Datenklassifizierungsvorlage
1. Allgemeine Information
ORGANISATION
DATUM DER ANNAHME
2. Datenklassifizierungsebenen
Definition
Rechtfertigung
Beispiele
Konsequenz der öffentlichen Offenlegung
Beispiel für Sicherheitskontrollen
3. Rollen und Verantwortlichkeiten
Datenverwalter
Dateneigentümer
Informationssicherheitsbeauftragter
Rechts- und/oder Datenschutzbüro
(Beauftragter für öffentliche Information)
Manager
Benutzer
VORLAGE FÜR DIE DATENKLASSIFIZIERUNG
leer leer leer leer
[Hier den Namen der Organisation einfügen]
[Datum der Annahme hier einfügen]
Öffentlich Empfindlich Vertraulich Reguliert
Informationen, die der Öffentlichkeit frei und vorbehaltlos zugänglich gemacht Informationen, die im Rahmen einer Offenlegungsanfrage veröffentlicht Informationen, die normalerweise vom Public Information Act ausgenommen Informationen, die durch eine Landes- oder Bundesverordnung oder eine
werden. werden könnten, aber zum Schutz Dritter kontrolliert werden sollten sind andere Vereinbarung Dritter kontrolliert werden
Der Zugriff auf einige Informationen, wie beispielsweise veröffentlichte Einige Informationen können vertrauliche Informationen enthalten, auch wenn Staatliche Behörden und Hochschulen sammeln und pflegen einige Viele Agenturen und Hochschulen interagieren mit der Bundesregierung oder
Berichte, Agenturnachrichten und andere öffentlichkeitsbezogene sie der Öffentlichkeit zugänglich sind. Solche Daten sollten vor ihrer Informationen, die entweder durch eine kodifizierte Ausnahme vom Public erbringen Dienstleistungen, die durch Bundesregeln und -gesetze geregelt
Materialien, muss nicht verfolgt oder überwacht werden. Unter solchen Veröffentlichung überprüft/verifiziert werden. Durch den Schutz des Zugriffs Information Act oder durch Stellungnahmen oder Entscheidungen des Public sind. In solchen Fällen müssen die von diesen Behörden verwalteten
Umständen ist es am effizientesten, die Informationen für den Zugriff der auf die Daten und die Anforderung einer Offenlegungsanfrage stellt die Information Office des Generalstaatsanwalts vor Offenlegung geschützt sind. Informationen den Bundeskontrollen entsprechen.
Bürger verfügbar zu halten, ohne dass ein Eingreifen von Staatsbediensteten Organisation sicher, dass dem Antragsteller die genauesten und Solche Informationen können auch den Meldepflichten bei Verstößen nach
erforderlich ist. relevantesten Daten bereitgestellt werden, ohne dass vertrauliche Daten texanischem Recht unterliegen.
versehentlich offengelegt werden.
Informationen, die auf der öffentlichen Website veröffentlicht werden und Daten, die der Definition von PII gemäß dem Texas Business and Commerce Daten, die gemäß dem Texas Government Code Kap. von der Daten, die der Definition von SPI gemäß dem Texas Business and
keine Authentifizierung erfordern Code §521.002(a)(1) und §521.002(a)(2) entsprechen Veröffentlichung ausgenommen sind. 552 oder Daten, deren Veröffentlichung Commerce Code 521.002(a)(1) und 521.002(a)(2) entsprechen: HIPAA
• Veröffentlichungen der Agentur • Mitarbeiterakten nachteilige Folgen für die Organisation haben kann Security (45 CFR Parts 164), PCI DSS v2.0, FTI, FICA, Steuern Information
• Pressemeldungen • Informationen zum Bruttogehalt • Kommunikation zwischen Anwalt und Mandant
• Öffentliche Webbeiträge • Berichte über Computer-Schwachstellen
• Geschützte Kommunikationsentwürfe
• Angaben zum Nettogehalt
Keine nachteiligen Folgen • Reputationsverlust Mögliche strafrechtliche oder zivilrechtliche Sanktionen Bundesuntersuchung oder Verlust des Rechts zur Erhebung von Einnahmen
• Vertrauensverlust
Öffentlich Empfindlich Vertraulich Reguliert
Stellen Sie sicher, dass Systeme Zugriffskontrollen unterstützen, die Stellen Sie sicher, dass Systeme Zugriffskontrollen unterstützen, die Stellen Sie sicher, dass Systeme Zugriffskontrollen unterstützen, die Stellen Sie sicher, dass Systeme Zugriffskontrollen unterstützen, die
