Classification des données
Classer les données selon leur sensibilité et leur criticité.
Classification des données est défini par les résultats NIST CSF 2.0 ID.AM-05 (Assets are prioritized based on classification, criticality, resources, and impact on the mission); ID.AM-07 (Inventories of data and corresponding metadata for designated data types are maintained). Correspondance Mis en correspondance par une correspondance publiée dans ISO 27001, CIS v8.1, 800-53 et NIS2. Éditorial Mis en correspondance de manière éditoriale dans SOC 2, PCI DSS, CMMC, DORA et CPS 234. Seulement faiblement liés dans HIPAA. Aucune correspondance dans nos données Aucune correspondance dans nos données pour GDPR, Essential Eight et Cyber Essentials.
| Référentiel | Exigence | Titre | Lien | Source / motif |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.AM-05ID.AM-07 | Assets are prioritized based on classification, criticality, resources, and impact on the mission; Inventories of data and corresponding metadata for designated data types are maintained | Définition du sujet | ID.AM-05 ID.AM-07 |
| ISO 27001 | A.5.12A.5.13 | Classification of information; Labelling of information | Correspondance | A.5.12: via ID.AM-05; NIST 800-53 map: RA-2 A.5.13: via ID.AM-05 |
| CIS v8.1 | CIS 3.2CIS 3.7CIS 3.8 | Establish and Maintain a Data Inventory; Establish and Maintain a Data Classification Scheme; Document Data Flows | Correspondance | CIS 3.2: via ID.AM-07 CIS 3.7: via ID.AM-05 CIS 3.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): documented data flows support classification and handling. |
| SOC 2 | C1.1 | Identifying and protecting confidential information | Éditorial | C1.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 9.4.2 | Media classified by data sensitivity | Éditorial | 9.4.2: PCI DSS's only classification requirement (media classified by data sensitivity); not linked to ID.AM-05/07 in NIST's references. |
| CMMC | MP.L2-3.8.4 | Media Markings | Éditorial | MP.L2-3.8.4: Marking media with CUI markings is CMMC's closest practice to classification/labelling. |
| 800-53 | RA-2 | Security Categorization | Correspondance | RA-2: via ID.AM-05 |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)§164.316(a)§164.316(b)(2)(i) | Non mis en correspondance avec ce thème | Ces exigences ne partagent que les résultats CSF de ce sujet (ID.AM-05, ID.AM-07) via des tables de correspondance publiées : à vérifier, il ne s'agit pas d'une correspondance. | |
| GDPR | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence GDPR n'est mise en correspondance avec ce thème dans nos données. |
| NIS2 | 12.1 | Asset classification | Correspondance | 12.1: via ID.AM-05; ENISA ISO map: A.5.12, A.5.13 |
| Essential Eight | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Essential Eight n'est mise en correspondance avec ce thème dans nos données. |
| DORA | Art.8(1) | Identification | Éditorial | Art.8(1): Classify ICT-supported business functions and information assets. |
| CPS 234 | Para 20 | Classify information assets by criticality and sensitivity | Éditorial | Para 20: Classify information assets by criticality and sensitivity. |
| Cyber Essentials | — | Aucune exigence | Aucune correspondance dans nos données | Aucune exigence Cyber Essentials n'est mise en correspondance avec ce thème dans nos données. |
Définition du sujet Résultats CSF 2.0 qui définissent ce thème · Correspondance au moins un choix appuyé par une table de correspondance publiée · Éditorial Jugement de ControlMapping, avec le motif · non mappé, partage seulement les résultats CSF de ce thème · Aucune correspondance dans nos données rien de mappé dans nos données ; souvent un travail nouveau, mais consultez les notes de couverture. Méthodologie.
Les identifiants et intitulés des exigences sont présentés tels que chaque référentiel les publie, en anglais.
Correspondance erronée ou manquante ? Signaler
À propos de Classification des données
La classification des données attribue des niveaux de sensibilité, tels que public, interne, confidentiel et restreint, aux actifs informationnels, ce qui permet aux organisations d'appliquer des mesures de sécurité proportionnées à la valeur des données et aux exigences réglementaires qui s'y rapportent. Un schéma de classification bien mis en œuvre oriente les décisions relatives au chiffrement, aux contrôles d'accès, aux politiques de conservation et aux procédures de traitement tout au long du cycle de vie des données. Les organisations doivent établir des normes d'étiquetage claires, former les employés à leurs responsabilités en matière de classification et recourir à des outils automatisés, tels que la découverte de données et les solutions DLP, afin d'appliquer les politiques de classification de manière cohérente.