Политика государственной классификации безопасности

Политика государственной безопасности (GSCP) — это система классификации конфиденциальных правительственных данных в Соединенном Королевстве .

ГПМС

Исторически сложилось так, что государственная схема защитной маркировки использовалась государственными органами Великобритании; он делит данные на НЕСЕКРЕТНЫЕ, ЗАЩИТНЫЕ, ОГРАНИЧЕННЫЕ, КОНФИДЕНЦИАЛЬНЫЕ, СЕКРЕТНЫЕ и СОВЕРШЕННО СЕКРЕТНЫЕ. Эта система была разработана для бумажных записей; его нелегко адаптировать к работе современного правительства, и он не получил широкого понимания. ^[1]

Текущие классификации

GSCP использует три уровня классификации: ОФИЦИАЛЬНЫЙ, СЕКРЕТНЫЙ и СОВЕРШЕННО СЕКРЕТНЫЙ. ^[2] Это проще старой модели, и между старой и новой классификациями нет прямой связи. «Несекретный» намеренно исключен из новой модели. Ожидается, что государственные органы не будут автоматически отмечать существующие данные, поэтому могут быть случаи, когда организации, работающие в новой системе, все еще обрабатывают некоторые данные, отмеченные в соответствии со старой системой.

Владельцы информационных активов продолжают нести ответственность за информацию. Новая политика не определяет конкретных требований к ИТ-безопасности – ИТ-системы должны создаваться и использоваться в соответствии с существующими рекомендациями CESG . ^[3]

Все, кто работает с правительством, включая подрядчиков и поставщиков, несут ответственность за защиту информации, с которой они работают, независимо от того, имеет ли она защитную маркировку.

Агрегация не приводит автоматически к увеличению защитной маркировки. Например, базу данных с тысячами записей, которые по отдельности являются ОФИЦИАЛЬНЫМИ, не следует переименовывать в СЕКРЕТНУЮ базу данных. Вместо этого ожидается, что владельцы информации будут принимать решения о средствах контроля на основе оценки рисков и должны учитывать, что представляет собой агрегированная информация, необходимо получить к ней доступ кому и как .

ОФИЦИАЛЬНЫЙ

OFFICIAL включает в себя большую часть данных государственного сектора, включая широкий спектр информации о повседневной деятельности правительства. Никаких особых рисков оно не несет. Персональные данные обычно являются ОФИЦИАЛЬНЫМИ. ^[4] Данные должны быть защищены средствами контроля, основанными на передовой коммерческой практике, а не на дорогих, сложных специализированных технологиях и бюрократии. Нет необходимости помечать каждый документ как «ОФИЦИАЛЬНЫЙ» – подразумевается, что это значение по умолчанию для правительственных документов. ^[5]

Организации могут добавлять «дескрипторы», чтобы выделить определенные типы официальных данных, например, коммерчески конфиденциальную информацию о контрактах или дипломатические данные, которые не должны быть видны нанятым на месте сотрудникам посольства. Эти дескрипторы не требуют автоматически специальных элементов управления. «ОФИЦИАЛЬНЫЕ» обычно включают в себя виды данных, которые ранее были НЕСЕКРЕТНЫМИ, ОГРАНИЧЕННЫМИ или КОНФИДЕНЦИАЛЬНЫМИ; но это может отличаться.

Модель угроз для ОФИЦИАЛЬНЫХ данных аналогична типичным крупным организациям частного сектора; он ожидает, что отдельные хакеры, группы давления, преступники и журналисты-расследователи могут попытаться получить информацию. Модель угроз не гарантирует защиту от очень настойчивых и умелых атак, например, со стороны организованных преступных группировок или иностранных правительств; это возможно, но обычный контроль сделал бы их более трудными, а гораздо более строгий контроль был бы непропорциональным. Люди, имеющие обычный доступ к ОФИЦИАЛЬНОЙ информации, должны проходить проверку BPSS .

OFFICIAL может включать данные, на которые распространяются отдельные нормативные требования, такие как Закон о защите данных (персональные данные) или PCI DSS (платежи по картам).

ОФИЦИАЛЬНО-КОНФИДЕНЦИАЛЬНО

ОФИЦИАЛЬНО-КОНФИДЕНЦИАЛЬНО — это дополнительное предостережение для ОФИЦИАЛЬНЫХ данных, где особенно важно обеспечить соблюдение правил, требующих знания . ОФИЦИАЛЬНО-СЕКРЕТНЫЕ документы должны быть помечены, но они не обязательно отслеживаются.

