Classificação de Dados
Classifique os dados com base em sensibilidade e criticidade.
Classificação de Dados é definido pelos resultados do NIST CSF 2.0 ID.AM-05 (Assets are prioritized based on classification, criticality, resources, and impact on the mission); ID.AM-07 (Inventories of data and corresponding metadata for designated data types are maintained). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, CIS v8.1, 800-53 e NIS2. Editorial Mapeado editorialmente em SOC 2, PCI DSS, CMMC, DORA e CPS 234. Apenas vagamente relacionado em HIPAA. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para GDPR, Essential Eight e Cyber Essentials.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.AM-05ID.AM-07 | Assets are prioritized based on classification, criticality, resources, and impact on the mission; Inventories of data and corresponding metadata for designated data types are maintained | Definição do tópico | ID.AM-05 ID.AM-07 |
| ISO 27001 | A.5.12A.5.13 | Classification of information; Labelling of information | Correspondência | A.5.12: via ID.AM-05; NIST 800-53 map: RA-2 A.5.13: via ID.AM-05 |
| CIS v8.1 | CIS 3.2CIS 3.7CIS 3.8 | Establish and Maintain a Data Inventory; Establish and Maintain a Data Classification Scheme; Document Data Flows | Correspondência | CIS 3.2: via ID.AM-07 CIS 3.7: via ID.AM-05 CIS 3.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): documented data flows support classification and handling. |
| SOC 2 | C1.1 | Identifying and protecting confidential information | Editorial | C1.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 9.4.2 | Media classified by data sensitivity | Editorial | 9.4.2: PCI DSS's only classification requirement (media classified by data sensitivity); not linked to ID.AM-05/07 in NIST's references. |
| CMMC | MP.L2-3.8.4 | Media Markings | Editorial | MP.L2-3.8.4: Marking media with CUI markings is CMMC's closest practice to classification/labelling. |
| 800-53 | RA-2 | Security Categorization | Correspondência | RA-2: via ID.AM-05 |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)§164.316(a)§164.316(b)(2)(i) | Não mapeado para este tema | Esses requisitos compartilham apenas os resultados do CSF deste tópico (ID.AM-05, ID.AM-07) por meio de crosswalks publicados: vale verificar, mas não é um mapeamento. | |
| GDPR | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de GDPR está mapeado para este tema em nossos dados. |
| NIS2 | 12.1 | Asset classification | Correspondência | 12.1: via ID.AM-05; ENISA ISO map: A.5.12, A.5.13 |
| Essential Eight | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Essential Eight está mapeado para este tema em nossos dados. |
| DORA | Art.8(1) | Identification | Editorial | Art.8(1): Classify ICT-supported business functions and information assets. |
| CPS 234 | Para 20 | Classify information assets by criticality and sensitivity | Editorial | Para 20: Classify information assets by criticality and sensitivity. |
| Cyber Essentials | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Cyber Essentials está mapeado para este tema em nossos dados. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Classificação de Dados
A classificação de dados atribui níveis de sensibilidade, como público, interno, confidencial e restrito, aos ativos de informação, permitindo que as organizações apliquem controles de segurança proporcionais ao valor dos dados e aos requisitos regulatórios. Um esquema de classificação bem implementado orienta decisões sobre criptografia, controles de acesso, políticas de retenção e procedimentos de manuseio ao longo de todo o ciclo de vida dos dados. As organizações devem estabelecer padrões claros de rotulagem, capacitar os funcionários sobre suas responsabilidades de classificação e utilizar ferramentas automatizadas, como soluções de descoberta de dados e DLP, para aplicar as políticas de classificação de forma consistente.