Klassifikazzjoni tad-data għal ISO 27001, GDPR, NIS2 u DORA
Il-mument tal-awditu tal-2026: “Urini l-evidenza”
Huwa Frar 2026, u l-laqgħa trimestrali tal-bord f’kumpanija fintech SaaS li qed tikber malajr mhijiex sejra bla xkiel daqs kemm kien jistenna s-CISO.
Il-kumpanija dan l-aħħar kisbet iċ-ċertifikazzjoni ISO/IEC 27001:2022. Għandha MFA, protezzjoni tal-endpoints, skannjar tal-vulnerabbiltajiet, rieżamijiet tal-aċċess, proċeduri ta’ rispons għall-inċidenti u rapport illustrat dwar it-tħejjija għal DORA. Imbagħad il-Kap Eżekuttiv jistaqsi l-mistoqsija li tbiddel it-ton fil-kamra.
“L-investitur ewlieni tagħna qed jistaqsi kif nistgħu nippruvaw li d-data finanzjarja tal-klijenti hija protetta b’mod konsistenti fuq AWS, Azure, il-pjattaforma SaaS tagħna għall-appoġġ u l-maħżen tal-analitika. Jekk awditur jiġbed fajl wieħed minn object storage u ieħor minn folder ta’ kollaborazzjoni, kif inkunu nafu li huma rregolati bl-istess regoli?”
Is-CISO jiftaħ ir-reġistru tal-assi. Dan jelenka bażijiet tad-data, kontijiet cloud, applikazzjonijiet, pjattaformi SaaS u postijiet ta’ ħżin. Iżda l-qasam tal-klassifikazzjoni mhuwiex komplut. Xi folders huma msemmija skont id-dipartiment, mhux skont is-sensittività. Esportazzjonijiet tal-klijenti jinsabu ħdejn fajls interni ta’ rappurtar. Xi spreadsheets tal-appoġġ fihom identifikaturi tal-klijenti, referenzi ta’ pagament u noti tal-każijiet, iżda huma ttikkettati “interni”. Jeżistu regoli DLP, iżda dawn jiġu attivati biss għal mudelli ovvji. Il-politika tal-cloud tgħid li d-data personali tal-UE trid tibqa’ f’reġjuni approvati, iżda t-tim ma jistax jipprova li r-regoli tar-residenza tad-data huma mmexxija minn metadata tal-klassifikazzjoni.
Imbagħad il-Maniġer tal-Konformità jżid l-angolu regolatorju: “Dan se jissodisfa GDPR Article 32, NIS2 Article 21 u l-evidenza tar-riskju tal-ICT taħt DORA?”
It-tweġiba onesta hija: għadu mhux.
Din hija l-lakuna tal-2026 li ħafna organizzazzjonijiet qed jiffaċċjaw. Għandhom kontrolli tas-sigurtà, iżda mhux is-saff ta’ governanza li jgħid lil kull kontroll x’għandu jipproteġi, kemm għandu jipproteġih b’saħħa u kif għandu jipprova dan. Dak is-saff ta’ governanza huwa l-klassifikazzjoni tad-data u t-tikkettar tal-informazzjoni.
F’termini ta’ ISO/IEC 27001:2022, il-klassifikazzjoni u t-tikkettar mhumiex prattiki kosmetiċi tal-ġestjoni tad-dokumenti. Huma l-pont prattiku bejn il-valutazzjoni tar-riskju, il-kontroll tal-aċċess, iċ-ċifrar, iż-żamma, id-DLP, ir-residenza tad-data fil-cloud, id-diliġenza dovuta tal-fornituri, il-monitoraġġ u r-rappurtar tal-inċidenti. Fil-mudell ta’ implimentazzjoni ta’ Clarysec, dawn jinsabu fiċ-ċentru tal-katina tal-evidenza tal-ISMS: tinventorja l-assi, tassenja sid, tikklassifikah, tittikkettah, tapplika regoli tal-immaniġġjar, timmonitorja l-eċċezzjonijiet u turi t-traċċabbiltà lill-awdituri.
Għaliex il-klassifikazzjoni u t-tikkettar issa huma kontrolli fil-livell tal-bord
Ir-regolaturi u l-klijenti dejjem aktar jistennew li l-organizzazzjonijiet juru li l-miżuri tas-sigurtà huma xierqa għas-sensittività tad-data, il-kritiċità tas-servizz u l-impatt tan-negozju ta’ falliment.
GDPR jagħmel dan espliċitu permezz tal-prinċipju tar-responsabbiltà. Article 5 jeħtieġ li d-data personali tiġi pproċessata b’mod legali, ġust u trasparenti, limitata għal dak li huwa meħtieġ, miżmuma biss sakemm ikun hemm bżonn u protetta b’miżuri tekniċi u organizzattivi xierqa. Il-kontrollur irid ikun kapaċi wkoll juri l-konformità. GDPR Article 32 imbagħad isir diffiċli biex jiġi sostnut b’evidenza jekk ma jkunx magħruf liema sistemi jipproċessaw data personali, liema data hija ta’ riskju għoli jew ta’ kategorija speċjali, fejn tinħażen u liema salvagwardji japplikaw.
NIS2 jgħolli l-livell tal-governanza. Article 20 jeħtieġ li l-korpi ta’ tmexxija ta’ entitajiet essenzjali u importanti japprovaw miżuri ta’ ġestjoni tar-riskji taċ-ċibersigurtà, jissorveljaw l-implimentazzjoni u jirċievu taħriġ. Article 21 jeħtieġ miżuri tekniċi, operattivi u organizzattivi xierqa u proporzjonati, inklużi analiżi tar-riskju, politiki tas-sigurtà, immaniġġjar tal-inċidenti, kontinwità tan-negozju, sigurtà tal-katina tal-provvista, sigurtà fl-akkwist u fl-iżvilupp, evalwazzjoni tal-effettività, iġjene ċibernetika, taħriġ, kontrolli kriptografiċi, sigurtà tar-Riżorsi Umani, kontroll tal-aċċess u ġestjoni tal-assi. Il-klassifikazzjoni mhijiex checkbox separata f’dik il-lista. Hija s-sistema ta’ teħid tad-deċiżjonijiet li tagħmel dawk il-miżuri proporzjonati.
