klient küsib, kuidas me klassifitseerime tundlikku teavet, mis on meie vastus

Tundlike andmete klassifitseerimine kuulub varade haldusse ja juurdepääsukontrolli alla

See küsimus kuulub artikli 21 lõike 2 NIS2 ettevõtte varadele ja juurdepääsule suunatud meetme alla: teada, millist teavet teil on, kui tundlik see on, ja kes sellele juurde pääseda võib. Klassifitseerimisaabelus ei ole artikli 21 eraldi loetelus — see on praktiline rakendus, millega saate oma juurdepääsukontrolli- ja krüptograafiapoliitikat toetada. Kliendid küsivad seda tavaliselt selleks, et kontrollida, kas te eristusksite avaliku, sisemise, konfidentsiaalne ja rangelt konfidentsiaalse teabe vahel, ja kas neile kehtivad konkreetsed reeglid: kes võib vaadata, kuidas krüpteeritakse, kui kaua säilitatakse.

Kui teil pole formaalset klassifitseerimisaabelust etiketitega ja reeglitega igas tasemes, siis on aus vastus "ei" või "osaliselt" — ärge sisestage, et see on olemas, sest te teete mitteformaalselt eristust tundliku ja mittetundliku teabe vahel. Kui töötate aabelusega, kuid seda pole kõikjal kasutusse võetud, siis näidake seda ka; pooleli rakendatud poliitika erineb kehtestatud poliitikast. See on tihedalt seotud juurdepääsupoliitikat ja IT-varade haldust, sest klassifitseerimiseta ei saa juurdepääsu tundlikkuse alusel korralikult põhjendada. Kui töötate konfidentsiaalse teavet sisaldavate failide krüpteerimisega, siis on see krüptograafiakorraldused — seose see antus sellele vastusele oma andmefailis.

Kus see juhendis ja normi sees asub

Artikli 21 lõike 2 NIS2 nimetab "riski hindamise ja infosüsteemide turvalisuse poliitikat" ja "krüptograafia kasutamise poliitikat ja protseduure" kahe kümnest meetmest; andmete klassifitseerimine on neil vahele, mitte iseseisev punkt. ISO/IEC 27001 sätestab seda selgemalt: Lisa A sisaldab teabe klassifitseerimise ja varade märgistamise kontrollmeetmeid tundlikkuse taseme järgi. Kui teil on ISO-sertifikaat, siis on see kohe tugevaimad tõend selle vastuse jaoks — kontrollige, kas see on teie andmefailis olemas ISO 27001 sertifikaadi olek. Küberturvalisuse seadus, NIS2 Hollandi ülevõtmine, mis jõustub 15. augustil 2026, ei muuda seda: kümme meetmetmehet jäävad muutmata.