mida täitmin andmete klassifitseerimise küsimusel

Andmete klassifitseerimine kuulub juurdepääsupoliitika alla, mitte krüptograafia alla

Andmete klassifitseerimine kuulub küsimustikus tavaliselt laiema juurdepääsupoliitika ja ettevõtte vahenditega seotud juhtimise plokki — mitte krüpteerimise plokki, kuhu mõned vastajad selle kogemata paigutavad. Küsimus kontrollib, kas jaotad andmeid tundlikkuse järgi (näiteks avalik, sisemine, konfidentsiaalne, salajane) ja kas sellele jaotusele on tegelikult seotud ka erinevad juurdepääsuõigused ja töötlemisreeglid. Sildita, millel puudub tagajärg, ei loeta klassifitseerimiseks.

Kui sul klassifitseerimisskeemi pole, siis on "ei" aus vastus — mitte "n.v.t.". Mõned kliendid võtavad vahepealsena vastu mitteametliku jaotuse, kui suudad näidata, millised süsteemid sisaldavad milliseid andmeid ja kellel on nende juurde juurdepääs. See puudutab otseselt küsimust on pääsupoliitika määratletud, sealhulgas ärivahenditest hoolitsemise kord: ilma olemasoleva ettevõtte vahenditega seotud loendita on klassifitseerimine igal juhul raske põhjendada. Kui sul skeem on, aga tõendidokumenti pole, lae üles poliitikadokument või klassifitseerimisülevaade ise; suuline kokkulepe ei piisa tõendina.

Kust see pärineb: Lisa A ja artikkel 21 lõige 2

ISO/IEC 27001 Lisa A nimetab teabe klassifitseerimist juhtimismeetmena, mis on seotud ettevõtte vahenditega seotud juhtimise laiema nõudega (asset management). NIS2 artikkel 21 lõige 2 ei maingi andmete klassifitseerimist eraldi sõnana, kuid selle lõike kümme meetme hulka kuuluvad juurdepääsupoliitika ja infosüsteemide kaitse tervikuna — klassifitseerimine on selle piires instrument, et määrata, milline kaitsetase kus vajalik on. Kui oled ise Küberkaitse seaduse reguleeritav üksus, siis see on üks osadest, mida järelevalve teostaja konkreetselt pärimale võib tulla; kontrolli seda kas ettevõte ise kuulub NIS2-direktiivi või selle rahvusliku rakendamise alla. Kui sul on ISO 27001 sertifikaat, siis klassifitseerimine on tavaliselt juba sinu infoturbessüsteemi rakendamisulatuses määratud ja võid seal otse viidata.