co mám vyplnit u otázky o klasifikaci dat

Klasifikace dat musí být součástí zásad přístupu, nikoli šifrování

Klasifikace dat obvykle spadá v dotazníku pod širší blok zásad přístupu a správy aktiv — nikoli pod blok šifrování, kam ji někteří vyplňovatelé náhodou zařadí. Otázka testuje, zda dělíte data podle jejich citlivosti (například veřejná, interní, důvěrná, tajná) a zda s tímto dělením skutečně souvisejí různá přístupová práva a pravidla zpracování. Štítek bez důsledků se nepočítá jako klasifikace.

Nemáš-li schéma klasifikace, je "ne" čestná odpověď — ne "neuplatňuje se". Někteří zákazníci akceptují jako přechodný krok neformální dělení, pokud můžeš prokázat, která zařízení obsahují jaká data a kdo má k nim přístup. To přímo связí s otázkou je přístupová politika stanovena, včetně správy podnikových prostředků: bez aktuálního přehledu podnikových aktiv (asset inventory) je klasifikace stejně obtížně obhajitelná. Máš-li schéma, ale chybí ti dokladem, nahraj samotný dokument zásad nebo přehled klasifikace; ústní dohoda se nepočítá jako důkaz.

Odkud to pochází: Příloha A a článek 21 odst. 2

ISO/IEC 27001 Příloha A uvádí klasifikaci informací jako opatření pro řízení, spojené s širší povinností správy aktiv (asset management). NIS2, článek 21 odst. 2, klasifikaci dat nespomenuje jako samostatné slovo, ale deset opatření z tohoto odstavce zahrnuje zásady přístupu a bezpečnost informačních systémů jako celku — klasifikace je v tom nástroj k určení, jaké úrovně ochrany je kde třeba. Jsi-li sám entitou podle Zákona o kybernetické bezpečnosti, jedná se o jednu z součástí, kterou může dohledová instituce konkrétně ověřit; ověř si to přes spadá podnik sám pod směrnici NIS2 nebo její národní implementaci. Máš-li certifikát ISO 27001, klasifikace obvykle již figuruje v oblasti aplikability tvého systému řízení informační bezpečnosti a můžeš se na to přímo odvolat.