DORA japplika l-istess loġika għall-entitajiet finanzjarji u għall-ekosistemi fintech. Mill-17 ta’ Jannar 2025, DORA jeħtieġ qafas dokumentat ta’ ġestjoni tar-riskju tal-ICT, responsabbiltà tal-korp ta’ tmexxija, politiki għall-kunfidenzjalità, l-integrità, id-disponibbiltà u l-awtentiċità, klassifikazzjoni tal-inċidenti, ittestjar tar-reżiljenza u ġestjoni tar-riskju tal-ICT ta’ partijiet terzi. Għal entitajiet finanzjarji regolati minn DORA, DORA jista’ jopera bħala l-att legali tal-Unjoni speċifiku għas-settur minflok obbligi li jikkoinċidu taħt NIS2 dwar il-ġestjoni tar-riskju u r-rappurtar, iżda l-aspettattiva dwar l-evidenza tibqa’ l-istess: uri kif l-informazzjoni kritika u l-assi tal-ICT jiġu identifikati, protetti, ittestjati, immonitorjati u rregolati.
ISO/IEC 27001:2022 huwa adattat sew bħala s-sistema operattiva għal din l-evidenza. Clauses 4.1 sa 4.4 jeħtieġu li l-organizzazzjoni tifhem kwistjonijiet interni u esterni, rekwiżiti ta’ partijiet interessati, obbligi regolatorji u kuntrattwali u interfaces ma’ organizzazzjonijiet oħra. Clauses 6.1.1 sa 6.1.3 jeħtieġu valutazzjoni tar-riskju, trattament tar-riskju, għażla tal-kontrolli, Dikjarazzjoni ta’ Applikabbiltà u evidenza miżmuma. ISO/IEC 27001:2022
Jekk GDPR, NIS2 u DORA jistaqsu, “Għaliex applikajtu dawn il-miżuri?”, ISO/IEC 27001:2022 jgħinek twieġeb, “Għax dawn l-assi, tipi ta’ data, riskji, obbligi u deċiżjonijiet ta’ trattament wassluna hawn.”
Il-klassifikazzjoni hija d-deċiżjoni dwar ir-riskju. It-tikkettar huwa s-sinjal operattiv.
Clarysec jifred il-klassifikazzjoni mit-tikkettar għax l-awdituri jagħmlu hekk.
Il-klassifikazzjoni hija l-att li bih tiġi deċiża s-sensittività, il-valur u l-kritiċità tal-informazzjoni. It-tikkettar huwa l-att li jagħmel dik id-deċiżjoni viżibbli, persistenti u applikabbli fl-operazzjonijiet ta’ kuljum.
Il-Politika ta’ Klassifikazzjoni u Tikkettar tad-Data - SME ta’ Clarysec tiddikjara l-għan b’mod ċar:
Din il-politika tiddefinixxi kif l-informazzjoni kollha mmaniġġjata mill-organizzazzjoni għandha tiġi kklassifikata u ttikkettata biex jiġi żgurat li l-kunfidenzjalità, l-integrità u d-disponibbiltà tagħha jinżammu matul iċ-ċiklu tal-ħajja tagħha.
L-istess Politika ta’ Klassifikazzjoni u Tikkettar tad-Data - SME teħtieġ li l-organizzazzjonijiet:
Jiżguraw li kull assi tad-data jiġi kklassifikat skont is-sensittività tiegħu u ttikkettat kif xieraq biex jiggwida l-immaniġġjar, il-ħżin u l-aċċess xierqa.
Għal ambjenti enterprise, il-P13 Politika ta’ Klassifikazzjoni u Tikkettar tad-Data ta’ Clarysec tiddefinixxi l-mudell minimu tal-klassifikazzjoni:
L-organizzazzjoni għandha żżomm skema ta’ klassifikazzjoni standardizzata b’livelli definiti b’mod ċar. Bħala minimu, għandhom jintużaw il-livelli ta’ klassifikazzjoni li ġejjin: 5.1.1 Pubblika: Informazzjoni maħsuba għal pubblikazzjoni miftuħa u distribuzzjoni mingħajr restrizzjoni 5.1.2 Interna: Informazzjoni tan-negozju mhux pubblika li mhijiex maħsuba għal ħruġ estern 5.1.3 Kunfidenzjali: Data sensittiva tan-negozju, kuntrattwali jew tal-klijent li teħtieġ kontroll tal-aċċess strett 5.1.4 Ristretta (jew Kunfidenzjali Ħafna): Informazzjoni kritika jew regolata fejn żvelar mhux awtorizzat jista’ jwassal għal ħsara sinifikanti jew responsabbiltà legali
Dik id-distinzjoni hija importanti. Klassifikazzjoni “Kunfidenzjali” tista’ teħtieġ ċifrar, aċċess ibbażat fuq rwoli u salvagwardji kuntrattwali. Klassifikazzjoni “Ristretta” tista’ tattiva MFA, approvazzjoni tas-CISO għal qsim estern, reġistrazzjoni msaħħa, governanza aktar stretta taż-żamma, segregazzjoni u eskalazzjoni prijoritarja tal-inċidenti.
Il-politika enterprise hija espliċita dwar it-tikkettar operattiv:
L-assi kollha tal-informazzjoni għandhom jiġu ttikkettati b’mod li jkun: 6.2.1.1 Persistenti: Mhux faċli li jitneħħa jew jiġi megħlub 6.2.1.2 Viżibbli: Ċar għall-utenti fil-punt tal-użu 6.2.1.3 Li jinqara mill-magni: Fejn possibbli, għandu jkun appoġġjat tikkettar ibbażat fuq metadata
It-tikketti li jinqraw mill-magni huma l-punt fejn il-programm jimxi minn għarfien għal infurzar. Jekk it-tikketti jkunu bbażati fuq metadata, pjattaformi cloud, sistemi DLP, gateways tal-email, għodod tal-identità, regoli SIEM, pjattaformi CASB u magni taż-żamma jistgħu jaġixxu fuqhom. Jekk it-tikketti jkunu biss footer f’dokument, jistgħu jgħinu lill-utenti, iżda ma jistgħux japplikaw ir-regoli b’mod affidabbli fuq skala.
Fejn għandha tkun il-klassifikazzjoni fil-pjan direzzjonali ta’ Clarysec
Il-Zenith Blueprint: pjan direzzjonali ta’ 30 pass għall-awditur ta’ Clarysec ipoġġi l-klassifikazzjoni kmieni fiċ-ċiklu tal-ħajja tal-ġestjoni tar-riskju, mhux wara l-implimentazzjoni tat-teknoloġija. Fil-fażi tal-Ġestjoni tar-Riskju, Step 9, “Identifikazzjoni tal-assi, it-theddid u l-vulnerabbiltajiet,” il-pjan direzzjonali jidderieġi lit-timijiet biex jinventorjaw l-assi tal-informazzjoni u jirreġistraw is-sid, il-post u l-klassifikazzjoni.
