τι συμπληρώνω στην ερώτηση σχετικά με την ταξινόμηση δεδομένων

Η ταξινόμηση δεδομένων ανήκει στην πολιτική πρόσβασης, όχι στην κρυπτογραφία

Η ταξινόμηση δεδομένων εμπίπτει στη λίστα ερωτήσεων συνήθως στο ευρύτερο τμήμα πολιτικής πρόσβασης και διαχείρισης περιουσιακών στοιχείων — όχι στο τμήμα κρυπτογράφησης, όπου ορισμένοι συμπληρωτές το τοποθετούν κατά λάθος. Το ερώτημα δοκιμάζει εάν ταξινομείς τα δεδομένα σου σύμφωνα με την ευαισθησία (για παράδειγμα δημόσιο, εσωτερικό, εμπιστευτικό, μυστικό) και εάν σε αυτήν την ταξινόμηση συνδέονται επίσης διαφορετικά δικαιώματα πρόσβασης και κανόνες επεξεργασίας. Ένα ετικέτα χωρίς συνέπειες δεν υπολογίζεται ως ταξινόμηση.

Εάν δεν έχεις σχήμα ταξινόμησης, τότε το "όχι" είναι η ειλικρινής απάντηση — όχι "δ/α". Ορισμένοι πελάτες δέχονται ως ενδιάμεσο στάδιο μια άτυπη ταξινόμηση, αρκεί να μπορείς να δείξεις ποια συστήματα περιέχουν ποια δεδομένα και ποιος έχει πρόσβαση σε αυτά. Αυτό αγγίζει άμεσα το ερώτημα έχει καθοριστεί η πολιτική πρόσβασης, συμπεριλαμβανομένης της διαχείρισης των περιουσιακών στοιχείων της επιχείρησης: χωρίς ένα τρέχον απόγραφο των περιουσιακών στοιχείων (asset inventory) είναι δύσκολο να τεκμηριωθεί η ταξινόμηση ούτως ή άλλως. Εάν έχετε μεν ένα σχήμα αλλά όχι αποδεικτικό στοιχείο, τότε φορτώστε το ίδιο το έγγραφο πολιτικής ή το απόγραφο ταξινόμησης· μια προφορική συμφωνία δεν αρκεί ως απόδειξη.

Πηγή αυτού: Annex A και άρθρο 21 παράγραφος 2

Το ISO/IEC 27001 Annex A αναφέρει την ταξινόμηση των πληροφοριών ως μέτρο ελέγχου, συνδεδεμένο με την ευρύτερη απαίτηση για διαχείριση περιουσιακών στοιχείων (asset management). Το NIS2, άρθρο 21 παράγραφος 2, δεν αναφέρει την ταξινόμηση δεδομένων ως ξεχωριστή λέξη, αλλά τα δέκα μέτρα αυτής της παραγράφου περιλαμβάνουν την πολιτική πρόσβασης και την ασφάλεια των συστημάτων πληροφοριών συνολικά — η ταξινόμηση είναι το εργαλείο για τον προσδιορισμό του απαιτούμενου επιπέδου προστασίας σε κάθε περίπτωση. Εάν είστε ο ίδιος οντότητα βάσει του Νόμου Κυβερνοασφάλειας, τότε αυτό είναι ένα από τα στοιχεία που ένας εποπτικός φορέας μπορεί να ζητήσει συγκεκριμένα· ελέγξτε αυτό μέσω υπόκειται η επιχείρηση στην ίδια την Οδηγία NIS2 ή την εθνική εφαρμογή της. Εάν διαθέτεις πιστοποίηση ISO 27001, η ταξινόμηση είναι συνήθως ήδη καθορισμένη στο πεδίο εφαρμογής του συστήματος διαχείρισης της ασφάλειας των πληροφοριών σου και μπορείς να παραπέμψεις απευθείας σε αυτό.