co wpisuję w odpowiedź na pytanie o klasyfikację danych

Klasyfikacja danych należy do polityki dostępu, a nie do kryptografii

Klasyfikacja danych pojawia się w kwestionariuszu zwykle w ramach szerszego bloku polityki dostępu i zarządzania zasobami przedsiębiorstwa — a nie w bloku szyfrowania, gdzie niektórzy respondenci umieszczają go błędnie. Pytanie sprawdza, czy dzielisz dane na kategorie według wrażliwości (na przykład publiczne, wewnętrzne, poufne, tajne) i czy z tym podziałem wiążą się rzeczywiście różne prawa dostępu i reguły przetwarzania. Etykieta bez konsekwencji nie liczy się jako klasyfikacja.

Jeśli nie masz schematu klasyfikacji, uczciwą odpowiedzią jest "nie" — a nie "n/d". Niektórzy klienci akceptują jako etap przejściowy podział nieformalny, pod warunkiem że potrafisz wykazać, które systemy zawierają jakie dane i kto ma do nich dostęp. Bezpośrednio wiąże się to z pytaniem czy zasady dostępu są określone, w tym zarządzanie zasobami przedsiębiorstwa: bez aktualnego przeglądu zasobów przedsiębiorstwa (spisu zasobów) klasyfikacja jest trudna do uzasadnienia. Jeśli masz schemat, ale brak dokumentu potwierdzającego, wgraj sam dokument polityki lub przegląd klasyfikacji; ustna umowa nie wystarczy jako dowód.

Skąd to pochodzi: Załącznik A i artykuł 21 ust. 2

ISO/IEC 27001 Annex A wymienia klasyfikację informacji jako środek kontrolny, powiązany z szerszym wymogiem dotyczącym zarządzania zasobami (asset management). NIS2, artykuł 21 ust. 2, nie wymienia klasyfikacji danych jako osobnego terminu, jednak dziesięć środków zawartych w tym ustępie obejmuje politykę dostępu i bezpieczeństwo systemów informacyjnych jako całości — klasyfikacja jest wewnątrz tym instrumentem służącym do określenia, jaki poziom ochrony jest potrzebny. Jeśli jesteś sam podmiotem podlegającym Ustawie o cyberbezpieczeństwie, to jeden z elementów, które organ nadzoru może konkretnie sprawdzić; sprawdź to poprzez czy przedsiębiorstwo samo podlega dyrektywie NIS2 lub jej krajowemu wdrożeniu. Jeśli posiadasz certyfikat ISO 27001, klasyfikacja jest zwykle już ustalona w zakresie stosowania Twojego systemu zarządzania bezpieczeństwem informacji i możesz bezpośrednio się do niego odwołać.