Dan jipprevjeni falliment komuni: li jkollok inventarju tal-cloud iżda mhux inventarju tal-informazzjoni. Database, tenant SaaS jew maħżen tad-data huwa assi teknoloġiku. Ir-reġistri tal-klijenti, il-fajls tal-impjegati, il-logs tal-pagamenti, datasets għat-taħriġ tal-mudelli, transcripts tal-appoġġ u evidenza tal-inċidenti li jkun fihom huma assi tal-informazzjoni. Il-klassifikazzjoni tinsab f’dak il-livell tal-informazzjoni.
Il-gwida ta’ Zenith Blueprint dwar ISO/IEC 27002:2022 control 5.12, Klassifikazzjoni tal-informazzjoni, tispjega l-prinċipju:
Kull kontroll tas-sigurtà tal-informazzjoni li qatt inkiteb, restrizzjoni tal-aċċess, ċifrar, backup, monitoraġġ jew rimi, jassumi ħaġa waħda: li l-organizzazzjoni taf x’qed tipproteġi. Control 5.12 jeħtieġ li l-informazzjoni tiġi kklassifikata skont il-valur, is-sensittività u l-kritiċità tagħha, u b’hekk tifforma l-pedament għad-deċiżjonijiet sussegwenti kollha fi ħdan l-ISMS.
Għal ISO/IEC 27002:2022 control 5.13, Tikkettar tal-informazzjoni, l-istess pjan direzzjonali jbiddel il-klassifikazzjoni f’imġiba ta’ kuljum:
It-tikkettar huwa kif tibdel politika astratta f’realtà operattiva. Huwa l-mument meta utent, meta jara dokument, email, qasam ta’ database jew rapport stampat, jista’ jgħid minnufih: x’inhi din l-informazzjoni, kemm hija sensittiva u kif għandha tiġi mmaniġġjata.
Il-konnessjoni finali tal-pjan direzzjonali tidher f’Step 13, “Ippjanar tat-trattament tar-riskju u Dikjarazzjoni ta’ Applikabbiltà.” Zenith Blueprint jiddeskrivi s-SoA bħala l-pont bejn ir-riskji, it-trattamenti u l-kontrolli. Hawnhekk il-klassifikazzjoni ssir traċċabbiltà għall-awditu. Xenarju ta’ riskju bħal “żvelar mhux awtorizzat ta’ data finanzjarja tal-klijenti minn ħażna cloud kondiviża” jista’ jiġi mmappjat mal-klassifikazzjoni, it-tikkettar, il-kontroll tal-aċċess, iċ-ċifrar, ir-reġistrazzjoni, id-DLP, l-użu tal-cloud, ir-rekwiżiti tal-fornituri u r-rispons għall-inċidenti.
Ir-relazzjonijiet bejn il-kontrolli li l-awdituri jistennew jaraw
Fil-Zenith Controls: il-gwida għall-konformità trasversali ta’ Clarysec, ISO/IEC 27002:2022 control 5.12, Klassifikazzjoni tal-informazzjoni, huwa mmappjat bħala kontroll preventiv li jappoġġja l-kunfidenzjalità, l-integrità u d-disponibbiltà. Huwa assoċjat mal-kunċett taċ-ċibersigurtà Identify, mal-kapaċità operattiva tal-Protezzjoni tal-Informazzjoni u mad-dominji tas-sigurtà tal-Protezzjoni u d-Difiża.
Għal ISO/IEC 27002:2022 control 5.13, Tikkettar tal-informazzjoni, Zenith Controls jimmappja l-kontroll bħala preventiv, iffukat fuq Protect, bl-istess proprjetajiet tas-sigurtà tal-informazzjoni u kapaċità operattiva tal-Protezzjoni tal-Informazzjoni.
L-għarfien kritiku huwa li l-klassifikazzjoni u t-tikkettar mhumiex iżolati. Huma jagħmlu l-kontrolli ta’ madwarhom difensibbli.
| Qasam tal-kontroll ISO/IEC 27002:2022 | Għaliex jiddependi fuq il-klassifikazzjoni jew it-tikkettar | Evidenza li awditur jista’ jitlob |
|---|---|---|
| 5.9 Inventarju tal-informazzjoni u assi oħra assoċjati | Il-metadata tal-klassifikazzjoni għandha tkun qasam ewlieni fl-inventarju tal-assi | Reġistru tal-Assi li juri sid, post, stat taċ-ċiklu tal-ħajja u klassifikazzjoni |
| 5.12 Klassifikazzjoni tal-informazzjoni | Tiddefinixxi s-sensittività, il-valur u l-kritiċità | Skema ta’ klassifikazzjoni approvata, kriterji, eżempji u reġistri tar-rieżami |
| 5.13 Tikkettar tal-informazzjoni | Jagħmel il-klassifikazzjoni viżibbli u applikabbli | Konfigurazzjoni tat-tikketti, kampjuni ta’ fajls ittikkettati, tikketti tal-email, tags SaaS u gwida għall-utenti |
| 5.14 Trasferiment tal-informazzjoni | Jiddetermina jekk ikunx meħtieġ qsim estern, ċifrar jew approvazzjoni | Regoli tat-trasferiment skont il-klassifikazzjoni, kanali approvati u reġistri tal-eċċezzjonijiet |
| 5.15 Kontroll tal-aċċess | Il-permessi ta’ aċċess għandhom isegwu l-konfini tal-klassifikazzjoni | Matriċi tar-rwoli, rieżamijiet tal-aċċess, regoli ta’ aċċess privileġġjat u storja tal-approvazzjonijiet |
| 5.25 Evalwazzjoni u deċiżjoni dwar avvenimenti tas-sigurtà tal-informazzjoni | Is-severità tal-inċident tiddependi parzjalment fuq is-sensittività tad-data affettwata | Kriterji tat-triage tal-inċidenti li jużaw il-klassifikazzjoni u l-kritiċità tas-servizz |
| 5.34 Privatezza u protezzjoni tal-PII | Il-kategoriji ta’ data personali jeħtieġu immaniġġjar speċifiku għall-privatezza | Reġistru tal-PII, immappjar tal-bażi legali, regoli taż-żamma u kontrolli tal-proċessuri |
| 8.15 Logging | Aċċess għal data Ristretta jeħtieġ traċċabbiltà aktar b’saħħitha | Logs tal-aċċess għad-data, settings taż-żamma tal-logs u evidenza tar-rieżami |
| 8.16 Attivitajiet ta’ monitoraġġ | Il-prijorità tal-monitoraġġ tinbidel meta tintmess data Ristretta | Każijiet ta’ użu SIEM, limiti ta’ twissija u reġistri tal-eskalazzjoni |
Zenith Controls jimmappja control 5.12 ma’ GDPR Article 32 u Recital 83, NIS2 Article 21(2)(a) u 21(2)(f), ISO/IEC 27701 Annex B, NIST SP 800-53 MP-3 u PM-11, FIPS 199 u NIST SP 800-60, u COBIT 2019 DSS06.06 u APO13.01. Jimmappja control 5.13 ma’ GDPR Article 32, NIS2 Article 21(2)(a) u 21(2)(f), DORA Article 9(1) u 9(2), NIST SP 800-53 MP-3 u COBIT 2019 DSS06.06.
