Čo vyplním pri otázke o klasifikácii údajov

Klasifikácia údajov patrí pod politiku prístupu, nie pod kryptografiu

Klasifikácia údajov sa v zozname otázok zvyčajne zaraďuje pod širší blok politiky prístupu a správy podnikových prostriedkov — nie pod blok šifrovania, kde ju niektorí respondenti omylom umiestňujú. Otázka testuje, či rozdelenie vašich údajov podľa citlivosti (napríklad verejné, interné, dôverné, tajné) a či sú na toto rozdelenie skutočne naviazané iné prístupové práva a pravidlá spracovania. Označenie bez následkov sa počítajú ako klasifikácia.

Ak nemáte schému klasifikácie, potom je "nie" čestná odpoveď — nie "n/a". Niektorí klienti akceptujú ako prechodný stupeň neformálne rozdelenie, pokiaľ môžete preukázať, ktoré systémy obsahujú ktoré údaje a kto k ním má prístup. Toto priamo súvisí s otázkou je politika prístupu dokumentovaná vrátane správy firemného majetku: bez aktuálneho prehľadu podnikových prostriedkov (asset inventory) je klasifikácia v každom prípade ťažko odsúdená. Ak máte schému, ale nemáte doklad, potom nahrajte politický dokument alebo samotný klasifikačný prehľad; ústna dohoda sa neráta ako dôkaz.

Odkiaľ to pochádza: Príloha A a článok 21 odsek 2

ISO/IEC 27001 Príloha A spomína klasifikáciu informácií ako kontrolnú opatenie spätú na širšiu požiadavku na správu podnikových prostriedkov (asset management). NIS2, článok 21 odsek 2, nespomína klasifikáciu údajov ako samostatné slovo, ale desať opatrení z tohto odseku zahŕňa politiku prístupu a zabezpečenie informačných systémov ako celku — klasifikácia je v tomto prípade nástrojom na určenie, aká úroveň ochrany je potrebná. Ak ste sami subjektom podľa zákona o kybernetickej bezpečnosti, potom je to jedna z položiek, ktorú môžu konkrétne požadovať dozorné orgány; skontrolujte to cez podlieha podnik sám sebe pod Smerinicu NIS2 alebo jej národnú implementáciu. Ak máte certifikát ISO 27001, klasifikácia zvyčajne už leží v rozsahu aplikácie vášho informačného bezpečnostného systému a môžete sa naň priamo odvolať.