die Datenklassifizierung erzwingen die Datenklassifizierung erzwingen die Datenklassifizierung erzwingen die Datenklassifizierung erzwingen
• Identifizieren Sie die Klassifizierungsebene der Daten • Identifizieren Sie die Klassifizierungsebene der Daten • Identifizieren Sie die Klassifizierungsebene der Daten • Identifizieren Sie die Klassifizierungsebene der Daten
• Überprüfen Sie die Audit-Protokolle • Überprüfen Sie die Audit-Protokolle • Überprüfen Sie die Audit-Protokolle • Überprüfen Sie die Audit-Protokolle
• Entwickeln und pflegen Sie Richtlinien, Verfahren und Richtlinien zur • Entwickeln und pflegen Sie Richtlinien, Verfahren und Richtlinien zur • Entwickeln und pflegen Sie Richtlinien, Verfahren und Richtlinien zur • Entwickeln und pflegen Sie Richtlinien, Verfahren und Richtlinien zur
Informationssicherheit Informationssicherheit Informationssicherheit Informationssicherheit
• Geben Sie Hinweise zur Datenklassifizierung • Geben Sie Hinweise zur Datenklassifizierung • Geben Sie Hinweise zur Datenklassifizierung • Geben Sie Hinweise zur Datenklassifizierung
• Entwickeln und pflegen Sie Richtlinien, Verfahren und Richtlinien zur • Entwickeln und pflegen Sie Richtlinien, Verfahren und Richtlinien zur • Entwickeln und pflegen Sie Richtlinien, Verfahren und Richtlinien zur • Entwickeln und pflegen Sie Richtlinien, Verfahren und Richtlinien zur
Informationssicherheit. Informationssicherheit. Informationssicherheit. Informationssicherheit.
• Geben Sie Hinweise zur Datenklassifizierung • Geben Sie Hinweise zur Datenklassifizierung • Geben Sie Hinweise zur Datenklassifizierung • Geben Sie Hinweise zur Datenklassifizierung
n/A • Stellen Sie sicher, dass Benutzer die Anforderungen an die • Stellen Sie sicher, dass Benutzer die Anforderungen an die • Stellen Sie sicher, dass Benutzer die Anforderungen an die
Datenklassifizierung kennen Datenklassifizierung kennen Datenklassifizierung kennen
• Überwachen Sie Benutzeraktivitäten, um die Einhaltung • Überwachen Sie Benutzeraktivitäten, um die Einhaltung • Überwachen Sie Benutzeraktivitäten, um die Einhaltung
sicherzustellen sicherzustellen sicherzustellen
n/A • Identifizieren und kennzeichnen Sie gegebenenfalls Daten • Identifizieren und kennzeichnen Sie gegebenenfalls Daten • Identifizieren und kennzeichnen Sie gegebenenfalls Daten
• Daten ordnungsgemäß entsorgen • Daten ordnungsgemäß entsorgen • Daten ordnungsgemäß entsorgen
SEITE1 VON 5
4. Datenkontrollen Öffentlich Empfindlich Vertraulich Reguliert
Markierung n/A • Alle sensiblen Daten sind als solche zu kennzeichnen • Alle sensiblen Daten sind als solche zu kennzeichnen • Alle sensiblen Daten sind als solche zu kennzeichnen
• Besondere Handhabungshinweise sind vorzusehen • Besondere Handhabungshinweise sind vorzusehen • Besondere Handhabungshinweise sind vorzusehen
• Jede Seite, wenn lose Blätter • Jede Seite, wenn lose Blätter
• Vorder- und Rückseite sowie Titelseite, falls gebunden • Vorder- und Rückseite sowie Titelseite, falls gebunden

Handhabung n/A n/A Vertrauliche Daten dürfen nur an berechtigte Personen weitergegeben Vertrauliche Daten dürfen nur an berechtigte Personen weitergegeben
werden, die davon Kenntnis haben müssen werden, die davon Kenntnis haben müssen
Vervielfältigung n/A Informationen dürfen nur für geschäftliche Zwecke oder als Reaktion Mitarbeiter können vertrauliche Dokumente mit Genehmigung des Mitarbeiter können vertrauliche Dokumente mit Genehmigung des
auf eine „Offene Datensätze“-Anfrage vervielfältigt werden Dateneigentümers duplizieren Dateneigentümers duplizieren
Mailing n/A n/A n/A • Empfangsbestätigung erforderlich
• Möglicherweise ist eine doppelt verpackte Lieferung erforderlich. Die
Außenseite des Pakets ist nicht gekennzeichnet. Die inneren
Unterlagen sind entsprechend gekennzeichnet.
