Classificazione dei dati
Classificare i dati in base alla sensibilità e alla criticità.
Classificazione dei dati è definito dagli esiti ID.AM-05 (Assets are prioritized based on classification, criticality, resources, and impact on the mission); ID.AM-07 (Inventories of data and corresponding metadata for designated data types are maintained) di NIST CSF 2.0. Crosswalk Mappato tramite un crosswalk pubblicato in ISO 27001, CIS v8.1, 800-53 e NIS2. Redazione Mappato in modo editoriale in SOC 2, PCI DSS, CMMC, DORA e CPS 234. Solo debolmente correlato in HIPAA. Nessuna mappatura nei nostri dati Nessuna mappatura nei nostri dati per GDPR, Essential Eight e Cyber Essentials.
| Framework | Requisito | Titolo | Collegamento | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.AM-05ID.AM-07 | Assets are prioritized based on classification, criticality, resources, and impact on the mission; Inventories of data and corresponding metadata for designated data types are maintained | Definizione dell'argomento | ID.AM-05 ID.AM-07 |
| ISO 27001 | A.5.12A.5.13 | Classification of information; Labelling of information | Crosswalk | A.5.12: via ID.AM-05; NIST 800-53 map: RA-2 A.5.13: via ID.AM-05 |
| CIS v8.1 | CIS 3.2CIS 3.7CIS 3.8 | Establish and Maintain a Data Inventory; Establish and Maintain a Data Classification Scheme; Document Data Flows | Crosswalk | CIS 3.2: via ID.AM-07 CIS 3.7: via ID.AM-05 CIS 3.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): documented data flows support classification and handling. |
| SOC 2 | C1.1 | Identifying and protecting confidential information | Redazione | C1.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 9.4.2 | Media classified by data sensitivity | Redazione | 9.4.2: PCI DSS's only classification requirement (media classified by data sensitivity); not linked to ID.AM-05/07 in NIST's references. |
| CMMC | MP.L2-3.8.4 | Media Markings | Redazione | MP.L2-3.8.4: Marking media with CUI markings is CMMC's closest practice to classification/labelling. |
| 800-53 | RA-2 | Security Categorization | Crosswalk | RA-2: via ID.AM-05 |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)§164.316(a)§164.316(b)(2)(i) | Non mappato su questo argomento | Questi requisiti condividono solo gli esiti CSF di questo argomento (ID.AM-05, ID.AM-07) tramite crosswalk pubblicati: da verificare, non è una mappatura. | |
| GDPR | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di GDPR è mappato su questo argomento nei nostri dati. |
| NIS2 | 12.1 | Asset classification | Crosswalk | 12.1: via ID.AM-05; ENISA ISO map: A.5.12, A.5.13 |
| Essential Eight | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di Essential Eight è mappato su questo argomento nei nostri dati. |
| DORA | Art.8(1) | Identification | Redazione | Art.8(1): Classify ICT-supported business functions and information assets. |
| CPS 234 | Para 20 | Classify information assets by criticality and sensitivity | Redazione | Para 20: Classify information assets by criticality and sensitivity. |
| Cyber Essentials | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di Cyber Essentials è mappato su questo argomento nei nostri dati. |
Definizione dell'argomento Risultati CSF 2.0 che definiscono questo tema · Crosswalk almeno una scelta supportata da una tabella di corrispondenza pubblicata · Redazione Giudizio di ControlMapping, con la motivazione · non mappato, condivide solo gli esiti CSF di questo argomento · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Metodologia.
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Mappatura errata o mancante? Segnalalo
Informazioni su Classificazione dei dati
La classificazione dei dati assegna livelli di sensibilità, come pubblico, interno, riservato e ristretto, alle risorse informative, consentendo alle organizzazioni di applicare controlli di sicurezza proporzionati al valore dei dati e ai relativi requisiti normativi. Uno schema di classificazione ben implementato guida le decisioni su crittografia, controlli di accesso, politiche di conservazione e procedure di gestione lungo tutto il ciclo di vita dei dati. Le organizzazioni dovrebbero definire standard di etichettatura chiari, formare i dipendenti sulle proprie responsabilità di classificazione e utilizzare strumenti automatizzati, come le soluzioni di data discovery e DLP, per applicare le politiche di classificazione in modo coerente.