DIN 66399 pozwala dobrać sposób niszczenia do rodzaju informacji oraz poziomu ochrony, jakiego wymagają. W przypadku papieru stosuje się poziomy P-1-P-7: im wyższy poziom, tym mniejsze są dopuszczalne fragmenty materiału po zniszczeniu i tym większe wymagania dotyczące zabezpieczenia informacji. P-1 i P-2 odnoszą się do materiałów o niższych wymaganiach ochrony, P-3 do informacji wrażliwych i poufnych, P-4 do szczególnie wrażliwych i poufnych, natomiast P-5-P-7 przewidziano dla informacji tajnych oraz wymagających bardzo wysokich środków bezpieczeństwa.
W praktyce przedsiębiorstwo nie powinno więc rozpoczynać wyboru sposobu niszczenia od pytania „jaką niszczarkę zastosować?”, ale od ustalenia, jakie informacje znajdują się na dokumentach i jakie byłyby konsekwencje ich ujawnienia. Innego podejścia wymaga bowiem zwykła korespondencja wewnętrzna, innego dokumentacja pracownicza, a jeszcze innego materiały zawierające szczególnie chronione informacje biznesowe.
Co to jest DIN 66399?
DIN 66399 to norma odnosząca się do bezpiecznego niszczenia nośników informacji. Jedną z jej istotnych cech jest to, że nie ogranicza się wyłącznie do papieru.
Norma uwzględnia różne kategorie nośników, ponieważ sposób trwałego usunięcia informacji zależy również od tego, gdzie zostały zapisane.
Dla dokumentów papierowych i innych materiałów prezentujących informacje w oryginalnym rozmiarze stosowane jest oznaczenie P. W tej kategorii występuje siedem poziomów: od P-1 do P-7.
Oprócz tego DIN 66399 wyróżnia m.in. kategorie dotyczące nośników optycznych, magnetycznych, elektronicznych czy dysków twardych.
Dlatego określenie „DIN 66399 P-4” nie opisuje całej normy. Wskazuje konkretny poziom bezpieczeństwa dotyczący określonej kategorii nośnika – w tym przypadku papieru.
Co oznacza poziom bezpieczeństwa DIN 66399?
Najprościej można powiedzieć, że poziom bezpieczeństwa DIN 66399 określa wymagania dotyczące stopnia zniszczenia informacji.
W przypadku dokumentacji papierowej kolejne poziomy P oznaczają coraz większe rozdrobnienie materiału.
Im bardziej poufna informacja, tym większe znaczenie ma ograniczenie możliwości jej późniejszego odtworzenia.
Norma rozróżnia:
| Poziom | Typ informacji | Maksymalna powierzchnia fragmentu |
| P-1 | ogólne dane wymagające unieczytelnienia | 2000 mm² |
| P-2 | dane wewnętrzne | 800 mm² |
| P-3 | informacje wrażliwe i poufne | 320 mm² |
| P-4 | szczególnie wrażliwe i poufne informacje | 160 mm² |
| P-5 | informacje tajne | 30 mm² |
| P-6 | tajne informacje wymagające bardzo wysokich środków bezpieczeństwa | 10 mm² |
| P-7 | informacje ściśle tajne wymagające najwyższych środków bezpieczeństwa | 5 mm² |
Nie oznacza to jednak, że przedsiębiorstwo powinno automatycznie niszczyć wszystkie dokumenty na najwyższym poziomie. DIN 66399 ma właśnie pomóc dopasować poziom do rzeczywistego charakteru informacji.
Czym różnią się P-1 i P-2?
P-1 jest najniższym poziomem w kategorii dokumentów papierowych. Odnosi się do danych ogólnych, które mają zostać uczynione nieczytelnymi, ale nie wymagają szczególnych środków ochrony.
P-2 jest przeznaczony m.in. dla informacji wewnętrznych.
Można więc mówić tutaj o materiałach, których ujawnienie nie powodowałoby skutków porównywalnych z ujawnieniem dokumentacji zawierającej szczególnie wrażliwe dane osobowe, informacje finansowe czy tajemnice przedsiębiorstwa.
Nie należy jednak klasyfikować dokumentu wyłącznie na podstawie jego nazwy.
