisan 2014'te yayınlanan kılavuz, Gov.UK kaynaklarında hala mevcuttur [8]Birleşik Krallık Hükümeti bilgi sistemlerinin normalde CESG kullanılarak daha önce olduğu gibi akredite olmaya devam edeceğini önerdi Bilgi Güvencesi Standardı 1 ve 2. Ancak bu, Mayıs 2014'ten bu yana GDS ve NCSC blog beyanları aracılığıyla aşamalı olarak atıldı ve IS1 & 2 standardının kendisi artık sürdürülmüyor veya zorunlu tutulmuyor.Akreditasyonun yerini büyük ölçüde çeşitli ticari uygulamalarla uyumlu alternatif güvence modelleri aldı.

Ulusal Yetkilendirme Görevlisi raporu "Devlet Genelinde Bilgilerin Korunması" (Eylül 2016), bu modele geçiş ve genel olarak GSCP'nin benimsenmesi konusunda biraz kritikti. [9]

Mevcut yayınlanmış kılavuz, Birleşik Krallık hükümeti verilerini tutan depolama ortamlarının, HMG IA Politikası No. 5 ancak bu kılavuzdaki ve diğer materyaldeki terminoloji, GPMS koruyucu işaretlerinden GSCP sınıflandırmalarına olan değişiklikleri yansıtacak şekilde tam olarak güncellenmemiştir ve bu nedenle değeri artık tartışmalı bir şekilde yayınlanmış bir standart olarak azaltılmıştır.

Daha yüksek sınıflandırmalar hala daha katı gerektirir personel incelemesi.

Tarih

Devlet Güvenlik Sınıflandırmaları Politikası tamamlandı ve Aralık 2012'de yayınlandı; zaman içinde ek rehberlik ve destek süreçleri geliştirilmiştir.

Hükümet organlarının (ve silahlı kuvvetlerin) Nisan 2014'te GSCP'yi kullanmaya başlaması bekleniyordu.

Ayrıca bakınız

Referanslar

  1. ^ Devlet Güvenlik Sınıflandırmalarına Giriş. Sayfa 1. Kabine Ofis, Nisan 2013
  2. ^ a b c d e f g Devlet Güvenlik Sınıflandırmaları (PDF) (Sürüm 1.0 - Ekim 2013 ed.). HMG Kabine Ofis. Nisan 2014. Alındı 10 Eylül 2014.
  3. ^ Devlet Güvenlik Sınıflandırmaları SSS Sayfası 2: RESMİ'de Bilgi Riskini Yönetme. Kabine Ofisi, Nisan 2013
  4. ^ Devlet Güvenlik Sınıflandırmalarına Giriş, Kabine Ofisi, Nisan 2013
  5. ^ Devlet Güvenlik Sınıflandırmaları SSS Sayfası 1: RESMİ Bilgilerle Çalışma (PDF). HMG Kabine Ofis. Nisan 2013.Devlet Güvenlik Sınıflandırmaları SSS Sayfası 1: RESMİ Bilgilerle Çalışma. Kabine Ofisi, Nisan 2013
  6. ^ Devlet Güvenlik Sınıflandırmaları: Güvenlik Kontrol Çerçevesi. Kabine Ofisi, Nisan 2013
  7. ^ Devlet Güvenlik Sınıflandırmaları: Güvenlik Kontrol Çerçevesi, sayfa 19. Kabine Ofisi, Nisan 2013
  8. ^ "Devlet Güvenlik Sınıflandırmaları".
  9. ^ "Devlet genelinde bilgilerin korunması - Ulusal Denetim Ofisi (NAO) Raporu".

Dış bağlantılar