vad fyller jag i när det gäller frågan om dataklassificering

Datablassificering hör under åtkomstpolicy, inte under kryptering

Datablassificering faller i enkäten vanligtvis under det bredare blocket åtkomstpolicy och hantering av företagstillgångar — inte under blocket kryptering, där några ifyllare av misstag placerar den. Frågan testar om du klassificerar dina data enligt känslighet (till exempel offentliga, interna, konfidentiella, hemliga) och om denna klassificering också verkligen resulterar i olika åtkomsträttigheter och bearbetningsregler. En etikett utan konsekvenser räknas inte som klassificering.

Om du inte har ett klassificeringsschema är "nej" det ärliga svaret — inte "saknas". Vissa kunder accepterar som ett mellansteg en informell klassificering, så länge du kan visa vilka system som innehåller vilka data och vem som har åtkomst till dem. Det rör direkt frågan är åtkomstpolicyn fastställd, inklusive hanteringen av företagstillgångar: utan en aktuell förteckning över företagstillgångar (asset inventory) är klassificering ändå svårt att underbygga. Om du har ett schema men inget bevisstycke, ladda upp själva policydokumentet eller klassificeringsöversikten; ett muntligt avtal räcker inte som bevis.

Varifrån detta kommer: Annex A och artikel 21 stycke 2

ISO/IEC 27001 Annex A nämner klassificering av information som en kontrollåtgärd, kopplad till det bredare kravet på hantering av företagstillgångar (asset management). NIS2, artikel 21 stycke 2, nämner datablassificering inte som ett separat ord, men de tio åtgärderna i denna bestämmelse omfattar åtkomstpolicy och säkerheten för informationssystem i sin helhet — klassificering är inom denna ram instrumentet för att avgöra vilken skyddsnivå som behövs var. Om du själv är en enhet under Cybersäkerhetslag, är detta en av de komponenter som en tillsynsmyndighet konkret kan fråga om; kontrollera det via omfattas organisationen av NIS2-direktivet eller dess nationella genomförande. Om du har ett ISO 27001-certifikat ligger klassificering vanligtvis redan fast inom tillämpningsområdet för ditt informationssäkerhetssystem och du kan då direkt hänvisa dit.