qué relleno en la pregunta sobre clasificación de datos

La clasificación de datos pertenece a la política de acceso, no a la criptografía

La clasificación de datos se incluye en el cuestionario generalmente en el bloque más amplio de política de acceso y gestión de activos — no en el bloque de cifrado, donde algunos encuestados lo colocan por error. La pregunta evalúa si categoriza sus datos según su sensibilidad (por ejemplo, público, interno, confidencial, secreto) y si esa categorización conlleva realmente derechos de acceso y reglas de procesamiento diferentes. Una etiqueta sin consecuencias no cuenta como clasificación.

Si no tienes un esquema de clasificación, entonces "no" es la respuesta honesta — no "n.a.". Algunos clientes aceptan como paso intermedio una clasificación informal, siempre que puedas demostrar qué sistemas contienen qué datos y quién tiene acceso a ellos. Esto guarda relación directa con la pregunta se ha fijado la política de acceso, incluida la gestión de activos empresariales: sin un inventario actual de activos (asset inventory) es difícil respaldar la clasificación de todas formas. Si tienes un esquema pero no un documento de prueba, carga el documento de política o el propio inventario de clasificación; un acuerdo verbal no es suficiente como prueba.

De dónde viene esto: Anexo A y artículo 21, apartado 2

La norma ISO/IEC 27001, Anexo A, menciona la clasificación de la información como una medida de control, vinculada al requisito más amplio de gestión de activos. La Directiva NIS2, artículo 21, apartado 2, no menciona la clasificación de datos como término separado, pero las diez medidas de ese apartado incluyen la política de acceso y la seguridad de los sistemas de información en su conjunto — la clasificación es el instrumento para determinar qué nivel de protección se requiere dónde. Si eres una entidad sujeta a la Ley de Ciberseguridad, esto es uno de los elementos que una autoridad de supervisión puede preguntarte específicamente; verifica esto a través de ¿Está la empresa sujeta a la Directiva NIS2 o a su transposición nacional. Si tienes un certificado ISO 27001, la clasificación generalmente ya está establecida en el alcance de tu sistema de gestión de la seguridad de la información y puedes hacer referencia directa a ella.