Nem toda informação possui o mesmo valor para a organização. Classificar a informação é o processo de atribuir a cada ativo um nível de criticidade, de modo que os controles de proteção sejam proporcionais ao risco envolvido.

A classificação evita dois extremos igualmente prejudiciais: proteger de forma insuficiente dados sensíveis e gastar recursos excessivos protegendo informações de baixo impacto.

Níveis de Classificação

Pública: informação que pode ser divulgada livremente, sem prejuízo à organização, como materiais de marketing e relatórios institucionais.

Interna: destinada ao público interno. Sua divulgação não causa dano grave, mas compromete a eficiência ou a imagem da instituição.

Confidencial: restrita a grupos específicos. Sua exposição pode gerar perdas financeiras, jurídicas ou competitivas.

Secreta ou Restrita: nível máximo de proteção, reservado a informações estratégicas cuja divulgação causaria dano severo.

Ciclo de Vida da Informação

A proteção deve acompanhar todas as fases do ciclo: criação, armazenamento, transporte, manuseio e descarte.

O descarte é frequentemente negligenciado. Mídias devem ser destruídas fisicamente ou sobrescritas com técnicas de sanitização, pois a simples exclusão lógica não remove os dados do dispositivo.