asiakas kysyy, kuinka me luokittelemme arkaluontoiset tiedot, mikä on vastauksemme

Arkaluonteisten tietojen luokittelu kuuluu omaisuudenhallintaan ja pääsynhallintaan

Tämä kysymys liittyy artiklan 21 kohdan 2 NIS2 -säännöksessä määriteltyyn liiketoimintaresursseja ja pääsyä koskevaan toimenpiteeseen: tietää, mitä tietoja sinulla on, kuinka arkaluonteisia ne ovat, ja kenen tulee päästä niihin. Luokittelukaavion itse ei ole erillinen luettelo artiklan 21 säännöksessä — se on käytännöllinen toteutus, jonka avulla voit perustella pääsynhallintaa ja salausperiaatteita. Asiakkaat kysyvät tätä yleensä tarkistaakseen, erottelitko julkiset, sisäiset, luottamukselliset ja tiukasti luottamukselliset tiedot, ja onko näillä konkreettisia sääntöjä: kuka saa tarkastella, miten salataan, kuinka kauan säilytetään.

Jos sinulla ei ole muodollista luokittelukaaviota merkintöjen ja sääntöjen kanssa kullakin tasolla, rehellinen vastaus on "ei" tai "osittain" — älä täytä sitä niin, että se on olemassa, koska epämuodollisesti tekeytyäkö erottaa arkaluonteisen ja muun välillä. Jos työskentelet kaavion kanssa mutta sitä ei ole täytetty kaikkialla, kerro siitä myös näin; osittain käyttöön otettu politiikka on jotain muuta kuin vahvistettu politiikka. Tämä liittyy suoraan pääsynhallintaan ja yritysvarojen hallintaansiihen, että ilman luokittelua ei voi hyvin perustella pääsyä arkaluonteisuuden perusteella. Jos työskentelet luottamuksellisten tiedostojen salauksella, se on todiste salausperiaatetta koskevan politiikan osalta — yhdistä tämä vastaus dossieressasi siihen.

Missä se on ohjausasiakirjassa ja standardissa

NIS2 :n artiklan 21 kohdan 2 säännöksessä mainitaan "riskien arviointia ja tietojärjestelmiä koskevat periaatteet" ja "salauksen käyttöä koskevat periaatteet ja menettelyt" kahtena kymmenen toimenpiteestä; tietojen luokittelu on silta niiden välillä, ei itsenäinen piste. ISO/IEC 27001 -standardissa tämä on selkeämmin ilmaistu: Liite A sisältää hallintamenetelmiä tiedon luokittelulle ja omaisuuden merkitsemiselle arkaluonteisuustason mukaan. Jos sinulla on ISO-sertifikaatti, se on välittömästi vahvin todiste tähän vastaukseen — tarkista, onko se dossieressasi kautta ISO 27001 -sertifikaatin tila. Kansallinen kyberturvallisuuslaki, NIS2 :n hollantilainen täytäntöönpano, joka astuu voimaan 15. elokuuta 2026, ei muuta tätä: kymmenen toimenpidettä tulevat muuttumattomina uudelleen.