što popunim na pitanje o klasifikaciji podataka

Klasifikacija podataka spada pod politiku pristupa, a ne pod kriptografiju

Klasifikacija podataka obično pada u upitnik pod širu kategoriju politike pristupa i upravljanja poslovnim sredstvima — ne pod kategoriju enkripcije, gdje je nekoliko osoba slučajno smještaju. Pitanje testira jesu li podaci razvrstani prema osjetljivosti (na primjer javni, interni, povjerljivi, tajni) i jesu li tom razvrstavanju zapravo vezana različita prava pristupa i pravila obrade. Oznaka bez posljedica se ne smatra klasifikacijom.

Ako nemate shemu klasifikacije, tada je "ne" iskren odgovor — ne "n/a". Neki kupci prihvaćaju kao prijelazni korak neformalnu klasifikaciju, sve dok možete pokazati koji sustavi sadrže koje podatke i tko ima pristup tim podacima. To izravno se tiče pitanja je li politika pristupa uspostavljena, uključujući upravljanje imovinom poduzeća: bez aktualnog prikaza poslovnih sredstava (asset inventory) klasifikacija je ionako teško za obrazlaganje. Ako imate shemu ali nemate dokaz, učitajte tada sam politički dokument ili pregled klasifikacije; usmeni dogovor ne vrijedi kao dokaz.

Gdje je to iz: Prilog A i članak 21 stavak 2

ISO/IEC 27001 Prilog A spominje klasifikaciju informacija kao mjeru upravljanja, povezanu sa širom zahtjevom za upravljanjem poslovnim sredstvima (upravljanje imovinom). NIS2, članak 21 stavak 2, ne spominje klasifikaciju podataka kao posebnu riječ, ali deset mjera iz tog stavka obuhvaćaju politiku pristupa i zaštitu informacijskih sustava kao cjeline — klasifikacija je u tome instrument za određivanje koje razine zaštite su potrebne gdje. Ako ste sami entitet prema Zakonu o kibernetskoj sigurnosti, tada je ovo jedan od dijelova koji nadzorni organ može konkretno raspitati; provjerite to preko je li poduzeće obuhvaćeno NIS2 direktivom ili njezinom nacionalnom provedbom. Ako imate ISO 27001 certifikat, klasifikacija obično već stoji fiksna u opsegu primjene vašeg sustava za informacijsku sigurnost i možete izravno na to ukazati.