Dan ifisser li sett wieħed ta’ evidenza jista’ jwieġeb diversi mistoqsijiet ta’ assigurazzjoni.
| Xprunatur tal-konformità | Kontribut tal-klassifikazzjoni u t-tikkettar | Prova prattika |
|---|---|---|
| GDPR Article 32 | Juri liema data personali teħtieġ salvagwardji ta’ kunfidenzjalità, integrità, disponibbiltà u reżiljenza | Klassifikazzjoni tal-PII, regoli taċ-ċifrar, restrizzjonijiet tal-aċċess, immappjar taż-żamma u kriterji tat-triage tal-ksur |
| NIS2 Article 21 | Jappoġġja analiżi tar-riskju, politiki tas-sigurtà, evalwazzjoni tal-effettività, kontroll tal-aċċess, ġestjoni tal-assi u miżuri proporzjonati | Politika approvata mill-maniġment, inventarju tal-assi, taħriġ, metriċi tar-rieżami u regoli ttestjati tal-immaniġġjar |
| Ġestjoni tar-riskju tal-ICT taħt DORA | Tappoġġja l-identifikazzjoni u l-protezzjoni tal-informazzjoni u tal-assi tal-ICT, il-klassifikazzjoni tal-inċidenti u r-riskju tal-ICT ta’ partijiet terzi | Reġistru tal-assi tal-ICT, kritiċità tad-data, rekwiżiti kuntrattwali tal-fornituri, kamp ta’ applikazzjoni tal-ittestjar u kriterji tas-severità tal-inċidenti |
| NIST CSF 2.0 | Jappoġġja r-riżultati GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND u RECOVER | Current and Target Profiles b’lakuni fil-klassifikazzjoni u azzjonijiet ta’ rimedju prijoritizzati |
| COBIT 2019 | Jappoġġja kontrolli ta’ governanza u proċess għas-sigurtà, l-immaniġġjar tad-data u l-operat tal-kontrolli | Objettivi tal-kontrolli, sjieda tal-proċess, ittestjar tal-assigurazzjoni u ġestjoni tal-eċċezzjonijiet |
Ir-reġistru tal-assi huwa fejn il-klassifikazzjoni ssir evidenza
Ħafna programmi ta’ klassifikazzjoni jfallu għax l-iskema ta’ klassifikazzjoni teżisti biss f’politika. L-approċċ ta’ Clarysec jibda bl-inventarju tal-assi.
Il-P12 Politika tal-Ġestjoni tal-Assi ta’ Clarysec teħtieġ li l-inventarju tal-assi jinkludi l-livell ta’ klassifikazzjoni bħala qasam minimu:
L-Inventarju tal-Assi għandu jkun fih, bħala minimu: 5.3.1 Identifikatur tal-assi, kategorija u tip 5.3.2 Numru tas-serje jew tag uniku (għal assi fiżiċi) 5.3.3 Verżjoni tas-software jew ċavetta tal-liċenzja (għal assi tas-software) 5.3.4 Sid tal-Assi 5.3.5 Livell ta’ klassifikazzjoni (Pubblika, Interna, Kunfidenzjali, Ristretta) 5.3.6 Post (fiżiku, virtwali, cloud) 5.3.7 Stat taċ-ċiklu tal-ħajja (attiv, fil-manutenzjoni, irtirat)
Dan jallinja direttament mal-ippjanar tar-riskju ta’ ISO/IEC 27001:2022. Jekk ma tistax tidentifika l-assi tal-informazzjoni, is-sid, il-post u l-klassifikazzjoni tiegħu, ma tistax tivvaluta b’mod konsistenti l-probabbiltà, l-impatt, il-prijorità tat-trattament jew ir-riskju residwu. Lanqas ma tista’ tiddeċiedi b’kunfidenza jekk arranġament ma’ fornitur, servizz cloud jew integrazzjoni SaaS jaffettwax informazzjoni regolata.
Għal GDPR, dan jappoġġja r-responsabbiltà. Ir-reġistri tal-ipproċessar taħt Article 30 u l-miżuri tas-sigurtà taħt Article 32 isiru aktar kredibbli meta r-Reġistru tal-Assi jidentifika fejn tiġi pproċessata d-data personali u kif tiġi protetta. Għal DORA, l-istess reġistru jappoġġja l-kritiċità tal-assi u tas-servizzi tal-ICT, il-kamp ta’ applikazzjoni tal-ittestjar tar-reżiljenza u l-analiżi tad-dipendenzi fuq partijiet terzi. Għal NIS2, jappoġġja analiżi tar-riskju, kontroll tal-aċċess u ġestjoni tal-assi.
| Qasam | Eżempju ta’ entrata |
|---|---|
| Isem tal-assi | Database tal-kontijiet tal-klijenti |
| Sid tal-assi | Kap tal-Inġinerija tal-Pjattaforma |
| Proċess tan-negozju | Kontijiet u fatturazzjoni tal-abbonamenti |
| Post | Reġjun cloud tal-UE, servizz immaniġġjat ta’ database |
| Klassifikazzjoni | Ristretta |
| Kategoriji tad-data | Identifikaturi tal-klijenti, data ta’ kuntatt għall-kontijiet, referenzi tat-tranżazzjonijiet |
| Rilevanza għal GDPR | Data personali, kuntesti ta’ kontrollur u proċessur |
| Kritiċità | Tappoġġja operazzjonijiet ta’ dħul u servizz tal-klijenti |
| Kontrolli ewlenin | MFA, ċifrar tad-data maħżuna, ċifrar tad-data fi tranżitu, approvazzjoni ta’ aċċess privileġġjat, reġistrazzjoni tal-awditu, ittestjar tal-backup |
| Dipendenza fuq fornitur | Fornitur tad-database cloud, proċessur tal-pagamenti |
| Frekwenza tar-rieżami | Rieżami tal-aċċess kull tliet xhur, rieżami annwali tal-klassifikazzjoni, rieżami meta tinbidel is-sistema |
Dan it-tip ta’ reġistru jibdel it-ton tal-awditu. Minflok tgħid, “Nemmnnu li d-data sensittiva hija protetta,” l-organizzazzjoni tista’ turi x’inhi d-data, min huwa s-sid tagħha, għaliex hija Ristretta, liema kontrolli japplikaw u meta dawk il-kontrolli ġew riveduti l-aħħar.