Это не классификация. ^[6] «Конфиденциально» — это предупреждение об обращении с небольшой частью информации, помеченной как ОФИЦИАЛЬНАЯ, которая требует особого обращения со стороны персонала.

СЕКРЕТНО

«Очень конфиденциальная информация», которая может (например) нанести серьезный ущерб национальной обороне или расследованию преступлений. Данные следует помечать как СЕКРЕТНЫЕ только в том случае, если старший владелец информационных рисков (который занимает должность на уровне совета директоров организации) согласен с тем, что они имеют большое влияние и что данные должны быть защищены от очень умелых злоумышленников. Хотя для защиты данных могут использоваться некоторые специализированные технологии, по-прежнему уделяется большое внимание повторному использованию коммерческих инструментов безопасности.

СЕКРЕТ – это большой шаг вперед по сравнению с ОФИЦИАЛЬНЫМ; Государственные органы предостерегаются от чрезмерной осторожности и применения гораздо более строгих правил, когда ОФИЦИАЛЬНЫХ было бы достаточно.

Люди, имеющие обычный доступ к СЕКРЕТНОЙ информации, обычно должны иметь допуск СК . СЕКРЕТНЫЕ данные часто могут быть освобождены от раскрытия по закону FOIA .

СОВЕРШЕННО СЕКРЕТНО

Данные с исключительно высоким уровнем воздействия; компромисс будет иметь очень серьезные последствия – например, множество смертей. Это требует чрезвычайно высокого уровня защиты, и ожидается, что меры контроля будут аналогичны тем, которые используются для существующих «совершенно секретных» данных, включая продукты, одобренные CESG. В режиме СОВЕРШЕННО СЕКРЕТНО допускается очень небольшой риск, хотя ни одна деятельность не является полностью свободной от риска. ^[7]

Люди, имеющие постоянный доступ к СОВЕРШЕННО СЕКРЕТНОЙ информации, обычно должны иметь допуск DV . Предполагается, что СОВЕРШЕННО СЕКРЕТНАЯ информация не подлежит раскрытию в соответствии с Законом о свободе информации . Предполагается, что раскрытие такой информации превышает порог для преследования согласно Закону о государственной тайне . ^[8]

Специальные инструкции по обращению

Специальные инструкции по обращению — это дополнительная маркировка, которая используется вместе с классификационной маркировкой для указания характера или источника ее содержания, ограничения доступа к определенным группам и/или для обозначения необходимости принятия усиленных мер по обращению. В дополнение к абзацу в начале документа специальные инструкции по обращению включают дескрипторы, кодовые слова, префиксы и национальные предостережения. ^[2]

Дескрипторы

ДЕСКРИПТОР используется вместе с классификацией безопасности для идентификации определенных категорий конфиденциальной информации и указывает на необходимость принятия мер здравого смысла для ограничения доступа. Обычными дескрипторами являются «КОММЕРЧЕСКИЙ», «LOCSEN» и «ПЕРСОНАЛЬНЫЙ». ^[2]

Кодовые слова

Кодовое слово — это одно слово, выраженное ЗАГЛАВНЫМИ буквами, которое соответствует классификации безопасности и обеспечивает прикрытие безопасности для конкретного актива или события. Обычно они применяются только к СЕКРЕТНЫМ и СОВЕРШЕННО СЕКРЕТНЫМ активам. ^[2]

Префиксы и национальные предостережения

Префикс Великобритании добавляется к классификации безопасности всех активов, отправляемых иностранным правительствам или международным организациям. Этот префикс обозначает Великобританию как страну происхождения и что перед любым возможным раскрытием информации следует проконсультироваться с британским правительством. ^[2]

Национальные предостережения соответствуют классификации безопасности. Если прямо не указано иное, информация с национальной оговоркой не отправляется иностранным правительствам, зарубежным подрядчикам, международным организациям и не разглашается иностранным гражданам. ^[2] Пример

«СОВЕРШЕННО СЕКРЕТНО – ТОЛЬКО ДЛЯ ГЛАЗ Соединённого Королевства и США»

За исключением британских посольств и дипломатических миссий или подразделений или учреждений, активы, имеющие национальную оговорку UK EYES ONLY, не отправляются за границу. ^[2]

Новый подход к работе с секретной информацией

Согласно предыдущей модели GPMS, выбор классификации касается только конфиденциальности данных. Однако в отличие от старой модели, которую он заменяет, GSCP не рассматривает последствия компрометации в качестве основного фактора, а вместо этого основывается на возможностях и мотивации потенциальных субъектов угроз (злоумышленников) и приемлемости этого риска для бизнеса.

