Bez podziału danych na poziomy każda reguła korzystania z narzędzi wymaga oceny w każdym przypadku. Klasyfikacja zamienia ocenę w sprawdzenie.
Trzy poziomy wystarczą
Jawne — mogą trafić wszędzie. Wewnętrzne — wyłącznie do narzędzi dopuszczonych. Poufne — nie opuszczają firmy. Cztery poziomy komplikują bez korzyści.
Trzy poziomy da się zapamiętać po jednym omówieniu. Przy czterech zaczynają się pytania o różnicę między środkowymi kategoriami i ta różnica po miesiącu przestaje być dla kogokolwiek oczywista.
Przypisanie do kategorii dokumentów
Nie do pojedynczych plików. „Umowy z klientami — poufne", „opisy produktów — jawne". To da się zapamiętać.
Lista powinna być krótka i odpowiadać temu, jak firma naprawdę nazywa swoje dokumenty. Kategoria, której nikt nie używa w rozmowie, nie zadziała też w tabeli. Warto zacząć od przejrzenia struktury katalogów na dysku i nazw z systemu handlowego.
Powiązanie z narzędziami
Każdy poziom ma listę dopuszczonych narzędzi. Reguła staje się wtedy sprawdzeniem w tabeli, a nie rozważaniem.
Które narzędzie trafia do którego poziomu, ustala się raz — po sprawdzeniu warunków usługi, a przy danych osobowych po rozmowie z prawnikiem albo inspektorem ochrony danych. Wynik zapisujemy jako tabelę, nie jako uzasadnienie. Pracownik ma sprawdzać, a nie czytać analizę.
Oznaczanie
W nazwie katalogu albo w stopce dokumentu. Oznaczanie każdego pliku osobno nie zostanie utrzymane.
Najtaniej wychodzi oznaczenie na poziomie katalogów, bo działa dalej samo: plik wrzucony do właściwego folderu dziedziczy poziom. Przy dokumentach wysyłanych na zewnątrz stopka bywa jedynym miejscem, w którym oznaczenie przetrwa.
Przypadki mieszane
Dokument zawierający fragment poufny traktujemy według najwyższego poziomu. Prosta zasada usuwa większość wątpliwości.
Dotyczy to także zestawień. Kilka jawnych informacji zebranych razem potrafi tworzyć obraz, który jawny już nie jest — na przykład lista klientów z warunkami handlowymi. To typowy przypadek dla tematu tajemnicy przedsiębiorstwa.
Punkt wyjścia
Jeśli klasyfikacji nie ma, zaczynamy od listy tego, co na pewno nie może wyjść. Reszta może poczekać.
Taka lista powstaje w godzinę i od razu daje się użyć jako lista wykluczeń dla zespołu. Pełną klasyfikację można dopisać później, przy okazji porządkowania zasad. Odwrotna kolejność — najpierw kompletny podział, potem reguły — zwykle kończy się na etapie podziału.
Czego klasyfikacja nie załatwia
Podział na poziomy jest decyzją firmy o tym, jak sama traktuje swoje informacje. Nie rozstrzyga, czy dane zastosowanie jest dopuszczalne wobec przepisów ani czy konkretna umowa z klientem na coś pozwala. Te pytania idą do prawnika albo inspektora ochrony danych, a odpowiedź wraca jako wpis w tabeli — poziom i lista narzędzi. Wartość klasyfikacji polega właśnie na tym, że trudne rozstrzygnięcia zapadają raz, a potem korzysta z nich cały zespół bez konieczności rozumienia uzasadnienia.
