hvad udfylder jeg ved spørgsmålet om dataklassificering

Dataclassificering hører under adgangskontrol, ikke under kryptering

Dataclassificering falder i spørgeskemaet normalt under det bredere område adgangskontrol og styring af virksomhedsressourcer — ikke under området kryptering, hvor nogle udfyldere ved et uheld placerer det. Spørgsmålet tester, om du kategoriserer data efter følsomhed (for eksempel offentligt, internt, fortroligt, hemmeligt) og om der faktisk hænger forskellige adgangsrettigheder og behandlingsregler på denne kategorisering. Et label uden konsekvenser tæller ikke som klassificering.

Hvis du ikke har et klassificeringsomfang, er "nej" det ærlige svar — ikke "ikke relevant". Nogle kunder accepterer som et mellemtrin en uformel kategorisering, så længe du kan vise, hvilke systemer der indeholder hvilke data, og hvem der har adgang til dem. Det rammer direkte spørgsmålet er tilgangspolitikken fastlagt, herunder styring af virksomhedens ressourcer: uden et aktuelt overblik over virksomhedsressourcer (asset inventory) er klassificering alligevel svært at underbygge. Hvis du har et omfang, men intet bevisstykke, upload da politikdokumentet eller klassificeringssammendraget selv; en mundtlig aftale duer ikke som bevis.

Hvor dette stammer fra: Annex A og artikel 21, stk. 2

ISO/IEC 27001 Annex A nævner klassificering af information som kontrolforanstaltning, koblet til det bredere krav om styring af virksomhedsressourcer (asset management). NIS2, artikel 21, stk. 2, nævner dataclassificering ikke som et særskilt ord, men de ti foranstaltninger i dette punkt omfatter adgangskontrol og sikring af informationssystemer som helhed — klassificering er instrumentet hertil til at bestemme, hvilket beskyttelsesniveau der er nødvendigt, hvor. Hvis du selv er en enhed under Cybersikkerhedsloven, er dette en af de elementer, som en tilsynsmyndighed konkret kan spørge om; kontroller det via er virksomheden omfattet af NIS2-direktivet eller dets nationale gennemførelse. Hvis du har et ISO 27001-certifikat, ligger klassificering normalt allerede fast inden for rammerne af dit informationssikkerhedssystem og kan du direkte henvise til det.