kyselylomake haluaa tietää, luokittelemmeko tiedot herkkyyden mukaan

Tietojen luokittelu kuuluu pääsynhallintakäytäntöön ja omaisuuden hallintoon

Kyllä, tämä on tunnistettava kysymys, ja vastaus on yleensä se, että tietojen luokittelu arkaluonteisuuden perusteella on olemassa osana laajempaa käytäntöä, ei erillisenä asiakirjana. NIS2-terminologian mukaan tämä kuuluu omaisuuden hallinnan ja pääsynhallinnan toimenpiteiden alle: tietää, mitä tietoja sinulla on, missä ne sijaitsevat ja kuka voi niihin päästä. Ilman luokittelua pääsynhallintakäytäntö on nimittäin vaikea perustella — et voi sanoa, kuka saa käyttää "arkaluontoisia tietoja", jos et ole koskaan määritellyt, mitä se tarkoittaa. Luettelot, jotka kysyvät luokittelusta, odottavat yleensä lyhyttä vastausta tasoista (esimerkiksi julkinen, sisäinen, luottamuksellinen, ehdottoman luottamuksellinen) ja siitä, kuka nämä tasot määrittää.

Jos et ole dokumentoinut tätä, "ei" on rehellinen vastaus, ja se ei sinänsä ole ongelma kyselylle. Monet pienemmät toimittajat toimivat epävirallisesti: tietoja erotellaan, mutta ei kirjoitetun kaavan mukaan. Kirjoita mieluummin "ei" kuin keksi luokittelu, jota ei ole olemassa. Tämä aihe liittyy vahvasti pääsynhallintaan ja yritysvarojen hallintaan — jos sinulla on jo vastaus siellä, on todennäköistä, että luokittelu on siinä implisiittisesti ja että voit täydentää tuota vastausta rakentamisen sijaan. Asiaankuuluvaa on myös se, onko olemassa salaukseen ja salauseen liittyvästä politiikasta on, koska luokittelutasot määräävät usein, mitä tietoja salataan.

Tarkka sijainti: artiklian 21 kohta 2 ja liite A

NIS2-direktiivin 21 artiklan 2 kohdassa omaisuuden hallinta ja pääsynvalvonta mainitaan kahdeksi kymmenestä pakollisesta toimenpiteestä; tietojen luokittelu on sen käytännön täytäntöönpano. ISO/IEC 27001 liitteessä A on eksplisiittiset kontrollitoimit tietojen luokittelulle ja omaisuuden merkitsemiselle — se on suorin viitepaikka, jos asiakas kysyy normviitettä. Kybertietoturvalaki, joka muuttaa direktiivin Alankomaissa ja astuu voimaan 15. elokuuta 2026, noudattaa samaa toimenpiteiden jaottelua.