It-tikketti għandhom imexxu r-regoli tal-immaniġġjar fil-cloud u SaaS
Il-biċċa l-kbira tad-data sensittiva issa tiċċaqlaq permezz ta’ pjattaformi cloud, applikazzjonijiet SaaS, pipelines tal-analitika u għodod ta’ kollaborazzjoni. Politika li tgħid lill-utenti biex “jimmaniġġjaw data kunfidenzjali b’attenzjoni” mhijiex biżżejjed.
Il-P27 Politika dwar l-Użu tal-Cloud ta’ Clarysec torbot l-użu tal-cloud direttament mal-klassifikazzjoni u mar-residenza tad-data:
Klassifikazzjoni u residenza tad-data 6.6.1 L-ebda data ma tista’ tiġi mċaqalqa lejn pjattaforma cloud mingħajr klassifikazzjoni skont il-Politika ta’ Klassifikazzjoni u Tikkettar tad-Data (P13). 6.6.2 Ir-rekwiżiti tar-residenza tad-data għandhom jiġu infurzati kuntrattwalment (eż. ħażna fl-UE biss għal data regolata minn GDPR). 6.6.3 It-trasferimenti transkonfinali tad-data għandhom ikunu konformi ma’ GDPR Chapter V u, fejn applikabbli, DORA Article 28.
Dan huwa importanti għax ir-riskju tal-cloud spiss jidħol permezz tal-konvenjenza. Tim jesporta dataset lejn għodda ġdida tal-analitika. It-tim tal-bejgħ jissinkronizza listi ta’ klijenti ma’ pjattaforma ta’ awtomazzjoni. Żviluppatur jikkopja data tal-produzzjoni f’ambjent tat-test. Mingħajr klassifikazzjoni u tikkettar, dawn l-azzjonijiet jistgħu ma jattivawx rieżami legali, approvazzjoni tas-sigurtà jew verifiki tal-fornituri.
Il-Politika ta’ Klassifikazzjoni u Tikkettar tad-Data - SME tagħti lill-organizzazzjonijiet iżgħar mudell sempliċi ta’ implimentazzjoni:
Folders kondiviżi jew drajvs cloud għandhom jużaw ismijiet ta’ folders jew tags biex jindikaw il-klassifikazzjoni (eż., “/Clients_Confidential”).
Għal ambjenti maturi, l-ismijiet tal-folders għandhom jiġu ssupplimentati b’tikketti li jinqraw mill-magni, politiki ta’ aċċess kondizzjonali, imblukkar tal-qsim estern, ċifrar, tikketti taż-żamma, regoli DLP u reġistrazzjoni. L-għan mhuwiex sempliċiment li tittikketta l-informazzjoni. L-għan huwa li t-tikketta ssir azzjonabbli.
Tikketta “Ristretta” tista’ tattiva imblukkar tal-qsim estern, ċifrar tad-data maħżuna u tad-data fi tranżitu, MFA, restrizzjonijiet fuq downloads għal apparati mhux immaniġġjati, żamma tal-logs tal-awditu, twissijiet SIEM, regoli taż-żamma, limiti fuq il-post tal-fornitur u eskalazzjoni tas-severità tal-inċidenti.
Il-P13 Politika ta’ Klassifikazzjoni u Tikkettar tad-Data tistabbilixxi l-linja bażi:
Kull immaniġġjar, trażmissjoni, aċċess, ħżin u rimi tal-informazzjoni għandhom ikunu allinjati mal-livell ta’ klassifikazzjoni tagħha. Bħala minimu: 6.3.1.1 Pubblika: Tista’ tiġi żvelata liberament; ma hu meħtieġ l-ebda immaniġġjar speċjali 6.3.1.2 Interna: Maqsuma fi ħdan l-organizzazzjoni; maħżuna f’sistemi interni siguri 6.3.1.3 Kunfidenzjali: 6.3.1.3.1 Aċċess ristrett biss għal persunal awtorizzat 6.3.1.3.2 Trid tkun iċċifrata fi tranżitu u meta maħżuna 6.3.1.3.3 Tista’ tinqasam esternament biss taħt NDA jew salvagwardji kuntrattwali ekwivalenti 6.3.1.4 Ristretta: 6.3.1.4.1 Japplikaw l-ogħla rekwiżiti tas-sigurtà 6.3.1.4.2 Kontrolli tal-aċċess b’saħħithom, awtentikazzjoni b’diversi fatturi (MFA) u reġistrazzjoni tal-awditu huma meħtieġa 6.3.1.4.3 Segregazzjoni fiżika u loġika fejn possibbli 6.3.1.4.4 Il-qsim estern huwa pprojbit mingħajr approvazzjoni tas-CISO
Kull tikketta għandha mġiba. Kull mġiba għandha kontroll. Kull kontroll għandu evidenza.
Eżempju prattiku ta’ applikazzjoni
Ikkunsidra analista fintech li joħloq Q3_2026_Customer_Churn_Analysis.xlsx. L-ispreadsheet tinkludi IDs tal-klijenti, volumi ta’ tranżazzjonijiet u punteġġ predittiv ta’ churn.
L-analista jikklassifikah bħala Kunfidenzjali għax fih data tal-klijenti u analiżi strateġika. Bl-użu tal-għodda tal-protezzjoni tal-informazzjoni tal-kumpanija, l-analista japplika t-tikketta Kunfidenzjali. Minħabba li t-tikketta hija persistenti, viżibbli u li tinqara mill-magni, il-kontrolli jiġu attivati awtomatikament.
Il-fajl jiġi ċċifrat meta jkun maħżun fuq l-apparat u fil-ħażna cloud. Header viżibbli jimmarkah bħala Kunfidenzjali. Meta l-analista jipprova jissinkronizzah ma’ drajv cloud personali, regola DLP timblokka l-azzjoni u tilloggja t-tentattiv. Meta l-analista jipprova jibagħtu bl-email lil dominju estern li mhuwiex ta’ sieħeb, il-gateway tal-email ipoġġi l-messaġġ fil-kwarantina u javża lill-operazzjonijiet tas-sigurtà. Jekk il-fajl aktar tard jiġi kklassifikat mill-ġdid bħala Ristrett għax fih data regolata ta’ tranżazzjonijiet finanzjarji, il-qsim estern jiġi diżattivat sakemm is-CISO jew is-sid tad-data japprova l-eċċezzjoni.
