cosa inserisco alla domanda sulla classificazione dei dati

La classificazione dei dati rientra nella politica di accesso, non nella crittografia

La classificazione dei dati rientra solitamente nel blocco più ampio della politica di accesso e della gestione dei beni aziendali — non nel blocco della crittografia, dove alcuni compilatori la collocano per errore. La domanda verifica se classifichi i dati in base alla sensibilità (ad esempio pubblico, interno, riservato, segreto) e se a questa classificazione corrispondono effettivamente diritti di accesso diversi e regole di elaborazione diverse. Un'etichetta senza conseguenze non conta come classificazione.

Se non hai uno schema di classificazione, la risposta onesta è "no" — non "n.a.". Alcuni clienti accettano come fase intermedia una classificazione informale, purché tu possa dimostrare quali sistemi contengono quali dati e chi vi ha accesso. Questo tocca direttamente la domanda è stata definita la politica di accesso, inclusa la gestione dei beni aziendali: senza un inventario attuale dei beni aziendali (asset inventory) è comunque difficile fondare la classificazione. Se hai uno schema ma nessun documento probante, carica il documento di politica o l'elenco di classificazione stesso; un accordo verbale non è sufficiente come prova.

Da dove viene: Annex A e articolo 21 comma 2

ISO/IEC 27001 Annex A menziona la classificazione delle informazioni come misura di controllo, collegata al requisito più ampio di gestione dei beni aziendali (asset management). NIS2, articolo 21 comma 2, non menziona la classificazione dei dati come parola separata, ma le dieci misure contenute in quel comma includono la politica di accesso e la sicurezza dei sistemi informativi nel complesso — la classificazione è lo strumento utilizzato per determinare quale livello di protezione è necessario dove. Se sei tu stesso un'entità secondo la Legge sulla cibersicurezza, questa è una delle parti che un'autorità di vigilanza può chiederti concretamente; verificalo tramite l'azienda è soggetta alla direttiva NIS2 o alla relativa attuazione nazionale. Se hai una certificazione ISO 27001, la classificazione di solito è già fissata nell'ambito di applicazione del tuo sistema di gestione della sicurezza delle informazioni e puoi fare diretto riferimento ad essa.