Ta sama kartka zatytułowana „notatka wewnętrzna” może zawierać zarówno neutralną informację organizacyjną, jak i poufne dane dotyczące pracownika, klienta albo sytuacji finansowej przedsiębiorstwa. W drugim przypadku sposób postępowania powinien odpowiadać rzeczywistej zawartości dokumentu.
Kiedy stosuje się DIN 66399 P-3?
P-3 jest poziomem przewidzianym dla dokumentów zawierających informacje wrażliwe i poufne.
W porównaniu z P-1 i P-2 wymagane jest znacznie większe rozdrobnienie materiału. Maksymalna powierzchnia fragmentu wynosi 320 mm².
Na tym poziomie zaczynamy więc mówić o dokumentach, których treść nie powinna być dostępna dla osób nieuprawnionych i które wymagają wyższego poziomu ochrony niż zwykłe materiały wewnętrzne.
Przy kwalifikacji konkretnej dokumentacji nadal należy jednak oceniać jej rzeczywistą zawartość i ryzyko związane z ewentualnym ujawnieniem.
Co oznacza DIN 66399 P-4?
DIN 66399 P-4 jest jednym z najważniejszych poziomów z perspektywy typowej dokumentacji firmowej wymagającej podwyższonej ochrony. Norma wskazuje go dla szczególnie wrażliwych i poufnych informacji.
W przypadku P-4 maksymalna powierzchnia ścinka wynosi 160 mm², a przy regularnych fragmentach ich szerokość nie może przekraczać 6 mm.
Przykładowym formatem spełniającym te wymagania może być ścinek 4 × 40 mm.
Najważniejsza nie jest jednak sama wielkość fragmentu, ale rodzaj informacji, który stoi za wyborem tego poziomu.
P-4 może być brany pod uwagę w przypadku dokumentacji zawierającej szczególnie wrażliwe lub poufne dane, gdy konsekwencje dostępu osób nieuprawnionych uzasadniają wyższy stopień zabezpieczenia niż w przypadku P-3.
Czy P-4 oznacza automatycznie „poziom RODO”?
Nie powinno się upraszczać DIN 66399 do zasady „RODO = P-4”.
RODO nie sprowadza wymagań dotyczących bezpieczeństwa danych do wskazania jednego uniwersalnego poziomu DIN dla każdego dokumentu zawierającego dane osobowe. Organizacja powinna stosować środki odpowiednie do charakteru danych i ryzyka.
Znaczenie ma więc to, jakie konkretnie informacje znajdują się w dokumentacji.
Lista obecności zawierająca podstawowe dane pracowników, rozbudowana dokumentacja kadrowa, dokumentacja medyczna czy raport zawierający szczególnie poufne informacje nie powinny być automatycznie traktowane jako materiały o identycznym poziomie ryzyka tylko dlatego, że wszystkie zawierają dane osobowe.
Dlatego DIN 66399 najlepiej traktować jako narzędzie pomagające przełożyć klasyfikację informacji na wymagania dotyczące fizycznego niszczenia nośnika.
Kiedy potrzebny może być P-5?
P-5 jest przeznaczony dla dokumentów zawierających informacje tajne.
Różnica względem P-4 jest bardzo duża również pod względem fizycznego rozdrobnienia papieru. Przy P-4 maksymalna powierzchnia fragmentu wynosi 160 mm², podczas gdy przy P-5 jest to już tylko 30 mm².
Szerokość regularnego fragmentu dla P-5 nie powinna przekraczać 2 mm.
Poziom ten znajduje zastosowanie wtedy, gdy charakter informacji uzasadnia wyższy poziom zabezpieczenia i konsekwencje ich ujawnienia byłyby szczególnie poważne.
Mogą to być np. określone dokumenty dotyczące strategicznych decyzji przedsiębiorstwa, poufnych projektów, informacji finansowych czy działalności badawczo-rozwojowej – jeżeli ich rzeczywista zawartość i klasyfikacja wymagają tak wysokiej ochrony.
Dla kogo przeznaczone są P-6 i P-7?
P-6 i P-7 znajdują się na najwyższym końcu skali bezpieczeństwa dokumentów papierowych.
P-6 jest przewidziany dla tajnych informacji, przy których wymagane są wyjątkowo wysokie środki bezpieczeństwa. Maksymalna powierzchnia fragmentu wynosi tutaj 10 mm².
