Kaj izpolnim pri vprašanju o razvrstitev podatkov

Klasifikacija podatkov spada pod politiko dostopa, ne pod kriptografijo

Klasifikacija podatkov v vprašalniku običajno spada pod širši sklop politike dostopa in upravljanja poslovnih sredstev — ne pod sklop šifriranja, kamor jo nekateri izpolnjevalci po naključju uvrstijo. Vprašanje preverja, ali podatke razdelite glede na občutljivost (na primer javni, notranji, zaupni, tajni) in ali je ta razdelitev dejansko povezana tudi z drugačnimi pravicami dostopa in pravili obdelave. Oznaka brez posledic se ne šteje za klasifikacijo.

Če nimate sheme klasifikacije, je »ne« pošten odgovor — ne »n.v.t.". Nekateri odjemalci sprejmejo kot vmesni korak neformalno razdelitev, če lahko pokažete, kateri sistemi vsebujejo katere podatke in kdo ima do njih dostop. To se neposredno dotika vprašanja je dostopna politika določena, vključno z upravljanjem premoženja podjetja: brez trenutnega pregleda poslovnih sredstev (inventar sredstev) je klasifikacija vsekakor težko utemeljiti. Če imate shemo, vendar nimate dokaznega dokumenta, naložite samo dokument o politiki ali sami pregled klasifikacije; ustni dogovor ne zadošča kot dokaz.

Od kje je to: Annex A in član 21 odstavek 2

ISO/IEC 27001 Annex A navaja klasifikacijo informacij kot ukrep nadzora, povezan s širšo zahtevo glede upravljanja poslovnih sredstev (upravljanje sredstev). NIS2, član 21 odstavek 2, ne omenja klasifikacije podatkov kot ločene besede, vendar deset ukrepov iz tega člena vključuje politiko dostopa in varnost informacijskih sistemov kot celote — klasifikacija je v okviru tega instrument za določitev potrebne ravni zaščite. Če ste sami entiteta pod Zakonom o kibernetski varnosti, je to ena od komponent, ki jo lahko nadzornik konkretno vpraša; preverite to prek ali podjetje samo spada pod direktivo NIS2 ali njeno nacionalno preuvedbo. Če imate certifikat ISO 27001, je klasifikacija običajno že določena v področju uporabnosti vašega sistema za varnost informacij in se lahko neposredno sklicujete nanjo.