Ko es aizpildu jautājumā par datu klasifikāciju

Datu klasifikācija pieder piekļuves politikai, nevis kriptogrāfijai

Datu klasifikācija jautājumos parasti ietilpst plašākā piekļuves politikas un uzņēmuma līdzekļu pārvaldības blokā — nevis šifrēšanas blokā, kur daži aizpildītāji viņu nejauši novieto. Jautājums pārbauda, vai jūs datus klasificējat pēc jutīguma pakāpes (piemēram, publiski, iekšēji, konfidenciāli, slepeni) un vai šai klasifikācijai faktiski ir atšķirīgas piekļuves tiesības un apstrādes noteikumi. Etiķete bez sekām neskaitās klasifikācija.

Ja jums nav klasifikācijas shēmas, tad "nē" ir godīgā atbilde — nevis "n.v.t.". Daži klienti pieņem kā starppakāpi neformālu sadalījumu, ja vien varat parādīt, kuri sistēmas kuri datus satur un kam ir pieeja. Tas tieši skar jautājumu vai piekļuves politika ir noteikta, ieskaitant uzņēmuma līdzekļu pārvaldību: bez aktuālas uzņēmuma līdzekļu uzmērīšanas (asset inventory) klasificēšana jebkurā gadījumā ir grūti pamatojama. Ja jums ir shēma, bet nav dokumenta, augšupielādējiet paša politikas dokumentu vai klasifikācijas pārskatu; mutvārdu vienošanās nepietiek kā pierādījums.

No kurienes tas nāk: Annex A un 21. panta 2. punkts

ISO/IEC 27001 Annex A piebilst informācijas klasifikāciju kā vadības pasākumu, saistītu ar plašāku prasību par uzņēmuma līdzekļu pārvaldību (asset management). NIS2, 21. pants, 2. punkts, neminēs datu klasifikāciju kā atsevišķu vārdu, bet desmit pasākumi no šī punkta ietver piekļuves politiku un informācijas sistēmu drošību kopumā — klasifikācija ir instruments, lai noteiktu, kāds aizsardzības līmenis ir nepieciešams. Ja jūs paši esat subjekts saskaņā ar Kiberdrošības likumu, tad šis ir viens no komponentiem, ko uzraugs var konkrēti pieprasīt; pārbaudiet to caur vai uzņēmums pats ietilpst NIS2 direktīvā vai tās nacionālajā ieviešanā. Ja jums ir ISO 27001 sertifikāts, tad klasifikācija parasti jau ir noteikta jūsu informācijas drošības sistēmas piemērošanas jomā, un jūs varat tur tieši atsaukties.