Классификация данных
Классифицируйте данные с учётом их чувствительности и критичности.
Тема Классификация данных определена результатами NIST CSF 2.0: ID.AM-05 (Assets are prioritized based on classification, criticality, resources, and impact on the mission); ID.AM-07 (Inventories of data and corresponding metadata for designated data types are maintained). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, CIS v8.1, 800-53 и NIS2. Редакционные материалы Сопоставлено редакторски в SOC 2, PCI DSS, CMMC, DORA и CPS 234. Только косвенная связь в HIPAA. Нет сопоставления в наших данных В наших данных нет сопоставления для GDPR, Essential Eight и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | ID.AM-05ID.AM-07 | Assets are prioritized based on classification, criticality, resources, and impact on the mission; Inventories of data and corresponding metadata for designated data types are maintained | Определение темы | ID.AM-05 ID.AM-07 |
| ISO 27001 | A.5.12A.5.13 | Classification of information; Labelling of information | Соответствия | A.5.12: via ID.AM-05; NIST 800-53 map: RA-2 A.5.13: via ID.AM-05 |
| CIS v8.1 | CIS 3.2CIS 3.7CIS 3.8 | Establish and Maintain a Data Inventory; Establish and Maintain a Data Classification Scheme; Document Data Flows | Соответствия | CIS 3.2: via ID.AM-07 CIS 3.7: via ID.AM-05 CIS 3.8: Editorial (CIS's published crosswalk covers 49 of 153 safeguards): documented data flows support classification and handling. |
| SOC 2 | C1.1 | Identifying and protecting confidential information | Редакционные материалы | C1.1: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 9.4.2 | Media classified by data sensitivity | Редакционные материалы | 9.4.2: PCI DSS's only classification requirement (media classified by data sensitivity); not linked to ID.AM-05/07 in NIST's references. |
| CMMC | MP.L2-3.8.4 | Media Markings | Редакционные материалы | MP.L2-3.8.4: Marking media with CUI markings is CMMC's closest practice to classification/labelling. |
| 800-53 | RA-2 | Security Categorization | Соответствия | RA-2: via ID.AM-05 |
| HIPAA | §164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(7)(ii)(E)§164.316(a)§164.316(b)(2)(i) | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (ID.AM-05, ID.AM-07) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| GDPR | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование GDPR не сопоставлено с этой темой. |
| NIS2 | 12.1 | Asset classification | Соответствия | 12.1: via ID.AM-05; ENISA ISO map: A.5.12, A.5.13 |
| Essential Eight | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Essential Eight не сопоставлено с этой темой. |
| DORA | Art.8(1) | Identification | Редакционные материалы | Art.8(1): Classify ICT-supported business functions and information assets. |
| CPS 234 | Para 20 | Classify information assets by criticality and sensitivity | Редакционные материалы | Para 20: Classify information assets by criticality and sensitivity. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Классификация данных»
Классификация данных присваивает информационным активам уровни конфиденциальности, такие как «публичные», «внутренние», «конфиденциальные» и «ограниченного доступа», что позволяет организациям применять меры безопасности, соразмерные ценности данных и требованиям регулирования. Грамотно внедрённая схема классификации определяет решения в отношении шифрования, контроля доступа, политик хранения и порядка обработки на всех этапах жизненного цикла данных. Организациям следует устанавливать понятные стандарты маркировки, обучать сотрудников их обязанностям в части классификации и использовать автоматизированные инструменты, такие как обнаружение данных и решения DLP, для последовательного применения политик классификации.