küsimustik küsib andmete klassifitseerimise kohta, mida peaksin sisestama

Sensitiivsete andmete klassifitseerimine: artikkel 21 eraldi lahtreid ei sisalda

See kuulub artikli 21 lõike 2 alusel ligipääsupoliitika ja ärivahenditega seotud meetmete alla, mitte eraldiseisva nõude alla. Direktiiv nimetab "vara haldust" ja ligipääsupoliitikat kümne meetme punktis (d) ja see, et andmed klassifitseeritakse, on sellest loogiline alguspunkt: te ei saa piirata juurdepääsu tundlikele andmetele, kui te pole enne määratlenud, millised andmed on tundlikud. Kui küsimustik küsib klassifitseerimise kohta, siis see kuulub samade selgituste alla kui juurdepääsupoliitikat ja IT-varade haldust.

Konkreetselt soovib klient tavaliselt teada: kas teil on klassifikatsioon (näiteks avalik, sisemine, konfidentsiaalne, salajane), kas see klassifikatsioon on dokumendis fikseeritud, ja kas igale tasemele on seotud reeglid — kes võib seda näha, kuidas seda säilitatakse, kas see võib krüpteeritud kujul saadetud olla. Kui teil ei ole ametlikku klassifikatsiooni, kuid teil on loetelu tundlikest süsteemidest ja kes nendele juurde pääseb, saate seda sageli osalise tõendina esitada; vastus jääb siis "jah, selgitusega" asemel valmis "jah". Kui teil midagi ei ole fikseeritud, siis "ei" on aus vastus — klassifikatsiooni skeemi väljamõtlemine, et küsimustikku täita, ei anna tõendusdokumendi, kui klient selle järele küsib. Pöörake tähelepanu ka krüpteerimisega seotud kattuvusele: kui klassifitseerimine toob kaasa reeglid kõrgeima kategooria krüpteerimise kohta, kuulub see krüptograafiakorraldused.

Kus see regulatsioonides on

Direktiivi (EL) 2022/2555 artikli 21 lõike 2 alampunkti (d) ja (i) nimetavad ärivahenditest hoolitsemist ja ligipääsupoliitika kontrolli kahe kohustusliku meetmena kümne hulgast; andmete klassifitseerimine on nende kahe ühendamise kohaks. ISO/IEC 27001 käsitleb seda selgemalt: Lisa A omab eraldi kategooriat "information classification" ärivahenditega seotud juhtimismeetmete laiemal grupil. Kes on juba ISO 27001-sertifitseeritud, omab tavaliselt klassifikatsiooni skeemi oma juhtimissüsteemi kindla osana — vt ka küsimust, kas ettevõte on ISO 27001-sertifitseeritud. Küberneetilise julgeoleku seadus, NIS2 Hollandi ümberahutamine, jõustub 15. augustil 2026 ja kordab neid kümmet meetme ilma neid eraldi klassifikatsiooni-artiklitega täiendamata.