Клиентът пита как класифицираме чувствителната информация, какъв е нашият отговор

Класификацията на чувствителни данни попада под управлението на активи и политиката на достъп

Този въпрос се отнася до мярката за бизнес ресурси и достъп от член 21, параграф 2 на NIS2: да знаете каква информация имате, колко чувствителна е тя и кой има право да й достъп. Самата класификационна схема не е отделен списък в член 21 — това е практическото прилагане, с което можете да подкрепите политиката на достъп и криптографската политика. Клиентите обикновено питат това, за да проверят дали правите разграничение между публична, вътрешна, конфиденциална и строго конфиденциална информация, и дали има конкретни правила, които да я придружават: кой има право да я вижда, как се криптира, как дълго се съхранява.

Ако нямаш формална схема за класификация с етикети и правила за всяко ниво, честният отговор е "не" или "частично" — не попълвай, че съществува, само защото неформално прави разлика между чувствително и нечувствително. Ако работиш със схема, но не е внедрена навсякъде, посочи това така; частично внедрена политика е нещо различно от установена политика. Това е в преки връзка с политиката за достъп и управлението на активитезащото без класификация достъпът на базата на чувствителност не може да бъде добре обоснован. Ако работиш с криптиране на поверителни файлове, това е доказателството за политиката за криптография — свържете този отговор в досието.

Където това е посочено в директивата и стандарта

Член 21, параграф 2 на NIS2 посочва "политика за оценка на риска и защита на информационните системи" и "политика и процедури относно използването на криптография" като две от десетте мерки; класификацията на данните е връзката между тях, не самостоятелна точка. В ISO/IEC 27001 това е формулирано по-експлицитно: Приложение А съдържа мерки за управление на класификацията на информацията и етикетирането на активи според нивото на чувствителност. Ако имаш ISO сертификат, то е веднага най-силното доказателство за този отговор — проверете дали се намира в досието ви чрез статусът на ISO 27001 сертификата. Законът за киберсигурност, нидерландската трансформация на NIS2, която влиза в сила на 15 август 2026 г., това не променя: десетте мерки се връщат без изменения.