Anordnung • Disposition basierend auf den Anforderungen des • Disposition basierend auf den Anforderungen des • Disposition basierend auf den Anforderungen des • Disposition basierend auf den Anforderungen des
Aufbewahrungsplans für Aufzeichnungen. Aufbewahrungsplans für Aufzeichnungen. Aufbewahrungsplans für Aufzeichnungen. Aufbewahrungsplans für Aufzeichnungen.
• Physische Zerstörung erforderlich (z. B. Schreddern) • Physische Zerstörung erforderlich (z. B. Schreddern)
• Die Zerstörung muss durch das Personal der Behörde überprüft • Die Zerstörung muss durch das Personal der Behörde überprüft
werden werden
Aufbewahrung von Papierkopien • Speichern Sie eine „Masterkopie“ in Übereinstimmung mit dem • Bewahren Sie eine „Masterkopie“ in Übereinstimmung mit dem • Bewahren Sie eine „Masterkopie“ in Übereinstimmung mit dem • Bewahren Sie eine „Masterkopie“ in Übereinstimmung mit dem
Aufbewahrungsplan für Aufzeichnungen. Aufbewahrungsplan für Aufzeichnungen auf. Aufbewahrungsplan für Aufzeichnungen auf. Aufbewahrungsplan für Aufzeichnungen auf.
• Dokumente sollten verschlossen werden, wenn sie nicht verwendet • Dokumente sollten verschlossen werden, wenn sie nicht verwendet • Dokumente sollten verschlossen werden, wenn sie nicht verwendet
werden (z. B. in einem verschlossenen Schreibtisch, Schrank oder werden (z. B. in einem verschlossenen Schreibtisch, Schrank oder werden (z. B. in einem verschlossenen Schreibtisch, Schrank oder
Büro). Büro). Büro).
Speicherung auf festen Medien n/A • Der Zugang ist passwortgeschützt • Der Zugang ist passwortgeschützt • Der Zugang ist passwortgeschützt
• Verschlüsselung erforderlich • Verschlüsselung erforderlich

Speicherung auf Wechselmedien
5. Zugangskontrollen
Zugriffsrechte gewähren
Lesezugriff
Zugriff aktualisieren
Zugriff löschen
6. Getriebesteuerung
Drucksteuerungen
Übertragung über öffentliches Netz
Freigabe an Dritte
n/A Verschlüsselung empfohlen Verschlüsselung erforderlich. Verschlüsselung erforderlich.
Öffentlich Empfindlich Vertraulich Reguliert
Keine Einschränkungen Nur Dateneigentümer Nur Dateneigentümer Nur Dateneigentümer
• Der Informationseigentümer definiert Berechtigungen nach • Der Informationseigentümer definiert Berechtigungen nach • Der Informationseigentümer definiert Berechtigungen nach • Der Informationseigentümer definiert Berechtigungen nach
Benutzer/Rolle Benutzer/Rolle Benutzer/Rolle Benutzer/Rolle
• Der Informationseigentümer definiert Berechtigungen nach • Der Informationseigentümer definiert Berechtigungen nach •• Der
DerZugang ist stark eingeschränkt
Informationseigentümer oder
definiert kontrolliert nach
Berechtigungen •• Der
Der Zugang ist stark eingeschränkt
Informationseigentümer oder
definiert kontrolliert nach
Berechtigungen
Benutzer/Rolle Benutzer/Rolle Benutzer/Rolle Benutzer/Rolle
• Kontrollen (z. B. Aufgabentrennung), die für Prozesse und • Kontrollen (z. B. Aufgabentrennung), die für Prozesse und • Kontrollen (z. B. Aufgabentrennung), die für Prozesse und
Transaktionen erforderlich sind, die anfällig für betrügerische oder Transaktionen erforderlich sind, die anfällig für betrügerische oder Transaktionen erforderlich sind, die anfällig für betrügerische oder
andere unbefugte Aktivitäten sind andere unbefugte Aktivitäten sind andere unbefugte Aktivitäten sind
• Der Informationseigentümer definiert Berechtigungen nach • Der Informationseigentümer definiert Berechtigungen nach • Der Informationseigentümer definiert Berechtigungen nach • Der Informationseigentümer definiert Berechtigungen nach
Benutzer/Rolle Benutzer/Rolle Benutzer/Rolle Benutzer/Rolle
• Kontrollen (z. B. Aufgabentrennung), die für Prozesse und • Kontrollen (z. B. Aufgabentrennung), die für Prozesse und
