Какво попълнявам при въпроса относно класификацията на данни

Класификацията на данни е част от политиката за управление на достъпа, не от криптографията

Класификацията на данни попада в въпросника обикновено под по-широкия блок политика за управление на достъпа и управление на активи на предприятието — не под блока за криптиране, където някои попълващи го поставят по погрешка. Въпросът проверява дали разпределяш данни по степен на чувствителност (например публични, вътрешни, поверителни, секретни) и дали към това разпределение наистина са свързани различни права на достъп и правила за обработка. Етикет без последствия не се счита за класификация.

Ако нямаш схема за класификация, тогава "не" е честният отговор — не "н/п". Някои клиенти приемат като преходна стъпка неформално разпределение, докато можеш да покажеш кои системи съдържат какви данни и кой има достъп до тях. Това директно се отнася към въпроса е ли определена политиката за достъп, включително управлението на активите: без актуален преглед на активите на предприятието (инвентар на активи) класификацията е така или иначе трудна за обосноваване. Ако имаш схема, но нямаш документ, качи самия документ на политиката или преглед на класификацията; устна договорка не е достатъчна като доказателство.

Откъде идва това: Приложение A и член 21, параграф 2

ISO/IEC 27001 Приложение A посочва класификацията на информация като контролна мярка, свързана с по-широкото изискване за управление на активи на предприятието (управление на активи). NIS2, член 21, параграф 2, не споменава класификацията на данни като отделно понятие, но десетте мерки от този параграф включват политика за управление на достъпа и защита на информационните системи като цяло — класификацията е инструментът в рамките на това, за да се определи кое ниво на защита е необходимо където. Ако сам си субект по Закона за кибербезопасността, тогава това е един от компонентите, които органът по надзор може конкретно да поиска; проверете това чрез е ли предприятието само под NIS2-директивата или национално прилагане на нея. Ако имаш сертификат по ISO 27001, класификацията обикновено вече е установена в обхвата на твоята система за информационна безопасност и можеш да се позовеш директно на нея.