Devem estar claramente definidos na política de segurança da informação os níveis de classificação da informação e o tratamento mais adequado para cada nível de classificação. Geralmente a informação é classificada como pública, interna, confidencial ou restrita, mas podem existir outros níveis, de acordo com a necessidade do negócio.
INFORMAÇÃO PÚBLICA
A informação deve ser classificada como pública quando ela puder ser divulgada a todos, isto é, funcionários, terceirizados, clientes, fornecedores e público em geral, sem que isso provoque impactos no negócio. Apesar de uma informação pública não precisar de nenhum tipo de proteção quanto à questão do sigilo, é conveniente que usuário nenhum tenha acesso a ela, a menos que precise de tal informação para o desempenho de suas atividades.
INFORMAÇÃO INTERNA
A informação deve ser classificada como interna quando não for desejável que ela se torne conhecida por pessoas de fora da organização. Contudo, caso haja vazamento e ela se torne de conhecimento público, é característica da informação classificada como interna a impossibilidade da ocorrência de um grande prejuízo à organização.
Como são informações relevantes para o funcionamento dos negócios, precisam principalmente ter sua integridade protegida.
INFORMAÇÃO CONFIDENCIAL
A informação deve ser classificada como confidencial quando sua exposição fora do ambiente da organização possa acarretar em perdas financeiras, de imagem, de competitividade etc.
Para proteção de uma informação confidencial, se faz necessário, além de controles de acesso, controles que garantam sua integridade, pois são informações importantíssimas para as atividades do negócio. Informações confidenciais, por exemplo, jamais podem ser transmitidas via Internet sem o uso de criptografia e, quando descartadas, devem ser tomadas as providências cabíveis para que a informação seja de fato destruída, sem chance de recuperação.
INFORMAÇÃO RESTRITA
A informação deve ser classificada como restrita quando acessos não autorizados a ela, mesmo que por membros da própria organização, sejam capazes de trazer sérios danos ao negócio. Logo, a informação restrita precisa ser protegida contra acessos internos e externos. São ainda mais importantes que as informações confidenciais e por isso devem receber um grau de proteção ainda mais elevado.
Só devem ter acesso a informações restritas pessoas que necessitem dessas informações para a realização de suas atividades, independentemente do cargo ocupado.
MACHADO, Marcel Jacques. Segurança da Informação: uma Visão Geral sobre as Soluções Adotadas em Ambientes Organizacionais. Curitiba: UFPR, 2012. Trabalho de Graduação – Bacharelado em Ciência da Computação, Universidade Federal do Paraná, Curitiba, 2012.