Din hija l-prova li ried il-Kap Eżekuttiv. Hija traċċabbli, awtomatizzata u marbuta ma’ politika approvata mill-bord. Taqbel ukoll mal-P27 Politika dwar l-Użu tal-Cloud, għax l-ebda ċaqliq lejn il-cloud ma huwa permess mingħajr klassifikazzjoni u t-trasferimenti transkonfinali jridu jissodisfaw GDPR Chapter V u, fejn applikabbli, DORA Article 28.
Ibni matriċi klassifikazzjoni-kontroll f’ġimgħa
Programm sħiħ jieħu ż-żmien, iżda sprint iffukat jista’ joħloq is-sinsla tal-evidenza qabel awditu, rieżami tal-klijent jew evalwazzjoni regolatorja.
Jum 1: Ikkonferma l-iskema tal-klassifikazzjoni
Ibda b’erba’ livelli: Pubblika, Interna, Kunfidenzjali u Ristretta. Uża P13 Politika ta’ Klassifikazzjoni u Tikkettar tad-Data bħala l-linja bażi. Iddefinixxi kriterji bl-użu tal-impatt fuq in-negozju, l-impatt legali, is-sensittività kuntrattwali, ir-riskju tad-data personali, il-kritiċità tas-servizz u l-ħsara finanzjarja.
| Klassifikazzjoni | Eżempji tipiċi | Loġika tar-riskju |
|---|---|---|
| Pubblika | Kontenut ta’ marketing approvat, stqarrijiet għall-istampa, avviżi ta’ impjiegi | Maħsuba għal distribuzzjoni mingħajr restrizzjoni |
| Interna | Proċeduri interni, noti tal-proġett, avviżi interni | Informazzjoni tan-negozju mhux pubblika |
| Kunfidenzjali | Kuntratti tal-klijenti, fajls tar-Riżorsi Umani, rappurtar finanzjarju mhux pubbliku | Data sensittiva tan-negozju, kuntrattwali jew tal-klijenti |
| Ristretta | Data personali ta’ kategorija speċjali, data tal-pagamenti, sigrieti tal-awtentikazzjoni, databases tal-klijenti fil-produzzjoni | Informazzjoni kritika jew regolata b’impatt legali jew tan-negozju sinifikanti |
Jum 2: Agħżel għaxar assi kritiċi tal-informazzjoni
Uża Zenith Blueprint Step 9. Inkludi database tal-klijenti, sistema ta’ tickets tal-appoġġ, pjattaforma tar-Riżorsi Umani, fornitur tal-identità, esportazzjoni tal-pagamenti, maħżen tad-data, bucket ta’ object storage, folder tar-rappurtar tal-bord, repożitorju tal-kodiċi tas-sors u repożitorju tal-evidenza tal-inċidenti. Irreġistra s-sid, il-post, il-klassifikazzjoni u r-rilevanza għal GDPR.
Jum 3: Immappja r-regoli tal-immaniġġjar
Iddefinixxi rekwiżiti tal-immaniġġjar għall-aċċess, il-ħżin, it-trasferiment, il-monitoraġġ u r-rimi.
| Klassifikazzjoni | Aċċess | Ħżin | Trasferiment | Monitoraġġ | Rimi |
|---|---|---|---|---|---|
| Pubblika | Rwoli miftuħa jew approvati għall-pubblikazzjoni | Kanali pubbliċi approvati | L-ebda restrizzjoni speċjali wara l-approvazzjoni | Monitoraġġ bażiku tal-integrità | Tħassir standard |
| Interna | Impjegati u kuntratturi approvati | Sistemi mmaniġġjati | Kanali interni | Logs standard tal-aċċess | Skeda ta’ żamma standard |
| Kunfidenzjali | Aċċess fuq il-prinċipju tal-bżonn li tkun taf | Repożitorji siguri approvati | Ċifrar u NDA jew salvagwardji kuntrattwali | Rieżami tal-aċċess u twissijiet DLP | Tħassir sigur |
| Ristretta | Prinċipju tal-inqas privileġġ b’MFA u approvazzjoni tas-sid | Sistemi segregati jew imsaħħa | Qsim estern ipprojbit sakemm ma jkunx approvat | Reġistrazzjoni tal-awditu msaħħa u twissijiet SIEM | Qerda sigura vverifikata |
Jum 4: Ikkonfigura triq waħda ta’ infurzar tekniku
Agħżel pjattaforma waħda, bħal repożitorju tad-dokumenti fil-cloud, sistema tal-email jew servizz ta’ object storage. Implimenta tikketti viżibbli u li jinqraw mill-magni. Ikkonfigura regola waħda għal data Kunfidenzjali u regola waħda għal data Ristretta. Pereżempju, itlob ċifrar għal emails esterni Kunfidenzjali u ibblokka l-qsim estern ta’ fajls Ristretti.
Jum 5: Aġġorna r-Reġistru tar-Riskji u s-SoA
Uża Zenith Blueprint Step 13. Żid kontrolli tal-klassifikazzjoni u t-tikkettar mad-Dikjarazzjoni ta’ Applikabbiltà. Orbothom ma’ riskji bħal żvelar mhux awtorizzat, konfigurazzjoni ħażina tal-cloud, espożizzjoni eċċessiva tal-fornituri, falliment taż-żamma tad-data u nuqqas ta’ rappurtar xieraq tal-inċidenti.
Jum 6: Ittestja l-kontroll
Oħloq fajl tat-test ittikkettat Ristrett. Ipprova aqsmu esternament minn apparat mhux immaniġġjat. Ikkonferma jekk l-għodda timblokkax, twissix, tilloggjax jew teskalax. Aqbad screenshots, entrati fil-logs u evidenza tat-ticket. Jekk il-kontroll ifalli, irreġistra l-eċċezzjoni u l-pjan ta’ rimedju.