P-7 dotyczy natomiast informacji ściśle tajnych wymagających najwyższych środków bezpieczeństwa. Maksymalna powierzchnia fragmentu zostaje ograniczona do 5 mm².
Nie są to więc poziomy, które przeciętne przedsiębiorstwo powinno stosować automatycznie do całej swojej dokumentacji.
Wybór najwyższego możliwego poziomu „na wszelki wypadek” nie jest istotą DIN 66399. Celem klasyfikacji jest dopasowanie zabezpieczenia do rzeczywistego ryzyka.
Jak dobrać poziom DIN 66399 do dokumentu?
Najlepiej rozpocząć od czterech pytań.
Po pierwsze: jakie informacje zawiera dokument?
Trzeba ustalić, czy mamy do czynienia ze zwykłą informacją wewnętrzną, danymi poufnymi, szczególnie wrażliwymi informacjami czy materiałami tajnymi.
Po drugie: kto powinien mieć dostęp do informacji?
Im bardziej ograniczona grupa uprawnionych osób, tym większego znaczenia nabiera właściwe zabezpieczenie dokumentacji.
Po trzecie: jakie byłyby skutki ujawnienia?
Inne konsekwencje powoduje poznanie przez osobę postronną starego harmonogramu spotkań, a inne ujawnienie danych pracowników, wyników finansowych, poufnych warunków umów czy dokumentacji strategicznej.
Po czwarte: czy istnieją dodatkowe wymagania prawne, umowne lub organizacyjne?
Niektóre organizacje mają własne polityki bezpieczeństwa albo zobowiązania wynikające z umów z klientami i kontrahentami. One również mogą wpływać na sposób niszczenia.
Dopiero odpowiedzi na te pytania pozwalają rozsądnie dobrać poziom bezpieczeństwa.
Jak może wyglądać dobór poziomu w praktyce?
Najłatwiej zobaczyć różnice na przykładach.
Przykład 1: zwykła korespondencja wewnętrzna
Firma porządkuje stare materiały organizacyjne, które nie zawierają danych wymagających podwyższonej ochrony.
W zależności od rzeczywistej zawartości dokumentacji mogą tutaj wystarczyć niższe poziomy przewidziane dla danych ogólnych lub wewnętrznych.
Przykład 2: dokumentacja zawierająca informacje poufne
Dokumenty zawierają dane, które nie powinny być dostępne poza określonym kręgiem pracowników.
W takim przypadku należy rozważyć poziom odpowiadający informacjom wrażliwym i poufnym, czyli co najmniej właściwą klasyfikację wynikającą z rzeczywistego poziomu ryzyka.
Przykład 3: szczególnie wrażliwa dokumentacja firmowa
Przedsiębiorstwo niszczy dokumentację zawierającą szczególnie wrażliwe i poufne informacje.
W tym przypadku odpowiednim punktem odniesienia staje się P-4, przeznaczony właśnie dla takiej kategorii danych.
Przykład 4: informacje o charakterze tajnym
Jeżeli przedsiębiorstwo posiada dokumenty rzeczywiście sklasyfikowane jako tajne lub informacje o porównywalnym poziomie wymaganej ochrony, zastosowanie mogą znaleźć P-5 albo wyższe poziomy – zależnie od charakteru danych i wymaganych środków bezpieczeństwa.
Przykłady nie powinny być jednak traktowane jako automatyczna klasyfikacja każdego dokumentu określonego rodzaju. O poziomie powinien decydować charakter informacji, a nie sama nazwa dokumentu.
Dlaczego nie warto wybierać poziomu tylko na podstawie rodzaju dokumentu?
To jedna z najważniejszych praktycznych zasad.
Weźmy umowę.
Jedna może zawierać standardowe warunki zakupu prostego produktu. Druga – poufne ceny, indywidualne warunki handlowe, informacje o technologii, dane osób fizycznych i postanowienia objęte obowiązkiem zachowania poufności.
Oba dokumenty nazywają się „umowa”, ale potencjalne skutki ich ujawnienia są zupełnie inne.
Podobnie może być z fakturami, raportami, dokumentacją kadrową czy korespondencją.
