lista kontrolna chce wiedzieć, czy klasyfikujemy dane ze względu na poufność

Klasyfikacja danych podlega polityce dostępu i zarządzaniu zasobami

Tak, jest to rozpoznawalne pytanie, a zwykle odpowiedź polega na tym, że klasyfikacja danych ze względu na czułość istnieje jako część szerszej polityki, a nie jako dokument autonomiczny. W kategoriach NIS2 podlega to środkom zarządzania zasobami i polityce dostępu: wiedza, jakie dane posiadasz, gdzie się znajdują i kto do nich ma dostęp. Bez klasyfikacji polityka dostępu jest bowiem trudna do uzasadnienia — nie można powiedzieć, kto ma dostęp do "wrażliwych danych", jeśli nigdy nie ustalono, co pod tym pojęciem rozumieć. Kwestionariusze pytające o klasyfikację zwykle oczekują krótkiej odpowiedzi na temat poziomów (na przykład publiczne, wewnętrzne, poufne, ściśle poufne) i tego, kto te poziomy przypisuje.

Jeśli tego nie ustaliłeś, to "nie" jest uczciwa odpowiedź, a sama w sobie nie stanowi problemu dla kwestionariusza. Wielu mniejszych dostawców pracuje nieformalnie: dane są rozróżniane, ale nie według napisanego schematu. Lepiej wpisz "nie" niż wymyślaj klasyfikację, która nie istnieje. Ten temat jest ściśle powiązany z polityki dostępu i zarządzania zasobami przedsiębiorstwa — jeśli jest już tam odpowiedź, istnieje duża szansa, że klasyfikacja jest w niej zawarta implicite i że możesz uzupełnić tę odpowiedź zamiast budować od nowa. Istotne jest również to, czy polityki dotyczącej kryptografii i szyfrowania istnieje, ponieważ poziomy klasyfikacji często określają, które dane będą szyfrowane.

Gdzie dokładnie się to znajduje: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia zarządzanie zasobami i kontrolę dostępu jako dwa z dziesięciu obowiązkowych środków; klasyfikacja danych to praktyczne wdrożenie tego. W ISO/IEC 27001 Załącznik A zawiera jawne środki kontroli klasyfikacji informacji i etykietowania zasobów — to jest najbardziej bezpośrednia lokalizacja, jeśli klient prosi o odesłanie do normy. Ustawa o bezpieczeństwie cybernetycznym, która przenosi dyrektywę w Holandii i wejdzie w życie 15 sierpnia 2026 r., przyjmuje ten sam podział środków.