目的
该标准的目的是为大学社区提供一个框架 确保信息免受风险，包括但不限于未经授权的使用， 访问、披露、修改、丢失或删除。该标准定义了控制 处理所有大学管理的信息所需的信息，目的是识别 所处理信息的分类以及定义要求 处理不同级别的敏感信息。
信息必须按其敏感性、重要性和相关风险进行分类 根据大学信息安全计划的要求。信息分类 对于确定保护的基线安全控制至关重要 数据。
范围
本标准适用于任何创建、使用、处理、存储、转让、 管理和/或销毁大学信息，无论环境或 信息所在的介质。大学信息包括但不包括 仅限于有关学生、前学生、雇员、研究数据的信息， 和知识产权。
定义
机密数据—通用术语，通常表示分类为机密的信息 根据本文件中定义的数据分类方案。这个术语是 通常与敏感数据互换使用。
机构数据—大学拥有或许可的所有数据，包括研究数据。
信息资产—被大学视为“有价值”的可定义信息。
非公开信息—根据以下规则分类为内部/私人信息的任何信息 本文档中定义的数据分类方案。
数据分类标准
大学信息安全中所述的信息安全目标 计划，是为了保护信息的机密性、完整性和可用性 资产和系统。数据分类有助于确定基线安全性 控制措施适合保护该数据。信息资产和系统 根据与存储或处理的数据相关的风险进行分类。 高风险数据需要最大程度的保护以防止泄露 风险较低的数据可以得到相应较少的保护。还有具体的 管理某些类型数据的法律和法规。所有机构数据应 被分为三个类别或（等级）之一：
第一层——机密数据
当未经授权的披露、更改时，数据被分类为第一级 - 机密 或该数据的破坏可能会给大学带来重大风险 或其附属公司。机密数据的示例包括受国家或地区保护的数据 联邦隐私法规和受保密协议保护的数据。的 应采用最高级别的安全控制。
第一层 - 机密数据高度敏感，可能有个人隐私考虑， 或者可能受到联邦或州法律的限制。此外，还带来了负面影响 该机构如果该数据不正确、披露不当或不可用 当需要时通常非常高。
第 1 层示例 - 机密数据包括官方学生成绩和财务数据 援助数据、社会保障和信用卡号码、研究数据以及个人的 健康信息。请参阅附录 A 了解更多示例。
数据如何丢失的示例
- 有权访问数据和系统的工作站受到威胁。
- 有权访问数据的用户帐户已被盗用。
- 不安全的网络服务或应用程序遭到破坏且数据被盗。
- 笔记本电脑或智能手机等移动设备丢失或被盗。
- 前员工访问系统是因为“共享”密码未更改。
- 未经授权的访客走进办公室或实验室并窃取设备。
- 未经授权的用户访问不安全的计算机。
第一层数据丢失的影响
- 所有联邦资金（包括经济援助）的长期损失
- 长期声誉损失。
- 已发表的研究因数据不可靠而受到质疑。
- 监管要求的增加。
- 民事罚款以及监禁。
- 长期失去重要的大学服务，例如接受信用卡付款。
- 个人面临身份盗窃的风险。
第二层 - 内部/私人数据
当未经授权的披露、 更改或破坏该数据可能会导致中等程度的风险 大学或其附属机构。默认情况下，所有非信息资产 明确分类为机密或公共数据的数据应视为内部/私人数据 应应用数据和合理级别的安全控制。
II 级 - 内部/私人数据本质上被视为中等敏感。风险 如果无法获得此信息，将对大学产生负面影响 所需的量通常是中等的。
内部/私人数据的示例包括官方大学记录，例如财务记录 报告、非 PII 人力资源信息、一些研究数据、非官方学生 记录和预算信息。
数据如何丢失的示例
详细说明第 1 层数据如何丢失的所有示例均适用。 在某些情况下，作为员工，第 2 级数据也更容易受到未经授权的披露 更有可能错误地或由于成为社交活动的受害者而发布数据 工程攻击。
二级数据丢失的影响
- 短期声誉损失。
- 联邦或研究经费的短期损失。
- 关键部门服务短期丧失。
第三级 - 公共数据
当未经授权的披露、更改、 或销毁该数据将对大学造成很小或没有风险，并且 其附属公司。虽然需要很少或不需要控制来保护机密性 第三层——公共数据，需要一定程度的控制以防止未经授权 修改或销毁公共数据。
第三级公共数据不被视为敏感数据，但公共数据的完整性 应该受到保护。对机构的影响不应为第三级 - 公共数据 可用率通常较低（不方便，但不会使人衰弱）。公共的例子 数据包括目录信息、课程信息和研究出版物。
数据如何丢失的示例
为第一级数据列出的大多数示例均适用。
第 III 级数据丢失的影响
- 无法使用个人工作站或笔记本电脑。
- 个人数据丢失，对大学没有影响。
- 由于未经授权的修改，公开访问的数据可能不准确。
- 可公开访问的数据可能会被修改以将用户引导至恶意系统。
数据处理
包含机密信息的记录只能存在于以下区域： 是合法且合理的业务需求。机密信息应 尽可能从其原始来源访问。副本和印刷版 信息应保持在最低限度。
访问权限
对机密数据的访问从创建到销毁都必须受到控制，并且 仅授予需要此类访问权限的大学附属人员 为了执行他们的工作（需要了解基础）。访问机密数据必须 单独请求，然后由负责的数据所有者授权 用于数据。
访问内部/私人数据必须由数据方请求并授权 所有者对数据负责。可以授权访问内部/私人数据 按工作分类或职责（基于角色的访问）对人群进行分类， 并且也可能受到部门的限制。
