Datenklassifizierung
Daten anhand von Schutzbedarf und Kritikalität klassifizieren.
Datenklassifizierung wird durch die NIST CSF 2.0 Outcomes ID.AM-05 (Assets are prioritized based on classification, criticality, resources, and impact on the mission); ID.AM-07 (Inventories of data and corresponding metadata for designated data types are maintained) definiert. Crosswalk Über einen veröffentlichten Crosswalk zugeordnet in ISO 27001, CIS v8.1, 800-53 und NIS2. Redaktionell Redaktionell zugeordnet in SOC 2, PCI DSS, CMMC, DORA und CPS 234. In HIPAA nur lose verwandt. Keine Zuordnung in unseren Daten Keine Zuordnung in unseren Daten für GDPR, Essential Eight und Cyber Essentials.
| Framework | Anforderung | Titel | Verknüpfung | Quelle / Begründung |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.AM-05ID.AM-07 | Assets are prioritized based on classification, criticality, resources, and impact on the mission; Inventories of data and corresponding metadata for designated data types are maintained | Themendefinition | ID.AM-05 ID.AM-07 |
| ISO 27001 | A.5.12A.5.13 | Classification of information; Labelling of information | Crosswalk | A.5.12: via ID.AM-05; NIST 800-53 map: RA-2 A.5.13: via ID.AM-05 |
| CIS v8.1 | CIS 3.2CIS 3.7CIS 3.8 | Establish and Maintain a Data Inventory; Establish and Maintain a Data Classification Scheme; Document Data Flows | Crosswalk | CIS 3.2: via ID.AM-07 CIS 3.7: via ID.AM-05 CIS 3.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): documented data flows support classification and handling. |
| SOC 2 | C1.1 | Identifying and protecting confidential information | Redaktionell | C1.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 9.4.2 | Media classified by data sensitivity | Redaktionell | 9.4.2: PCI DSS's only classification requirement (media classified by data sensitivity); not linked to ID.AM-05/07 in NIST's references. |
| CMMC | MP.L2-3.8.4 | Media Markings | Redaktionell | MP.L2-3.8.4: Marking media with CUI markings is CMMC's closest practice to classification/labelling. |
| 800-53 | RA-2 | Security Categorization | Crosswalk | RA-2: via ID.AM-05 |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)§164.316(a)§164.316(b)(2)(i) | Diesem Thema nicht zugeordnet | Diese Anforderungen teilen nur die CSF-Ergebnisse dieses Themas (ID.AM-05, ID.AM-07) über veröffentlichte Crosswalks: prüfenswert, aber keine Zuordnung. | |
| GDPR | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine GDPR-Anforderung diesem Thema zugeordnet. |
| NIS2 | 12.1 | Asset classification | Crosswalk | 12.1: via ID.AM-05; ENISA ISO map: A.5.12, A.5.13 |
| Essential Eight | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Essential Eight-Anforderung diesem Thema zugeordnet. |
| DORA | Art.8(1) | Identification | Redaktionell | Art.8(1): Classify ICT-supported business functions and information assets. |
| CPS 234 | Para 20 | Classify information assets by criticality and sensitivity | Redaktionell | Para 20: Classify information assets by criticality and sensitivity. |
| Cyber Essentials | — | Keine Anforderung | Keine Zuordnung in unseren Daten | In unseren Daten ist keine Cyber Essentials-Anforderung diesem Thema zugeordnet. |
Themendefinition CSF-2.0-Ergebnisse, die dieses Thema definieren · Crosswalk mindestens eine Auswahl, gestützt durch einen veröffentlichten Crosswalk · Redaktionell Einschätzung von ControlMapping mit Begründung · nicht zugeordnet, teilt nur die CSF-Ergebnisse dieses Themas · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Methodik.
Anforderungs-IDs und Titel werden so angezeigt, wie jedes Framework sie veröffentlicht, auf Englisch.
Falsche oder fehlende Zuordnung? Melden
Über Datenklassifizierung
Die Datenklassifizierung ordnet Informationswerten Schutzbedarfsstufen wie öffentlich, intern, vertraulich und eingeschränkt zu. So können Organisationen angemessene Sicherheitsmaßnahmen anhand des Werts der Daten und der regulatorischen Anforderungen festlegen. Ein gut umgesetztes Klassifizierungsschema bestimmt Entscheidungen zu Verschlüsselung, Zugriffskontrollen, Aufbewahrungsrichtlinien und Handhabungsverfahren über den gesamten Datenlebenszyklus hinweg. Organisationen sollten klare Kennzeichnungsstandards festlegen, Mitarbeitende zu ihren Verantwortlichkeiten bei der Klassifizierung schulen und automatisierte Werkzeuge wie Datenerkennung und DLP-Lösungen einsetzen, um die Klassifizierungsrichtlinien einheitlich durchzusetzen.