Если считается, что способный и мотивированный злоумышленник, такой как Служба внешней разведки или организация по борьбе с серьезной и организованной преступностью, входит в сферу действия классифицируемых данных, компания должна безоговорочно принять этот риск, чтобы классифицировать данные как ОФИЦИАЛЬНЫЕ. Если они не принимают или не могут принять этот риск, они должны, по крайней мере, первоначально считать данные СЕКРЕТНЫМИ, хотя позже, когда будут также рассмотрены последствия компрометации, они могут быть понижены до ОФИЦИАЛЬНЫХ или повышены до СОВЕРШЕННО СЕКРЕТНЫХ.

Последствия этого подхода и бинарный характер определения приемлемости или неприемлемости риска со стороны способных и мотивированных злоумышленников означают, что данные не могут легко проходить через GSCP линейным образом, как это происходило через GPMS.

Эту сложность часто упускают из виду владельцы информационных активов, ранее привыкшие к строго иерархической многоуровневой восходящей структуре GPMS (например, НЕСЕКРЕТНО, ЗАЩИЩЕНО, ОГРАНИЧЕННО, КОНФИДЕНЦИАЛЬНО, СЕКРЕТНО, СОВЕРШЕННО СЕКРЕТНО).

Данные GSCP, напротив, начинаются с ОФИЦИАЛЬНОЙ ИЛИ СЕКРЕТНОЙ классификации в зависимости от характера угрозы и ее приемлемости для бизнеса, а затем соответственно перемещаются вверх или вниз в зависимости от последствий компрометации.

Таким образом, ОФИЦИАЛЬНЫЕ данные могут подняться до уровня СОВЕРШЕННО СЕКРЕТНО, но не могут стать СЕКРЕТНЫМИ, если риск, ранее принятый для способного злоумышленника, не будет пересмотрен.

СЕКРЕТНЫЕ данные могут быть понижены до ОФИЦИАЛЬНЫХ, если не могут быть выявлены серьезные последствия потенциального нарушения, или СЕКРЕТНЫЕ данные могут также повыситься до СОВЕРШЕННО СЕКРЕТНЫХ, если могут возникнуть серьезные последствия.

Уровни воздействия также учитывают целостность и доступность, но система уровней воздействия на бизнес (BIL) CESG также находится на рассмотрении и в большинстве практических контекстов сейчас вышла из употребления.

Таким образом, строго говоря, чем серьёзнее последствия, если конфиденциальность данных будет нарушена, тем выше классификация, поскольку данные с высоким уровнем воздействия (включая материалы, которые могут привести к угрозе для жизни) по-прежнему могут быть классифицированы как ОФИЦИАЛЬНЫЕ. если соответствующий владелец бизнеса считает, что нет необходимости защищать его от злоумышленника, обладающего возможностями Службы внешней разведки или борьбы с серьезной и организованной преступностью.

И наоборот, некоторые данные с гораздо меньшими последствиями (например, текущие полицейские расследования в отношении преступной группы или разведывательная информация, касающаяся возможных судебных преследований), но в которых бизнес не согласится на компрометацию со стороны такого злоумышленника, могут быть классифицированы как СЕКРЕТНЫЕ.

Руководство по внедрению GSCP, выпущенное в апреле 2014 года и до сих пор доступное в правительственных источниках Великобритании. ^[9] предположил, что информационные системы правительства Великобритании будут продолжать аккредитоваться, как и раньше, обычно с использованием стандарта обеспечения информации CESG 1 и 2 . Однако с мая 2014 года от этого постепенно отказывались в заявлениях в блогах GDS и NCSC, а сам стандарт IS1 и 2 больше не поддерживается и не является обязательным. Аккредитация также была в значительной степени заменена альтернативными моделями гарантий, соответствующими различным коммерческим практикам.

Отчет NAO «Защита информации в правительстве» (сентябрь 2016 г.) несколько критически относился к переходу к этой модели и принятию GSCP в целом. ^[10]

Существующие опубликованные инструкции по-прежнему предполагают, что носители данных, на которых хранятся данные правительства Великобритании, по-прежнему должны быть уничтожены или очищены в соответствии с Политикой HMG IA № 5 , однако терминология в этом руководстве и других материалах не была полностью обновлена, чтобы отразить изменения в защитной маркировке GPMS. к классификациям GSCP, и поэтому его ценность в качестве опубликованного стандарта сейчас, возможно, несколько снижена.

