klients jautā, kā mēs klasificējam sensitīvu informāciju, kāds ir mūsu atbildes

Sensitīvo datu klasifikācija ietilpst aktīvu pārvaldībā un piekļuves politikā

Šis jautājums attiecas uz pasākumu par uzņēmuma resursiem un piekļuvi saskaņā ar NIS2 direktīvas 21. panta 2. punktu: zināt, kādu informāciju jums ir, cik sensitīva tā ir, un kam to drīkst redzēt. Klasifikācijas shēma pati par sevi nav atsevišķs saraksts 21. pantā — tā ir praktiskā īstenošana, ar kuras palīdzību varat pamatot piekļuves politiku un kriptogrāfijas politiku. Klienti parasti to prasa, lai pārbaudītu, vai jūs šķirojat publisko, iekšējo, konfidenciālo un strikti konfidenciālo informāciju, un vai tam ir konkrēti noteikumi: kam drīkst piekļūt, kā tā tiek šifrēta, cik ilgi tā tiek glabāta.

Ja jums nav formāla klasifikācijas shēma ar etiķetēm un noteikumiem pa līmeņiem, tad godīgā atbilde ir "nē" vai "daļēji" — neaizpildiet, ka tā ir, jo neformāli jūs tomēr izdarāt atšķirību starp sensitīvo un ne-sensitīvo informāciju. Ja jūs strādājat ar shēmu, bet tā nav ieviesta visur, tad norādiet arī to; daļēji ieviests politika ir kaut kas cits nekā noteikts politika. Tas tieši saistās ar piekļuves politiku un uzņēmuma līdzekļu pārvaldi,jo bez klasifikācijas piekļuve, pamatojoties uz informācijas jutīgumu, nav labi jāpamatojums. Ja jūs strādājat ar konfidenciālu failu šifrēšanu, tad tas ir pierādījums par kriptografijas politiku — sasaistiet šo atbildi dokumentā.

Kur tas atrodams direktīvā un standartā

Direktīvas NIS2 21. panta 2. punkts nosaka "riska novērtēšanas politiku un informācijas sistēmu drošību" un "politiku un procedūras kriptogrāfijas lietošanai" kā divas no desmit pasākumiem; datu klasifikācija ir saikne starp tiem, nevis patstāvīgs punkts. ISO/IEC 27001 standartā tas ir noteikts skaidrāk: Pielikumā A ir iekļauti kontroles pasākumi informācijas klasifikācijai un aktīvu marķēšanai pēc jutīguma līmeņa. Ja jums ir ISO sertifikāts, tas ir uzreiz spēcīgākais pierādījums šai atbildei — pārbaudiet, vai tas atrodas jūsu dokumentā, izmantojot ISO 27001 sertifikāta statusu. Kibernoskumības likums, Nīderlandes NIS2 transponējums, kas stājas spēkā 2026. gada 15. augustā, to nemaina: desmit pasākumi tiek atspoguļoti bez izmaiņām.