Klasifikácia a citlivosť dát
Štyri úrovne dôvernosti podľa slovenskej vyhlášky
Firma nemôže chrániť všetky svoje dáta na najvyššej možnej úrovni — bolo by to drahé a nepraktické — ani na najnižšej, pretože by riskovala únik toho, na čom najviac záleží. Riešením je klasifikácia: každému dokumentu alebo dátovej sade sa pridelí úroveň dôvernosti, podľa ktorej sa potom nastavia konkrétne opatrenia.
Prečo sa dáta klasifikujú
Bez klasifikácie firma rieši ochranu dát intuitívne — niekto dáta „cíti" ako dôležité, iný nie, a výsledkom je nekonzistentná ochrana. Klasifikácia dáva jasné pravidlo: každý dokument alebo dátová sada dostane úroveň dôvernosti, z ktorej priamo vyplýva, kto k nej má prístup, ako sa má uložiť, zdieľať a nakoniec zlikvidovať.
Štyri úrovne dôvernosti podľa vyhlášky NBÚ
Slovenská vyhláška Národného bezpečnostného úradu č. 227/2025 Z. z. (ktorá od septembra 2025 nahradila staršiu vyhlášku č. 362/2018 Z. z.), vydaná k zákonu o kybernetickej bezpečnosti, definuje presne štyri úrovne dôvernosti informácií:
| Úroveň | Kto má prístup |
|---|---|
| Verejné | Ktokoľvek |
| Interné | Všetci zamestnanci firmy |
| Chránené | Len určené skupiny oprávnených osôb |
| Prísne chránené | Len jednotlivo vybraní ľudia |
Aby bolo jasné, že sa tieto úrovne netýkajú len IT dokumentácie, ale celej firmy, tu je prehľad typických dokumentov a dát z rôznych oddelení pri každej úrovni:
Verejné — cenník produktov na webe a produktová dokumentácia (marketing), tlačová správa a firemný blog (PR), aktuálne pracovné ponuky (HR), výročná správa pre verejnosť (manažment), všeobecné obchodné podmienky a reklamačný poriadok (právne oddelenie).
Interné — organizačná schéma a interný telefónny zoznam (HR), zápisnica z pracovnej porady a interná firemná komunikácia (manažment), interná smernica alebo pracovný postup (IT/operácie), rozpočet oddelenia na nasledujúci rok (financie), interný cenník pre partnerov a prehľad obchodných príležitostí (predaj).
Chránené — zmluva s konkrétnym klientom alebo dodávateľom (predaj, právne), mzdová agenda a osobné spisy zamestnancov (HR), faktúry a platobné údaje dodávateľov (financie), zdrojový kód firemnej aplikácie a interná sieťová dokumentácia (IT), nezverejnená marketingová kampaň pred spustením (marketing), správa z interného auditu (manažment, compliance).
Prísne chránené — heslá k administrátorským a systémovým účtom (IT), podklady k pripravovanej akvizícii, fúzii alebo predaju firmy (manažment), osobné zdravotné údaje a disciplinárne konania zamestnancov (HR), prístupové údaje k firemným bankovým účtom (financie), nezverejnený návrh nového produktu alebo patentu (vývoj), podanie oznamovateľa (whistleblowera) a súdne spory pred zverejnením (právne oddelenie).
Kto určuje citlivosť dát
Úroveň dôvernosti nepriraďuje IT oddelenie, ale vlastník dát — konkrétny človek alebo oddelenie, ktoré dátam alebo dokumentu najlepšie rozumie a vie posúdiť dôsledky ich úniku. Citlivosť mzdovej agendy typicky určuje HR, citlivosť zmluvy s klientom obchodné alebo právne oddelenie. IT následne zabezpečuje technické opatrenia zodpovedajúce danej úrovni — šifrovanie, riadenie prístupu — nie samotné rozhodnutie o úrovni.
Prečo citlivé dáta nie sú len osobné údaje
Citlivé dáta sa často stotožňujú len s osobnými údajmi zamestnancov alebo klientov. V skutočnosti medzi ne patrí aj obchodné tajomstvo, neuverejnené finančné výsledky, interné stratégie alebo zdrojový kód — teda informácie, ktorých únik môže firme uškodiť, aj keď sa osobne nedotýkajú konkrétneho človeka.
Časté chyby
- Všetko označené ako „Chránené" alebo „Prísne chránené" — klasifikácia stratí zmysel, keď väčšina dokumentov dostane najvyššiu úroveň.
- Chýbajúca schéma značenia dokumentov — zamestnanec nevie na prvý pohľad rozoznať úroveň, takže sa k všetkému správa rovnako.
- O úrovni rozhoduje IT namiesto vlastníka dát — IT nemusí poznať reálny biznisový dopad úniku konkrétneho dokumentu.