Высокий уровень часто присваивают информации «с запасом». Это кажется безопасным решением, пока под одной отметкой не оказываются данные с совершенно разными последствиями для бизнеса. Тогда классификация существует, но перестаёт помогать расставлять приоритеты.

Рабочая шкала начинается не с названий уровней, а с границ между ними. Раскрытие, изменение и недоступность оцениваются отдельно, а итог зависит от масштаба последствий: останутся ли они локальными, затронут ли сроки и обязательства, потребуют ли решения руководства, повлияют ли на работу ключевого процесса.

Если нужен один итоговый уровень, его можно определить по наиболее серьёзной из трёх оценок, сохранив исходные значения. Тогда понятно не только, какой уровень присвоен, но и почему.

Высокий уровень должен означать не «информация кажется важной», а «последствия вышли за установленную компанией границу». Только после этого к уровню имеет смысл привязывать правила защиты.

#УправлениеИБ