mitä kirjoitan tietojen luokittelua koskevan kysymyksen kohdalle

Tietojen luokittelu kuuluu pääsynhallintapolitiikkaan, ei salaukseen

Tietojen luokittelu kuuluu kyselyissä yleensä laajempaan pääsynhallintaan ja yrityksen omaisuuden hallintaan — ei salausosaan, johon jotkut vastaajat vahingossa sijoittavat sen. Kysymys testaa, onko sinulla tietosi jaettu herkkyyden mukaan (esimerkiksi julkinen, sisäinen, luottamuksellinen, salaisuus) ja onko tähän luokitukseen todella liitetty erilaiset käyttöoikeudet ja käsittelysäännöt. Ilman seurauksia oleva merkintä ei ole luokittelu.

Jos sinulla ei ole luokittelujärjestelmää, "ei" on rehellinen vastaus — ei "ei sovellettavissa". Jotkut asiakkaat hyväksyvät välivaiheena epävirallisen luokittelun, kunhan voit osoittaa, mitkä järjestelmät sisältävät mitkä tiedot ja kuka siihen pääsee. Tämä koskee suoraan kysymystä on pääsynhallintopolitiikka dokumentoitu, mukaan lukien liiketoimintavarojen hallinta: ilman ajantasaista omaisuusluetteloa (asset inventory) on luokittelu joka tapauksessa vaikea perustella. Jos sinulla on järjestelmä mutta ei dokumenttia, lataa sitten politiikkaasiakirja tai luokitteluohjeisto itsessään; suullinen sopimus ei kelpaa todisteeksi.

Lähde: Liite A ja artikla 21 kohta 2

ISO/IEC 27001 Liite A mainitsee tietojen luokittelun hallintotoimenpiteenä, sidottuna laajempaan vaatimukseen omaisuuden hallinnasta (asset management). NIS2, artikla 21 kohta 2, ei mainitse tietojen luokittelua erillisenä sanana, mutta kyseisen kohdan kymmenen toimenpidettä sisältävät pääsynhallintapolitiikan ja tietojärjestelmien turvallisuuden kokonaisuudessaan — luokittelu on tämän sisällä väline määrittämään, mitä suojaustasoa missä tarvitaan. Jos olet itse Kybertietoturvallisuuslain mukainen kokonaisuus, tämä on yksi osista, joita valvontaviranomainen voi konkreettisesti tiedustella; varmista se osoitteesta kuuluuko yritys itse NIS2-direktiivin tai sen kansallisen täytäntöönpanon soveltamisalaan. Jos sinulla on ISO 27001 -sertifikaatti, luokittelu on yleensä jo määritelty tietojärjestelmän hallintajärjestelmäsi soveltamisalassa ja voit viitata siihen suoraan.