员工必须接受年度培训，了解其在适当的方面的责任 他们可以采取哪些措施来保护大学的机密信息。员工 应每年审查机密信息的访问权限，以确保 仍然需要访问此信息。有权访问的人员列表 机密信息和对其访问情况进行年度审查的证据应 可用于审计目的
使用、传输和存储
使用、传输或存储机密信息时需要采取以下控制措施 信息：
- 请勿在可能被看到或无意中听到的环境中讨论或展示该内容 由未经授权的个人实施。
- 请勿留下包含此类信息的房间或文件柜的钥匙或门牌 未经授权人员可进入的区域。
- 打印、复印或传真时，确保只有授权人员才能进行 能够访问输出。敏感信息不应传输到网络连接的 打印/扫描设备，除非在封闭或安全加密的网络上。
- 所有机密数据必须仅存储在集中管理的网络存储设备上。 在任何情况下都不能将机密数据存储在任何本地存储设备上。
- 无法合理输出的专有研究设备或仪器 集中管理的网络存储设备的数据必须定期备份 将输出数据复制到集中管理的网络存储设备上的机制。
- 将纸质文档存放在上锁的抽屉、上锁的房间或其他安全位置。
- 机密信息不得存储在任何个人设备上。另外， 用户不得向个人电子邮件帐户发送或转发包含第一级数据的电子邮件。
- 通过标记此类信息，将其正确标识为对所有收件人保密 因此，为人员提供培训，明确提及分类 或类似的手段。
- 在 (1) 将敏感信息放置在可移动介质上时对其进行加密； (2)放置 在移动计算机上（例如笔记本电脑、PDA、智能手机）；或 (3) 通过以下方式发送 电子邮件。
- 请勿通过即时消息或不安全的文件传输发送敏感信息。
毁灭
大学记录只能按照以下规定销毁：大学的记录保留时间表。应使用行业标准销毁电子形式的敏感信息 软件擦除或消磁技术。删除文件或重新格式化电子文件 介质不足以销毁数据。
纸张上的敏感信息应打浆或横切碎纸，包括所有 临时工作产品，例如未使用的副本、草稿和笔记。
敏感信息泄露
请立即报告任何信息安全问题或潜在问题。 及时报告将有助于确定是否需要进一步调查，并且可以 限制数据的进一步损坏或丢失。请参阅IT 事件响应程序供进一步参考。
后果和制裁
不遵守这些标准可能会招致相同类型的纪律处分 以及违反其他大学政策（包括渐进政策）的后果 纪律处分，直至并包括终止雇佣关系。
附录 A：机密/受限信息资产的预定义类型
根据州、联邦和合同要求，足球比赛结果受约束 由此，以下信息资产已被预定义为第一层或第二层数据 并且必须受到保护。如果您对适当的分类有疑问 对于下面未特别提及的任何信息，请联系it-help@mtu.edu.
可识别个人身份的教育记录 - 受 FERPA 保护
可识别个人身份的教育记录被定义为任何符合以下条件的教育记录： 包含以下一项或多项个人标识符：
- 学生M号
- 成绩、GPA、已注册学分
- 社会保障号 (SSN)
- 种族/性别
- 个人特征列表或任何其他信息，可以使学生 身份易于追踪
个人身份财务信息 - 受 GLBA 保护
为了满足安全漏洞通知要求，定义了 PII 作为一个人的名字或名字首字母和姓氏与一个或 更多以下数据元素：
- 社会安全号码
- 国家颁发的驾驶执照号码
- 出生日期
- 财务帐号与安全代码、访问代码或密码的组合 这将允许访问该帐户
出口管制研究 - 国际武器贸易法规 (ITAR) 和出口 管理条例（EAR）
出口管制研究包括因国家原因而受到管制的信息 安全、外交政策、反恐或防扩散。这种数据 不能存储在美国境外的系统上，非美国公民的作品也不能存储在美国境外的系统上 关于此类项目。例子包括：
- 化学和生物制剂
- 科学卫星信息
- 军事电子学和核物理
请联系研究诚信与合规办公室了解更多信息 涉及人类受试者和出口管制的研究。
支付卡信息 - 受 PCI DSS 保护
支付卡信息定义为信用卡号（也称为信用卡号） 主帐号或 PAN）与以下一项或多项数据相结合 元素：
- 持卡人姓名
- 服务代码
- 到期日期
- CVC2、CVV2 或 CID 值
- PIN 码或 PIN 码块
- 信用卡磁条的内容
受保护的健康信息 (PHI) - 受 HIPAA 保护
PHI 定义为任何个人身份信息*由大学存储。 PHI 被认为是可单独识别的，如果 它包含以下一个或多个标识符：
- 名称
- 地址（小于州的所有地理分区，包括街道地址， 市、县、辖区或邮政编码）
- 与个人相关的日期（年份除外）的所有元素，包括出生日期、 入院日期、出院日期、死亡日期和确切年龄（如果超过 89 岁）
- 电话/传真号码
- 电子邮件地址
- 社会安全号码
- 病历号码
- 健康计划受益人号码
- 帐号
- 证书/许可证编号
- 车辆标识符和序列号，包括车牌号
- 设备标识符和序列号
- 通用资源定位器 (URL)
- 互联网协议(IP) 地址
- 生物识别标识符，包括指纹和声纹
- 全脸摄影图像和任何类似图像
- 任何其他可以识别个人身份的唯一识别号码或特征
*如果健康信息不包含上述引用的标识符之一 并且没有合理的依据相信该信息可用于识别 一个人，它不被认为是可单独识别的，因此会 不被视为PH我。
文档结束。
修订版 2016 年 11 月 30 日