Dlatego prawidłowy proces powinien wyglądać następująco:
rodzaj informacji → ocena wymaganej ochrony → dobór poziomu bezpieczeństwa → odpowiednia metoda niszczenia.
Nie odwrotnie.
Jak DIN 66399 odnosi się do innych nośników niż papier?
To ważne, ponieważ współczesne przedsiębiorstwo przechowuje informacje nie tylko w segregatorach.
DIN 66399 przewiduje oddzielne kategorie dla różnych typów nośników:
- P – informacje prezentowane w oryginalnym rozmiarze, np. papier,
- F – informacje prezentowane w pomniejszeniu, np. mikrofilmy,
- O – nośniki optyczne, np. CD i DVD,
- T – nośniki magnetyczne,
- H – magnetyczne dyski twarde,
- E – elektroniczne nośniki danych, m.in. pamięci flash i SSD.
Oznacza to, że poziomu P-4 nie powinno się bezpośrednio przenosić na dysk SSD czy dysk HDD. Są to inne kategorie nośników i norma określa dla nich osobne wymagania.
Ma to duże znaczenie podczas likwidacji archiwum albo wymiany infrastruktury IT, gdy jednocześnie niszczone są dokumenty papierowe i nośniki cyfrowe.
Jak standard DIN 66399 wykorzystuje Vexar?
Vexar odwołuje się do DIN 66399 jako standardu pozwalającego określić wymagania dotyczące niszczenia dokumentów i nośników informacji. Firma udostępnia również zestawienie siedmiu poziomów bezpieczeństwa dla papieru oraz klas ochrony odpowiadających różnym poziomom poufności.
W przypadku przedsiębiorstwa oznacza to możliwość powiązania rodzaju przekazywanej dokumentacji z odpowiednim standardem jej zniszczenia.
Sama technologia niszczenia jest jednak tylko jednym elementem procesu. Znaczenie ma również sposób postępowania z dokumentacją przed jej fizycznym zniszczeniem.
Vexar oferuje profesjonalne niszczenie dokumentów obejmujące m.in. odbiór dokumentacji, jej bezpieczny transport, kontrolowany proces niszczenia oraz wydanie certyfikatu zniszczenia. Możliwa jest zarówno realizacja jednorazowa, jak i stała obsługa w systemie pojemnikowym.
Dzięki temu standard bezpieczeństwa można odnieść nie tylko do samego końcowego rozdrobnienia papieru, ale do całej organizacji procesu postępowania z dokumentacją przeznaczoną do usunięcia.
Czy wyższy poziom DIN zawsze oznacza lepszy wybór?
Wyższy numer oznacza wyższe wymagania dotyczące zniszczenia materiału, ale nie oznacza automatycznie, że każda organizacja powinna wybierać P-7.
Norma została opracowana właśnie po to, aby różnicować poziomy bezpieczeństwa.
Jeżeli materiał zawiera dane o niewielkim stopniu poufności, stosowanie wymagań przewidzianych dla informacji ściśle tajnych może być nieadekwatne do rzeczywistego ryzyka.
Z drugiej strony zbyt niski poziom może nie odpowiadać charakterowi informacji znajdujących się w dokumentacji.
Najlepszym rozwiązaniem jest więc nie maksymalizacja poziomu, lecz prawidłowe dopasowanie poziomu ochrony do informacji.
DIN 66399 P-4 czy P-5 – jak rozpoznać różnicę?
Granica wynika przede wszystkim z klasyfikacji informacji.
P-4 jest przewidziany dla szczególnie wrażliwych i poufnych danych. P-5 dotyczy już informacji tajnych.
Różnicę dobrze pokazują także wymagania techniczne. Dopuszczalna maksymalna powierzchnia fragmentu zmniejsza się ze 160 mm² przy P-4 do zaledwie 30 mm² przy P-5.
Jeżeli organizacja nie jest pewna klasyfikacji dokumentów, warto najpierw uporządkować wewnętrzne zasady dotyczące poufności informacji, zamiast wybierać poziom niszczenia wyłącznie na podstawie nazwy dokumentu.
Co sprawdzić przed przekazaniem dokumentacji do zniszczenia?
Przed fizycznym zniszczeniem należy upewnić się przede wszystkim, że dana dokumentacja rzeczywiście może zostać usunięta.