Transaktionen erforderlich sind, die anfällig für betrügerische oder Transaktionen erforderlich sind, die anfällig für betrügerische oder
andere unbefugte Aktivitäten sind andere unbefugte Aktivitäten sind
Öffentlich Empfindlich Vertraulich Reguliert
Keine Einschränkungen Der Informationseigentümer definiert Berechtigungen Die Ausgabe wird an einen vordefinierten Drucker weitergeleitet und Die Ausgabe wird an einen vordefinierten Drucker weitergeleitet und
überwacht oder sicheres Drucken aktiviert überwacht oder sicheres Drucken aktiviert
Keine Einschränkungen Verschlüsselung empfohlen Verschlüsselung erforderlich Verschlüsselung erforderlich
Keine Einschränkungen Keine Einschränkungen Genehmigungs- und Geheimhaltungsvereinbarung des Eigentümers Genehmigungs- und Geheimhaltungsvereinbarung des Eigentümers

VORLAGE FÜR DIE DATENKLASSIFIZIERUNG SEITE2 VON 5

7. Auditkontrollen
Verfolgungsprozess nach Protokoll
Überwachung der Zugriffsaktivität
Aufbewahrungskriterien für Zugriffsberichte Aufzeichnungen aufbewahrt werden
Aufbewahrungskriterien für den Zugriff
Zeitrahmen für den
Klassifizierungsüberprüfungszyklus
8. Meldepflichten
Erforderliche Offenlegung gegenüber der
betroffenen Person
Erforderliche Offenlegung gegenüber der
Öffentlichkeit
Erforderliche Offenlegung gegenüber
Bundespartnern
Erforderliche Offenlegung gegenüber
staatlichen Partnern
Erforderliche Offenlegung gegenüber
Dritten
VORLAGE FÜR DIE DATENKLASSIFIZIERUNG
Öffentlich
n/A
n/A
Protokolle müssen gemäß den Aufbewahrungsrichtlinien für
n/A
Das Überprüfungs- und Bestätigungsdatum muss flexibel festgelegt
werden, z. B. 1–2 Jahre
Öffentlich
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Empfindlich
n/A
Das IT-System sollte so konfiguriert sein, dass alle Verstöße
protokolliert werden. Prüfpfade sollten gepflegt werden, um die
Verantwortlichkeit für Änderungen an Informationsressourcen und für
alle Änderungen an automatisierten Sicherheits-/Zugriffsregeln
sicherzustellen
Protokolle müssen gemäß den Aufbewahrungsrichtlinien für
Aufzeichnungen aufbewahrt werden
Der Eigentümer bestimmt die Aufbewahrung von Verstoßprotokollen
Das Überprüfungs- und Bestätigungsdatum muss flexibel festgelegt
werden, z. B. 1–2 Jahre
Empfindlich
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Vertraulich
Empfänger, erstellte Kopien, Standorte, Adressen, Betrachter und
Zerstörung
Das IT-System sollte so konfiguriert sein, dass alle Verstöße
protokolliert werden. Prüfpfade sollten gepflegt werden, um die
Verantwortlichkeit für Änderungen an Informationsressourcen und für
alle Änderungen an automatisierten Sicherheits-/Zugriffsregeln
sicherzustellen
Protokolle müssen gemäß den Aufbewahrungsrichtlinien für
Aufzeichnungen aufbewahrt werden
Der Eigentümer bestimmt die Aufbewahrung von Verstoßprotokollen
Der Informationseigentümer muss alle Informationsklassifizierungen
und Benutzerrechte überprüfen und bestätigen, jedoch nicht länger als
ein Jahr
Vertraulich
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Reguliert
Empfänger, erstellte Kopien, Standorte, Adressen, Betrachter und
Zerstörung
Das IT-System sollte so konfiguriert sein, dass alle Verstöße
protokolliert werden. Prüfpfade sollten gepflegt werden, um die
Verantwortlichkeit für Änderungen an Informationsressourcen und für
alle Änderungen an automatisierten Sicherheits-/Zugriffsregeln
sicherzustellen
Protokolle müssen gemäß den Aufbewahrungsrichtlinien für
Aufzeichnungen aufbewahrt werden
Der Eigentümer bestimmt die Aufbewahrung von Verstoßprotokollen
Der Informationseigentümer muss alle Informationsklassifizierungen
und Benutzerrechte überprüfen und bestätigen, jedoch nicht länger als
ein Jahr
Reguliert
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
Keine Offenlegung öffentlicher Informationen
SEITE3 VON 5
Begrif Definition
f
Referenz