Politika klasifikacije i označavanja podataka – SME

Politika klasifikacije i označavanja podataka (P13S) definira kako se sve informacije kojima organizacija rukuje moraju klasificirati i označiti, osiguravajući njihovu povjerljivost, cjelovitost i dostupnost kroz njihov životni ciklus. Ova politika omogućuje dosljedno i usklađeno postupanje s podacima dodjeljivanjem razina zaštite informacijama na temelju osjetljivosti, utjecaja na poslovanje ili pravnih obveza, poput onih definiranih GDPR-om, NIS2 i DORA-om. Njezino usvajanje ključno je za organizacije koje traže certifikaciju ISO/IEC 27001, jer im omogućuje sustavno smanjenje rizika od slučajnog otkrivanja, neovlaštenog pristupa ili nepravilnog postupanja s povjerljivim podacima. Važno je istaknuti da je ovo politika za SME, što je naznačeno brojem dokumenta P13S i dodjelom uloge „General Manager” kao vlasnika politike, što odražava prilagodbu za organizacije bez namjenskih IT ili CISO uloga. Politika prevodi složene regulatorne i sigurnosne zahtjeve u jasno strukturirane odgovornosti prikladne za SME. General Manager posjeduje i nadzire provedbu politike i iznimke; vlasnici informacija ili voditelji podataka provode početnu klasifikaciju, označavanje i periodični pregled; IT voditelj ili administrator (interni ili vanjski) implementira tehnološke kontrole; a svo osoblje/izvođači dužni su primjenjivati, provjeravati i poštovati klasifikacije te sudjelovati u obuci. Opseg politike je sveobuhvatan i obuhvaća sve organizacijske podatke bez obzira na format, lokaciju ili fazu životnog ciklusa. To uključuje elektroničke datoteke, podatke u oblaku i u vlastitim prostorijama, fizičke dokumente, e-poštu, pa čak i privremene ili prolazne podatke poput log-zapisa i datoteka predmemorije. Osoblje i treće strane koje rukuju takvim podacima moraju dosljedno primjenjivati klasifikaciju i označavanje tijekom stvaranja, uporabe, pohrane, prijenosa, arhiviranja ili brisanja. Zahtijeva se jednostavna shema klasifikacije s tri razine: javno (slobodno dijeljivo), interna uporaba (ograničeno na osoblje) i povjerljivo (osjetljivo, zahtijeva najstrože mjere zaštite poput šifriranja i kontrola pristupa). Politika nalaže vidljivo i trajno označavanje digitalne i fizičke imovine, rutinske preglede kada se promijene poslovni modeli, softver ili zakonodavstvo te formalna pravila postupanja za svaku razinu klasifikacije. Ove odredbe osiguravaju da SME, čak i uz pojednostavljene operativne strukture, mogu dokazati pravnu usklađenost i zaštitu podataka temeljenu na riziku, uz poticanje odgovornosti i jasnog upravljanja podacima. Periodične revizije, nasumične provjere i dokumentirano upravljanje iznimkama dodatno jačaju usklađenost. Kršenja, poput pohrane povjerljivih podataka na nezaštićenim lokacijama ili neoznačavanja imovine na odgovarajući način, podliježu sankcijama u rasponu od upozorenja do pravnih radnji. Godišnji obvezni pregled osigurava da se politika prilagođava promjenjivim rizicima, regulatornim zahtjevima i organizacijskim promjenama, čineći je sastavnim dijelom obrambenog programa kibernetičke sigurnosti i privatnosti za SME.