küsimustik soovib teada, kas klassifitseerime andmeid tundlikkuse järgi

Andmete klassifitseerimine kuulub juurdepääsupoliitika ja varahaldusse

Jah, see on tuntav küsimus ja tavaliselt on vastus see, et andmete klassifitseerimine tundlikkuse järgi on olemas laiema poliitika osana, mitte eraldiseisva dokumendina. NIS2 terminites kuulub see varahalduse ja juurdepääsupoliitika meetmete alla: teada, millised andmed sul on, kus nad asuvad ja kes nende juurde pääsevad. Ilma klassifikatsioonieta on juurdepääsupoliitika nimelt raske põhjendada — et saa öelda, kes pääseb "tundlikule andmele" juurde, kui sa pole kunagi fikseerinud, mida see hõlmab. Klassifikatsiooni küsivad küsimustikud ootavad tavaliselt lühikest vastust tasandite kohta (näiteks avalik, sisemine, konfidentsiaalne, rangelt konfidentsiaalne) ja selle kohta, kes need tasandid määravad.

Kui sa seda pole fikseerinud, on "ei" aus vastus ja see pole küsimustiku jaoks omaette probleem. Paljud väiksemad tarnijad töötavad mitteformaalsel viisil: andmeid küll eristatakse, aga mitte kirjalikult kehtestatud skeemi järgi. Pane siis pigem "ei" kui leiuta klassifikatsioon, mis ei ole olemas. See teema on tihedalt seotud juurdepääsupoliitikat ja IT-varade haldust — kui seal on juba vastus olemas, on suur tõenäosus, et klassifikatsioon on seal kaudselt olemas ja saad selle vastuse täiendada selle asemel, et uuesti luua. Samuti oluline on, kas krüptograafia ja krüptimise poliitikast on olemas, sest klassifikatsiooni tasandid määravad sageli, millised andmed krüpteeritakse.

Kui see täpselt asub: artikkel 21 lõik 2 ja Annex A

NIS2 direktiivi artikkel 21 lõik 2 nimetab varahaldust ja juurdepääsukontrolli kaheks kümnest kohustuslikust meetmest; andmete klassifitseerimine on selle praktiline rakendamine. ISO/IEC 27001 Annex A-s on selgesõnalised juhtimismeetmed teabe klassifitseerimiseks ja varade märgistamiseks — see on kõige otsesem asukoht, kui klient normviitena uurib. Küberturvalisuse seadus, mis omakorda transponeerib direktiivi Hollandis ja jõustub 15. augustil 2026, järgib samade meetmete liigitust.