Poziom DIN odpowiada na pytanie jak bezpiecznie zniszczyć informację, ale nie określa automatycznie, kiedy dokument wolno zniszczyć.
To dwa odrębne zagadnienia.
Najpierw trzeba więc uwzględnić obowiązujące okresy przechowywania, wymagania prawne, umowne oraz wewnętrzne zasady organizacji. Dopiero dokumentacja prawidłowo zakwalifikowana do usunięcia powinna zostać skierowana do procesu niszczenia.
Przy większych archiwach takie podejście pozwala uniknąć zarówno przedwczesnego usunięcia dokumentów, jak i bezterminowego przechowywania materiałów, które nie są już potrzebne.
Jak podejść do DIN 66399 w praktyce?
Najważniejsze jest odejście od myślenia, że wszystkie dokumenty firmowe można niszczyć identycznie.
DIN 66399 tworzy uporządkowany system, dzięki któremu można powiązać charakter informacji z wymaganym stopniem jej fizycznego zniszczenia.
Dla papieru skala rozpoczyna się od P-1, przeznaczonego dla danych ogólnych wymagających unieczytelnienia, i kończy na P-7, stosowanym wobec informacji wymagających najwyższych środków bezpieczeństwa.
W typowym przedsiębiorstwie szczególne znaczenie mogą mieć poziomy pośrednie, w tym DIN 66399 P-4, jednak właściwy wybór powinien zawsze wynikać z charakteru dokumentacji i oceny ryzyka.
Samo rozdrobnienie papieru jest natomiast końcowym etapem większego procesu. Dokumenty powinny być odpowiednio kwalifikowane, zabezpieczone przed dostępem osób nieuprawnionych, bezpiecznie przekazane do zniszczenia, a realizacja procesu odpowiednio udokumentowana.
FAQ – poziomy bezpieczeństwa DIN 66399
Ile poziomów bezpieczeństwa dla papieru określa DIN 66399?
Dla kategorii P norma wyróżnia siedem poziomów – od P-1 do P-7. Wraz ze wzrostem numeru zwiększają się wymagania dotyczące stopnia rozdrobnienia materiału.
Co oznacza DIN 66399 P-4?
P-4 jest poziomem przeznaczonym dla szczególnie wrażliwych i poufnych informacji. Maksymalna powierzchnia fragmentu wynosi 160 mm², a dla regularnych fragmentów ich szerokość nie może przekraczać 6 mm.
Czy P-4 jest wystarczający do dokumentów z danymi osobowymi?
Nie należy stosować zasady, że każdy dokument zawierający dane osobowe automatycznie wymaga P-4. Właściwy poziom powinien wynikać z rodzaju informacji, poziomu poufności, ryzyka oraz wymagań obowiązujących daną organizację.
Czym różni się P-4 od P-5?
P-4 odnosi się do szczególnie wrażliwych i poufnych informacji, natomiast P-5 jest przeznaczony dla informacji tajnych. Dopuszczalna maksymalna powierzchnia fragmentu wynosi odpowiednio 160 mm² i 30 mm².
Jaki jest najwyższy poziom DIN 66399 dla dokumentów papierowych?
Najwyższym poziomem kategorii P jest P-7. Dotyczy informacji ściśle tajnych wymagających najwyższych środków bezpieczeństwa.
Czy DIN 66399 dotyczy tylko papieru?
Nie. Norma obejmuje również inne rodzaje nośników informacji. Stosowane są m.in. kategorie O dla nośników optycznych, H dla magnetycznych dysków twardych oraz E dla elektronicznych nośników danych.
Czy im wyższy poziom DIN, tym lepiej?
Wyższy poziom oznacza bardziej rygorystyczne wymagania dotyczące zniszczenia materiału, ale powinien być dopasowany do rzeczywistego poziomu poufności informacji. Celem nie jest automatyczne wybieranie P-7 dla każdego dokumentu.
Czy DIN 66399 określa, jak długo trzeba przechowywać dokumenty?
Nie. Norma dotyczy bezpieczeństwa niszczenia nośników informacji. Okres przechowywania dokumentacji wynika z innych przepisów, wymagań lub zasad obowiązujących daną organizację.