mit válaszoljak az adatbesorolásra vonatkozó kérdésre

Az adatok besorolása a hozzáférési szabályzathoz tartozik, nem a titkosításhoz

Az adatok besorolása a kérdőívben általában a tágabb hozzáférési szabályzat és az üzleti eszközök kezelésének blokkjához tartozik — nem a titkosítás blokkjához, ahol egyes kitöltők véletlenül elhelyezik. A kérdés azt teszteli, hogy az adatokat érzékenység alapján osztályozzák-e (például nyilvános, belső, bizalmas, titkos), és hogy ezzel az osztályozással valóban különböző hozzáférési jogok és feldolgozási szabályok járnak-e. A következmények nélküli címke nem számít besorolásnak.

Ha nincs osztályozási sémád, akkor az "nem" a tisztességes válasz — nem az "n.v.t.". Egyes ügyfelek köztes lépésként elfogadnak egy informális besorolást, mindaddig, amíg meg tudod mutatni, hogy mely rendszerek milyen adatokat tartalmaznak, és ki férhet hozzá azokhoz. Ez közvetlenül kapcsolódik a kérdéshez rögzítve van-e a hozzáférési szabályzat, beleértve az üzleti eszközök kezelését: egy aktuális eszközleltár (asset inventory) nélkül az osztályozás mindenképpen nehéz alátámasztani. Ha van ugyan egy sémád, de nincs bizonyítékod, akkor töltsd fel magát az irányelvdokumentumot vagy az osztályozási leltárt; szóbeli megállapodás nem elegendő bizonyítékként.

Ennek forrása: A melléklet és 21. cikk (2) bekezdés

Az ISO/IEC 27001 A. melléklete az információ osztályozását említi irányítási intézkedésként, amely az eszközkezelésre vonatkozó szélesebb körű követelménnyel van összekapcsolva (asset management). Az NIS2, 21. cikk (2) bekezdés nem említi az adatosztályozást külön kifejezésként, de az adott bekezdésből származó tíz intézkedés magában foglalja a hozzáférési szabályzatot és az információs rendszerek egészének biztonságát — az osztályozás ezen belül az az eszköz, amellyel meghatározható, hogy milyen szintű védelem szükséges. Ha te maga is entitás a Kiberbiztonság törvénye alapján, akkor ez az egyik olyan komponens, amelyet a felügyeleti hatóság konkréten megkérdezhet; ezt a „ tartozik-e a vállalkozás maga a NIS2-irányelvelet vagy annak nemzeti átültetése alá segítségével ellenőrizd. Ha ISO 27001-tanúsítvánnyal rendelkezel, akkor az osztályozás általában már rögzítve van az információbiztonsági irányítási rendszer alkalmazási körében, és közvetlenül erre hivatkozhatsz.