ką rašau atsakyme į klausimą apie duomenų klasifikaciją

Duomenų klasifikacija priklauso prieigos politikai, o ne šifravimui

Duomenų klasifikacija klausimyne paprastai patenka į platesnį prieigos politikos ir įmonės turto valdymo bloką — ne į šifravimo bloką, kuriame kai kurie respondentai jį netyčia deda. Klausimas tikrina, ar skirstai duomenis pagal jautrumą (pavyzdžiui, viešas, vidinis, konfidencialus, slaptas) ir ar tą skirstymą tikrai lydi skirtingos prieigos teisės ir tvarkymo taisyklės. Žyma be pasekmių nepriskaičiuojama kaip klasifikacija.

Jei neturi klasifikavimo schemos, "ne" yra sąžingas atsakymas — o ne "n/a". Kai kurie klientai kaip tarpetapį priima neformalų skirstymą, jei gali parodyti, kurios sistemos kokius duomenis turi ir kas turi prieigą. Tai tiesiogiai liečia klausimą ar prieigos politika nustatyta, įskaitant verslo turto valdymą: be esamo įmonės turto inventoriaus sudaryti klasifikavimą sunkoka pagrįsti. Jei turite schemą, bet nėra dokumento, įkelkite pačią politikos nurodą ar klasifikavimo apžvalgą; žodinis susitarimas neprilygu įrodymui.

Iš kur tai kilę: A priedas ir 21 straipsnio 2 dalis

ISO/IEC 27001 A priede paminima informacijos klasifikacija kaip kontrolinis priemonė, susieta su platesniais reikalavimais dėl įmonės turto valdymo. NIS2 21 straipsnio 2 dalyje duomenų klasifikacija neminima kaip atskiras žodis, tačiau tos dalies dešimt priemonių apima prieigos politiką ir informacinių sistemų apsaugą iš viso — klasifikacija toje ribose yra priemonė nustatyti, koks apsaugos lygis kur reikalingas. Jei pats esi subjektas pagal Kibernetinio saugumo įstatymą, tai yra viena iš dalių, kurią priežiūros institucija gali konkretiai paklausti; tai patikrink per įmonė pati patenka į NIS2 direktyvą arba jos nacionalinę transpoziciją. Jei turi ISO 27001 sertifikatą, klasifikacija dažniausiai jau nustatyta tavo informacijos saugumo sistemos taikymo srityje ir gali tiesiogiai į tai nurodyti.