ce completez la întrebarea despre clasificarea datelor

Clasificarea datelor face parte din politica de acces, nu din criptografie

Clasificarea datelor apare în chestionar, de obicei, sub blocul mai larg al politicii de acces și gestionării activelor de întreprindere — nu sub blocul criptării, unde unii completatori o plasează din greșeală. Întrebarea testează dacă clasificați datele dvs. după sensibilitate (de exemplu, public, intern, confidențial, secret) și dacă acestei clasificări îi corespund, într-adevăr, drepturi de acces și reguli de prelucrare diferite. O etichetă fără consecințe nu se numără ca clasificare.

Dacă nu aveți un schema de clasificare, atunci "nu" este răspunsul onest — nu "n.a.". Unii clienți acceptă, ca etapă intermediară, o împărțire informală, atâta timp cât puteți arăta ce sisteme conțin ce date și cine are acces la acestea. Aceasta se referă direct la întrebare is access policy established, including the management of business assets: fără o vedere de ansamblu actualizată a activelor de întreprindere (asset inventory), clasificarea este oricum dificil de justificat. Dacă aveți o schemă, dar nu aveți un document dovedit, încărcați atunci documentul de politică sau chiar lista de clasificare; un acord verbal nu este suficient ca dovadă.

De unde provine aceasta: Anexa A și articolul 21 alineat 2

ISO/IEC 27001 Anexa A menționează clasificarea informațiilor ca măsură de control, legată de cerința mai amplă privind gestionarea activelor de întreprindere (asset management). NIS2, articolul 21 alineat 2, nu menționează clasificarea datelor ca termen separat, dar cele zece măsuri din acel alineat cuprind politica de acces și securitatea sistemelor informatice în ansamblu — clasificarea este, în acest context, instrumentul pentru a determina ce nivel de protecție este necesar unde. Dacă sunteți dumneavoastră o entitate sub Legea privind securitatea cibernetică, atunci aceasta este una dintre componentele pe care o autoritate de supraveghere o poate cere în mod concret; verificați aceasta prin is the company subject to the NIS2 Directive or its national implementation. Dacă aveți un certificat ISO 27001, clasificarea se află, de obicei, deja în domeniul de aplicare al sistemului dvs. de securitate a informațiilor și puteți face referință direct la acesta.