TLP 2.0: zasady udostępniania to nie klasyfikacja danych

10 października Jan Kopriva w SANS Internet Storm Center zwrócił uwagę na mylenie Traffic Light Protocol z wewnętrzną klasyfikacją informacji. To komentarz autora o sposobie stosowania oznaczeń, a nie ogłoszenie nowej wersji standardu. Źródło: analiza SANS o TLP i klasyfikacji.

Wniosek Breachroad: zespoły wymieniające raporty o zagrożeniach powinny sprawdzać osobno krąg odbiorców i zasady przetwarzania dokumentu. Dotyczy to analityków, administratorów, partnerów biznesowych oraz osób korzystających z asystentów AI. Kolor etykiety nie odpowiada samodzielnie na wszystkie pytania o sposób pracy z informacją.

Co oznaczają etykiety

Według FIRST TLP 2.0 określa granice udostępniania; nie zastępuje formalnej klasyfikacji ani reguł szyfrowania.

Oznaczenie	Krąg udostępniania
TLP:RED	Wyłącznie wskazani indywidualni odbiorcy.
TLP:AMBER	Organizacja i jej klienci, zgodnie z potrzebą wiedzy.
TLP:AMBER+STRICT	Tylko organizacja, zgodnie z potrzebą wiedzy.
TLP:GREEN	Określona społeczność, bez kanałów publicznych.
TLP:CLEAR	Bez ograniczeń TLP, z zachowaniem praw autorskich.

Szersze udostępnienie wymaga zgody źródła. Przy niezdefiniowanej społeczności GREEN domyślnie chodzi o społeczność obrony cyberbezpieczeństwa. Źródło definicji: oficjalny standard FIRST TLP 2.0.

Dwa pytania przed przekazaniem raportu

Poniższy sposób pracy jest naszą rekomendacją, a nie dodatkową etykietą TLP. Najpierw ustal, czy zamierzony odbiorca mieści się w dozwolonym kręgu. Zapisz, o którą osobę, organizację lub grupę chodzi i czy istnieją dodatkowe instrukcje nadawcy. Sam fakt współpracy z odbiorcą nie zastępuje tego ustalenia.

Następnie sprawdź, czy planowane narzędzie i sposób przetwarzania są dopuszczone przez organizację. Czy dokument trafi do zatwierdzonej przestrzeni? Kto ma do niej dostęp? Czy pozostaną w niej dane osobowe, szczegóły architektury albo identyfikatory klientów? Te pytania dotyczą konkretnego materiału, a nie samego koloru.

Proponujemy zapisywać wynik obu decyzji w jednym zgłoszeniu. Osoba wykonująca zadanie powinna widzieć dopuszczonych odbiorców, miejsce przechowywania, cel przekazania i właściciela ewentualnych wątpliwości. Dzięki temu kolejna zmiana zespołu nie musi odtwarzać uzasadnienia z rozmowy na komunikatorze.

Przykład: partner prosi o pełny raport

Zespół otrzymuje raport z ograniczeniem kręgu odbiorców. Partner obsługujący projekt prosi o całą kopię, ponieważ chce zrozumieć zalecenia. To hipotetyczny scenariusz szkoleniowy. Poprawna decyzja wymaga ustalenia warunków udostępnienia, a nie założenia, że relacja handlowa automatycznie je spełnia.

Nasza rekomendacja: wskaż właściciela raportu i sprawdź zakres potrzeb partnera. Gdy planowane przekazanie wykracza poza upoważnienie, uzyskaj decyzję źródła przed wysyłką. Nie zakładaj też, że streszczenie usuwa ograniczenia: może nadal zawierać te same chronione szczegóły. Uzgodniony, ograniczony materiał bywa wystarczający, ale jego dopuszczalność również trzeba sprawdzić.

W ćwiczeniu warto wymagać krótkiego uzasadnienia decyzji. Odpowiedź powinna wyjaśniać, jakie informacje były dostępne i czego jeszcze brakowało. Sama nazwa koloru nie pokazuje, czy uczestnik potrafi zastosować regułę do rzeczywistego odbiorcy.

Przykład: podsumowanie przez asystenta AI

Drugi pracownik chce wkleić ten sam materiał do narzędzia AI. W naszej ocenie wymaga to odrębnego sprawdzenia usługi, konta, zakresu danych i zasad organizacji. Nie traktuj etykiety TLP jako automatycznej zgody na użycie dowolnej aplikacji do przetwarzania raportu.

Zalecamy przygotować zatwierdzony sposób wykonywania takich podsumowań oraz jasną ścieżkę zgłoszenia, gdy narzędzie lub dokument budzi wątpliwości. Pracownik potrzebuje odpowiedzi praktycznej: gdzie może wykonać zadanie i kto rozstrzyga wyjątek. Sama lista zakazów nie uczy podjęcia tej decyzji.

W dyskusji szkoleniowej można użyć fikcyjnego raportu i fikcyjnej przestrzeni roboczej. Uczestnicy wskażą miejsce docelowe, przekazywane dane i brakującą decyzję bez wysyłania poufnego materiału. To nasza propozycja ćwiczenia, a nie wymóg standardu.

Co przećwiczyć z zespołem

Na szkoleniu porównaj trzy decyzje: przekazanie raportu partnerowi, publikację fragmentu oraz podsumowanie w zatwierdzonym narzędziu. Poproś uczestników o wskazanie odbiorcy, celu i brakującego upoważnienia lub informacji. To rekomendowany przez nas format ćwiczenia wiedzy; nie wymaga używania prawdziwych poufnych dokumentów.

Więcej o wykorzystaniu raportów znajdziesz w przewodniku po cyklu threat intelligence. Jeżeli chcesz uporządkować decyzje o udostępnianiu danych i użyciu AI, sprawdź szkolenia z cyberbezpieczeństwa dla organizacji.