A.8.2: Классификация информации

Подробное описание

Контроль A.8.2 требует создания и применения схемы классификации информационных активов на основе их критичности, конфиденциальности и ценности для организации. Классификация позволяет определить необходимый уровень защиты для каждой категории данных и обеспечить соответствие требованиям законодательства. Система должна включать чёткие критерии отнесения информации к категориям, процедуры маркировки носителей и правила обращения с данными каждого уровня конфиденциальности. Эффективная классификация является основой для применения пропорциональных мер защиты и оптимизации затрат на информационную безопасность.

Практические шаги внедрения

1. 1

   Разработать схему классификации с минимум тремя уровнями (например: публичная, внутренняя, конфиденциальная, строго конфиденциальная) с чёткими критериями отнесения данных к каждой категории

2. 2

   Назначить владельцев информационных активов, ответственных за первоначальную классификацию и периодический пересмотр уровня конфиденциальности

3. 3

   Внедрить обязательную маркировку документов, писем и файлов грифами конфиденциальности (визуальные метки, метаданные, штампы)

4. 4

   Установить технические средства контроля: DLP-системы для предотвращения утечек, шифрование для конфиденциальных данных, ограничения доступа на уровне файловых систем

5. 5

   Разработать инструкции по обработке информации каждого класса: правила хранения, передачи, копирования, уничтожения носителей

6. 6

   Провести обучение сотрудников принципам классификации, процедурам маркировки и ответственности за неправильную обработку данных

7. 7

   Внедрить процесс периодического аудита классификации активов (не реже одного раза в год) и актуализации схемы при изменении бизнес-требований

Типичные нарушения

• Отсутствие формализованной схемы классификации или наличие только двух уровней (публичная/конфиденциальная) без градации критичности

• Документы и файлы не содержат грифов конфиденциальности, классификация существует только на бумаге без реального применения

• Владельцы активов не назначены или не понимают своих обязанностей по классификации, решения принимаются IT-департаментом без участия бизнеса

• Конфиденциальные данные хранятся и передаются без соответствующих мер защиты: незашифрованные базы данных, отправка персональных данных через незащищённую почту

• Отсутствует регулярный пересмотр классификации: информация, утратившая актуальность, продолжает обрабатываться как строго конфиденциальная, создавая избыточные затраты на защиту

Почему это важно

Проверяемые категории

Связанные контроли