klient pyta, jak klasyfikujemy poufne informacje, jaka jest nasza odpowiedź

Klasyfikacja danych wrażliwych wchodzi w zakres zarządzania zasobami i polityki dostępu

To pytanie odnosi się do środka dotyczącego zasobów przedsiębiorstwa i dostępu z artykułu 21 ust. 2 NIS2: wiedza, jakie informacje posiadasz, jak wrażliwe są i kto do nich może mieć dostęp. Schemat klasyfikacji sam w sobie nie jest oddzielną listą w artykule 21 — jest to praktyczne wdrożenie, które pozwala na uzasadnienie polityki dostępu i polityki kryptografii. Klienci zadają to pytanie zwykle, aby sprawdzić, czy rozróżniasz między informacjami publicznymi, wewnętrznymi, poufnymi i ściśle poufnymi, i czy do każdego poziomu przypisane są konkretne reguły: kto może przeglądać, jak są szyfrowane, jak długo są przechowywane.

Jeśli nie masz formalnego schematu klasyfikacji z etykietami i regułami dla każdego poziomu, uczciwą odpowiedzią jest "nie" lub "częściowo" — nie wpisuj, że schemat istnieje, tylko dlatego że nieformalnie dokonujesz rozróżnienia między danymi wrażliwymi i niewrażliwymi. Jeśli pracujesz ze schematem, ale nie został on wdrożony wszędzie, wskaż to; polityka częściowo wdrożona to coś innego niż polityka zatwierdzona. Wiąże się to bezpośrednio z polityki dostępu i zarządzania zasobami przedsiębiorstwa, ponieważ bez klasyfikacji nie można prawidłowo uzasadnić dostępu na podstawie wrażliwości. Jeśli szyfrujesz pliki poufne, jest to dowód polityki dotyczącej kryptografii — połącz tę odpowiedź w dossier.

Gdzie to znajduje się w dyrektywie i normie

Artykuł 21 ust. 2 NIS2 wymienia "politykę oceny ryzyka i bezpieczeństwo systemów informacyjnych" oraz "politykę i procedury dotyczące stosowania kryptografii" jako dwa z dziesięciu środków; klasyfikacja danych jest łącznikiem między nimi, a nie niezależnym punktem. W ISO/IEC 27001 jest to bardziej jawne: Załącznik A zawiera środki kontroli dotyczące klasyfikacji informacji i etykietowania zasobów według poziomu wrażliwości. Jeśli posiadasz certyfikat ISO, jest to od razu najsilniejszy dowód dla tej odpowiedzi — sprawdź, czy znajduje się on w twoim dossier za pośrednictwem stanu certyfikatu ISO 27001. Ustawa o cyberbezpieczeństwie, polska transpozycja NIS2 wchodząca w życie 15 sierpnia 2026 r., nie zmienia tego: dziesięć środków powraca bez zmian.