Jum 7: Ħarreġ lill-utenti tal-ewwel linja
It-taħriġ għandu jkun speċifiku għar-rwol. L-iżviluppaturi għandhom ikunu jafu meta data tal-produzzjoni ma tistax tintuża f’ambjenti tat-test. Ir-Riżorsi Umani għandhom jifhmu għaliex il-fajls tal-impjegati huma Kunfidenzjali jew Ristretti. Il-bejgħ għandu jkun jaf għaliex esportazzjonijiet tal-klijenti ma jistgħux jittellgħu f’għodod SaaS mhux approvati. L-eżekuttivi għandhom jifhmu għaliex board packs, fajls ta’ akkwist u data tal-investituri jeħtieġu immaniġġjar aktar b’saħħtu.
Dan l-isprint ma jlestix il-programm kollu, iżda joħloq is-sinsla tal-evidenza: politika, inventarju, tikketti, regoli tal-immaniġġjar, infurzar tekniku, traċċabbiltà tar-riskju u taħriġ.
Kif l-awdituri se jittestjaw il-klassifikazzjoni u t-tikkettar
L-awdituri rarament jittestjaw il-klassifikazzjoni waħedha. Isegwu d-data.
Awditur ISO/IEC 27001:2022 se jgħaqqad il-klassifikazzjoni mal-kamp ta’ applikazzjoni tal-ISMS, ir-rekwiżiti tal-partijiet interessati, l-obbligi legali u kuntrattwali, il-valutazzjoni tar-riskju u d-Dikjarazzjoni ta’ Applikabbiltà. Se jistenna evidenza għal ISO/IEC 27002:2022 controls 5.9, 5.12, 5.13, 5.14, 5.15, 5.34 u kontrolli tekniċi rilevanti. Evidenza tipika tinkludi politiki approvati, reġistri tal-inventarju tal-assi, entrati fir-Reġistru tar-Riskji, kampjuni ttikkettati, regoli tal-immaniġġjar, rieżamijiet tal-aċċess, sejbiet tal-awditu intern u azzjonijiet korrettivi.
Reviżur ta’ GDPR se jiffoka fuq data personali. Se jistaqsi jekk id-data personali hijiex identifikata, jekk id-data ta’ kategorija speċjali hijiex distinta, jekk ir-regoli taż-żamma humiex allinjati mal-għan u jekk il-miżuri tas-sigurtà taħt Article 32 humiex xierqa. Il-klassifikazzjoni tgħin tifred informazzjoni tan-negozju ordinarja minn data personali, data personali sensittiva, data kunfidenzjali tal-klijenti u reġistri regolati. It-tikkettar jgħin lit-timijiet operattivi jevitaw żvelar aċċidentali, żamma eċċessiva u trasferiment mhux awtorizzat.
Valutatur ta’ NIST CSF 2.0 x’aktarx iqiegħed il-klassifikazzjoni taħt GOVERN, IDENTIFY u PROTECT. Jista’ jistaqsi jekk Current and Target Profiles jiddefinixxux skoperta ta’ data sensittiva, jekk l-infurzar tat-tikketti jaħdimx fuq sistemi SaaS u cloud, jekk il-fornituri jimmaniġġjawx id-data skont il-klassifikazzjoni u jekk il-prijoritajiet tal-monitoraġġ jaġġustawx skont is-sensittività.
Awditur bi stil COBIT 2019 jew ISACA se jenfasizza objettivi ta’ governanza, sjieda tal-proċessi, disinn tal-kontrolli u effettività operattiva. Zenith Controls jimmappja inventory control 5.9 ma’ COBIT 2019 BAI09.01, BAI09.02 u DSS05.04, u jirreferi għal ISACA ITAF 2204 u 2301. Għall-klassifikazzjoni, Zenith Controls jimmappja control 5.12 ma’ COBIT 2019 DSS06.06 u APO13.01, filwaqt li t-tikkettar jiġi mmappjat ma’ DSS06.06. L-awditur jistaqsi min huwa s-sid tal-proċess, kif jiġu approvati l-eċċezzjonijiet, jekk il-prestazzjoni hijiex immonitorjata u jekk il-maniġment jirċevix rappurtar.
Reviżur iffukat fuq DORA jistaqsi liema assi tal-informazzjoni jappoġġjaw funzjonijiet kritiċi jew importanti, liema data hija Ristretta, liema fornituri terzi tal-ICT jaħżnu jew jittrażmettu dik id-data, jekk il-kuntratti jiddefinixxux postijiet u miżuri tas-sigurtà, jekk l-ittestjar huwiex skopjat għal data kritika u jekk l-inċidenti humiex ikklassifikati parzjalment skont telf ta’ data jew impatt fuq id-disponibbiltà, l-awtentiċità, l-integrità u l-kunfidenzjalità.
Jekk it-tweġibiet jiġu minn mudell wieħed ta’ evidenza tal-assi u tal-fornituri mmexxi mill-klassifikazzjoni, l-awditi jsiru aktar veloċi, aktar konsistenti u aktar difensibbli.
Mudelli komuni ta’ falliment
Il-fallimenti fil-klassifikazzjoni normalment iseħħu għax l-organizzazzjonijiet jittrattaw it-tikketti bħala għodod ta’ sensibilizzazzjoni minflok sinjali ta’ kontroll.
L-ewwel, jikklassifikaw dokumenti iżda mhux databases, APIs, logs, backups, esportazzjonijiet jew reġistri SaaS. Data sensittiva f’log ta’ debug tista’ tkun ta’ ħsara daqs data sensittiva fi spreadsheet.
It-tieni, jittikkettaw l-informazzjoni iżda ma jgħaqqdux it-tikketti mal-kontroll tal-aċċess. Tikketta Ristretta b’aċċess miftuħ turi li l-organizzazzjoni kienet taf bis-sensittività u naqset milli tapplika r-regola tal-immaniġġjar.
It-tielet, il-migrazzjonijiet lejn il-cloud iseħħu qabel il-klassifikazzjoni. It-timijiet iċaqalqu data f’għodod SaaS ġodda mingħajr ma jikkonfermaw ir-residenza tad-data, it-termini tal-fornituri, l-aċċess tas-subprocessors, ir-rekwiżiti ta’ trasferimenti transkonfinali jew id-drittijiet tat-tħassir. P27 Politika dwar l-Użu tal-Cloud tindirizza dan direttament billi tipprojbixxi ċaqliq lejn pjattaformi cloud mingħajr klassifikazzjoni.
Ir-raba’, il-pjanijiet ta’ rispons għall-inċidenti jinjoraw il-klassifikazzjoni. Jekk il-kriterji tas-severità ma jinkludux is-sensittività tad-data, it-timijiet tal-inċidenti jaħlu l-ħin jiskopru x’ġie affettwat waqt kriżi. L-analiżi tal-ksur taħt GDPR, l-immaniġġjar tal-inċidenti taħt NIS2 u l-klassifikazzjoni tal-inċidenti taħt DORA kollha jibbenefikaw minn kuntest tad-data rapidu.