Более высокие категории по-прежнему требуют более строгой проверки персонала .

История

Политика государственной классификации секретных данных была завершена и опубликована в декабре 2012 года; Со временем были разработаны дополнительные рекомендации и вспомогательные процессы. Политика вступила в силу 2 апреля 2014 года. В процедурах государственных закупок учитывалась новая политика с 21 октября 2023 года, поэтому новые требования безопасности можно было учитывать в контрактах, заключаемых с этой даты. ^[11]

См. также

Ссылки

^ Введение в классификацию государственной безопасности. Страница 1. Кабинет министров, апрель 2013 г.
^ Jump up to: ^а ^б ^с ^д ^и ^ж ^г Классификации государственной безопасности (PDF) (Версия 1.0 – октябрь 2013 г.). Кабинет министров Ее Величества. Апрель 2014 г. Архивировано из оригинала (PDF) 30 августа 2017 г. . Проверено 10 сентября 2014 г.
^ Лист часто задаваемых вопросов по классификации государственной безопасности 2: Управление информационными рисками в ОФИЦИАЛЬНОМ. Кабинет министров, апрель 2013 г.
^ Введение в классификацию государственной безопасности, Кабинет министров, апрель 2013 г.
^ Часто задаваемые вопросы по классификации государственной безопасности 1: Работа с ОФИЦИАЛЬНОЙ информацией (PDF) . Кабинет министров Ее Величества. Апрель 2013 г. Часто задаваемые вопросы по классификации государственной безопасности, лист 1: Работа с ОФИЦИАЛЬНОЙ информацией. Кабинет министров, апрель 2013 г.
^ « ОФИЦИАЛЬНО-КОНФИДЕНЦИАЛЬНЫЕ» данные и ИТ» . GOV.UK. Проверено 24 августа 2023 г.
^ Классификации государственной безопасности: Система мер безопасности. Кабинет министров, апрель 2013 г.
↑ Классификация государственной безопасности: система мер безопасности, стр. 19. Кабинет министров, апрель 2013 г.
^ «Классификация государственной безопасности» . 17 июля 2023 г.
^ «Защита информации в правительстве – отчет Национального контрольно-ревизионного управления (НАО)» . 14 сентября 2016 г.
^ Канцелярия Кабинета министров, Записка о политике закупок - Внедрение новой политики классификаций , Информационная записка 9/13, опубликована 21 октября 2013 г., по состоянию на 24 марта 2023 г.

Внешние ссылки

[1] Введение в классификацию государственной безопасности. Страница 1. Кабинет министров, апрель 2013 г.

[HMG_Sec_Class-2] Jump up to: ^а ^б ^с ^д ^и ^ж ^г Классификации государственной безопасности (PDF) (Версия 1.0 – октябрь 2013 г.). Кабинет министров Ее Величества. Апрель 2014 г. Архивировано из оригинала (PDF) 30 августа 2017 г. . Проверено 10 сентября 2014 г.

[3] Лист часто задаваемых вопросов по классификации государственной безопасности 2: Управление информационными рисками в ОФИЦИАЛЬНОМ. Кабинет министров, апрель 2013 г.

[4] Введение в классификацию государственной безопасности, Кабинет министров, апрель 2013 г.

[HMG_Work_Off-5] Часто задаваемые вопросы по классификации государственной безопасности 1: Работа с ОФИЦИАЛЬНОЙ информацией (PDF) . Кабинет министров Ее Величества. Апрель 2013 г. Часто задаваемые вопросы по классификации государственной безопасности, лист 1: Работа с ОФИЦИАЛЬНОЙ информацией. Кабинет министров, апрель 2013 г.

[6] « ОФИЦИАЛЬНО-КОНФИДЕНЦИАЛЬНЫЕ» данные и ИТ» . GOV.UK. Проверено 24 августа 2023 г.

[7] Классификации государственной безопасности: Система мер безопасности. Кабинет министров, апрель 2013 г.

[8] Классификация государственной безопасности: система мер безопасности, стр. 19. Кабинет министров, апрель 2013 г.

[9] «Классификация государственной безопасности» . 17 июля 2023 г.

[10] «Защита информации в правительстве – отчет Национального контрольно-ревизионного управления (НАО)» . 14 сентября 2016 г.

[11] Канцелярия Кабинета министров, Записка о политике закупок - Внедрение новой политики классификаций , Информационная записка 9/13, опубликована 21 октября 2013 г., по состоянию на 24 марта 2023 г.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]