Il-ħames, is-SoA ma tispjegax għaliex il-kontrolli tal-klassifikazzjoni u t-tikkettar huma applikabbli. L-organizzazzjoni setgħet implimentat tikketti, iżda s-SoA tonqos milli torbothom ma’ GDPR Article 32, NIS2 Article 21, riskju tal-ICT taħt DORA, kuntratti tal-klijenti jew xenarji ta’ riskju speċifiċi.
Rappurtar lill-maniġment: agħmel il-klassifikazzjoni viżibbli
NIS2 u DORA jagħmlu ċ-ċibersigurtà kwistjoni ta’ responsabbiltà tal-maniġment. ISO/IEC 27001:2022 jeħtieġ ukoll impenn tat-tmexxija, allinjament tal-politiki, riżorsi, rwoli u rappurtar tal-prestazzjoni. Għalhekk il-metriċi tal-klassifikazzjoni għandhom jaslu sal-rieżami tal-ġestjoni.
Metriċi utli jinkludu:
- Perċentwal ta’ assi kritiċi tal-informazzjoni b’sidien assenjati.
- Perċentwal ta’ assi bi klassifikazzjoni approvata.
- Numru ta’ assi Ristretti mingħajr reġistrazzjoni msaħħa.
- Numru ta’ repożitorji Kunfidenzjali jew Ristretti b’qsim estern attivat.
- Perċentwal ta’ fornituri li jipproċessaw data Kunfidenzjali jew Ristretta bi klawżoli kuntrattwali aġġornati.
- Numru ta’ eċċezzjonijiet tal-klassifikazzjoni u azzjonijiet ta’ rimedju skaduti.
- Inċidenti DLP skont it-tikketta.
- Tlestija tar-rieżami tal-aċċess għal assi Ristretti.
- Postijiet ta’ ħażna cloud għal data regolata minn GDPR.
- Eżerċizzji ta’ rispons għall-inċidenti li użaw kriterji tas-severità bbażati fuq il-klassifikazzjoni.
Dawn il-metriċi jappoġġjaw ir-rieżami tal-ġestjoni ta’ ISO/IEC 27001:2022, is-sorveljanza tal-maniġment taħt NIS2, ir-rappurtar tal-governanza taħt DORA u l-assigurazzjoni għall-klijenti. Jagħmlu wkoll il-klassifikazzjoni tinftiehem għall-eżekuttivi. It-tmexxija tista’ taġixxi aktar malajr meta tara li diversi repożitorji Ristretti m’għandhomx irkupru ttestjat jew li fornituri kritiċi jipproċessaw data tal-klijenti mingħajr ħażna kkonfermata fl-UE.
Mill-politika sal-prova
Il-mudell ta’ implimentazzjoni ta’ Clarysec huwa mmexxi mill-evidenza:
- Iddefinixxi l-iskema tal-klassifikazzjoni fil-P13 Politika ta’ Klassifikazzjoni u Tikkettar tad-Data jew ibda bil-Politika ta’ Klassifikazzjoni u Tikkettar tad-Data - SME.
- Żid il-klassifikazzjoni mal-inventarju tal-assi bl-użu tal-P12 Politika tal-Ġestjoni tal-Assi.
- Applika restrizzjonijiet tal-cloud u rekwiżiti tar-residenza permezz tal-P27 Politika dwar l-Użu tal-Cloud.
- Uża Zenith Blueprint Step 9 biex tidentifika assi tal-informazzjoni, sidien, postijiet u sensittività.
- Uża Zenith Blueprint Step 13 biex timmappja riskji ma’ kontrolli fis-SoA.
- Uża Zenith Blueprint Step 22 biex timplimenta ISO/IEC 27002:2022 controls 5.12 u 5.13 fl-operazzjonijiet ta’ kuljum.
- Uża Zenith Controls biex timmappja l-istess evidenza ma’ GDPR, NIS2, DORA, NIST CSF, COBIT 2019 u standards ta’ appoġġ.
- Ittestja l-infurzar tat-tikketti, ir-restrizzjonijiet tal-aċċess, ir-reġistrazzjoni, id-DLP u t-triage tal-inċidenti.
- Irrapporta l-prestazzjoni tal-klassifikazzjoni lill-maniġment.
- Irrevedi l-klassifikazzjoni wara bidliet maġġuri fis-sistemi, il-proċessi, il-fornituri jew ir-regolamenti.
Dan jaħdem għax il-klassifikazzjoni ssir il-lingwa komuni bejn il-valur tan-negozju, l-obbligu legali, il-kontroll tekniku u l-evidenza tal-awditu.
Jekk l-organizzazzjoni tiegħek qed tipprepara għaċ-ċertifikazzjoni ISO/IEC 27001:2022, assigurazzjoni GDPR, tħejjija għal NIS2, diliġenza dovuta tal-klijenti taħt DORA jew awditu kombinat ta’ konformità, ibda b’mistoqsija waħda:
Tista’ turi, għal kull assi kritiku tal-informazzjoni, x’inhu, min huwa s-sid tiegħu, fejn jinsab, kif huwa kklassifikat, kif huwa ttikkettat, min jista’ jaċċessah, kif huwa protett, għal kemm żmien jinżamm, liema fornitur imissu u x’jiġri jekk jiġi espost?
Jekk it-tweġiba għadha le, Clarysec jista’ jgħinek tibni l-katina tal-evidenza malajr u b’mod difensibbli.
Uża l-Politika ta’ Klassifikazzjoni u Tikkettar tad-Data - SME, P13 Politika ta’ Klassifikazzjoni u Tikkettar tad-Data, P12 Politika tal-Ġestjoni tal-Assi, P27 Politika dwar l-Użu tal-Cloud, Zenith Blueprint: pjan direzzjonali ta’ 30 pass għall-awditur u Zenith Controls: il-gwida għall-konformità trasversali biex tbiddel il-klassifikazzjoni minn politika statika għal saff operattiv ta’ kontroll għal GDPR Article 32, ġestjoni tar-riskju ċibernetiku taħt NIS2 u evidenza tar-riskju tal-ICT taħt DORA.
L-aħjar żmien biex tikklassifika d-data kien qabel ma waslet it-talba tal-awditu. It-tieni l-aħjar żmien huwa qabel il-migrazzjoni li jmiss lejn il-cloud, l-onboarding tal-fornitur, il-kwestjonarju tal-klijent jew inċident.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
