Organisationen verarbeiten heutzutage täglich große Datenmengen. Diese reichen von sensiblen Kundendaten bis hin zu öffentlichen Informationen. Das Fehlen eines strukturierten Umgangs mit diesen Daten birgt verschiedene Gefahren wie Datenschutzverletzungen, Cyberangriffe, Datenverlust usw.
Dieser Mangel an Struktur kann dazu führen, dass kritische Daten unzureichend und unkritische Daten übermäßig geschützt werden, wodurch wertvolle Ressourcen verschwendet werden. Darüber hinaus kann er die Nichteinhaltung von Standards wie ISO 27001 und SOC 2 zur Folge haben, da diese ein angemessenes Datenmanagement zum Schutz sensibler Informationen fordern.
Daher muss eine Datenklassifizierungsrichtlinie erstellt werden, um grundlegende Datenschutzpraktiken zu gewährleisten und die Einhaltung bewährter Verfahren zum Schutz von Informationen sicherzustellen. Die Verantwortung hierfür liegt beim Datenschutzteam, dem ISMS-Team oder dem IT-Team des Unternehmens.
- Eine Datenklassifizierungsrichtlinie definiert, wie Ihre Organisation Daten nach Sensibilität kennzeichnet und welche Verarbeitungsregeln für jede Kennzeichnung gelten.
- Dies gilt für alle, die Unternehmensdaten erstellen, darauf zugreifen, sie speichern, verarbeiten oder weitergeben, einschließlich Mitarbeiter, Auftragnehmer und genehmigte Dritte.
- Die Klassifizierung hilft Ihnen, strengere Kontrollen für risikoreiche Daten anzuwenden und zu vermeiden, dass unnötig Aufwand durch übermäßigen Schutz von Daten mit niedrigem Risiko bei Audits, Verkaufsprüfungen und im Tagesgeschäft verschwendet wird.
- Sprinto stellt Richtlinienvorlagen bereit, verfolgt die Bestätigung von Richtlinien und hilft dabei, Richtlinien Compliance-Rahmenwerken zuzuordnen, damit Sie Prüfern schneller Nachweise zur Verfügung stellen können.
Was ist eine Datenklassifizierungsrichtlinie?
Eine Datenklassifizierungsrichtlinie ist ein Dokument, das Vorgaben zur Gruppierung von Informationen nach Sensibilität sowie zu deren Speicherung, Kategorisierung und Verarbeitung enthält. Sie schützt sensible Daten und reduziert die Auswirkungen von Risiken und Sicherheitsverletzungen.
Die Implementierung einer Datenklassifizierungsrichtlinie ermöglicht eine effizientere Datenverwaltung durch die Einführung verbesserter Organisations-, Speicher- und Verarbeitungspraktiken. Sie definiert klar, wer auf Daten zugreifen darf, wie diese verarbeitet werden und wie sie behandelt werden können.
Eine Richtlinie zur Klassifizierung von Daten oder Informationen definiert auch Methoden zur Speicherung sensibler Daten und legt die erforderlichen Maßnahmen fest, wie z. B. Verschlüsselung, Datensicherung, Sicherheit usw. Sie ebnet auch den Weg für einen Reaktionsplan für jede Kategorie im Falle eines Sicherheitsvorfalls.
Warum eine Datenklassifizierungsrichtlinie wichtig ist
Eine Datenklassifizierungsrichtlinie übersetzt allgemeine Schutzziele in klare Regeln. Sie definiert, welche Kennzeichnung jeder Datensatz erhält – beispielsweise öffentlich, intern, vertraulich, eingeschränkt oder privat –, welche Auswirkungen diese Daten haben und wie genau sie behandelt, gespeichert, abgerufen, weitergegeben, gesendet, aufbewahrt oder gelöscht werden müssen.
Die wichtigsten Vorteile sind:
- Uneinheitlicher Schutz wird durch die Festlegung von Mindestkontrollen für jede Kategorie verhindert. Vertrauliche Daten wie Anmeldeinformationen oder regulierte Ausweise werden streng geschützt und verschlüsselt, während für öffentliche Daten weniger Einschränkungen gelten.
- Beseitigt Unsicherheiten für die Mitarbeiter, indem Entscheidungen wie Speicherung, Weitergabe und externer Versand klar und wiederholbar gestaltet werden.
- Vereinfacht Audits und Kundenbewertungen durch die Bereitstellung einer einheitlichen Bearbeitungsmatrix und eines Nachweises über die Umsetzung der Richtlinien anstelle von uneinheitlichen Erklärungen zwischen den Teams.
- Klärt die Verantwortlichkeiten durch die Benennung von Dateneigentümern, Datenverwaltern und Nutzern sowie durch die Definition eines Ausnahmeverfahrens mit klaren Genehmigungs- und Überprüfungsterminen.
- Beschleunigt die Priorisierung von Vorfällen, da die Klassifizierung aufzeigt, was auf dem Spiel steht; das Durchsickern von eingeschränkten oder vertraulichen Daten löst eine strengere Eskalation aus als interne oder öffentliche Daten.
Wichtige Bestandteile einer Datenklassifizierungsrichtlinie
Eine Datenklassifizierungsrichtlinie enthält die Kriterien für die Kategorisierung von Daten anhand von Sensibilität, Wichtigkeit und Definitionen der einzelnen Datenklassifizierungsebenen. Sie dient außerdem als Leitfaden für den Umgang mit und den Zugriff auf die einzelnen Datenkategorien.
Zu den wichtigsten Inhalten einer Datenklassifizierungsrichtlinie gehören:
Zweck
Definiert das übergeordnete Ziel der Richtlinie und ihren Nutzen für das Unternehmen und seine Mitarbeiter. Erläutert die Bedeutung der Richtlinie und wie die Datenklassifizierung die Cybersicherheit gewährleistet.
Geltungsbereichserklärung
Sie definiert, für wen die Richtlinie gilt. Sie legt fest, ob sie für die gesamte Organisation oder nur für ausgewählte Teams gilt. Außerdem werden Mitarbeiter, Auftragnehmer, Lieferanten und andere Mitglieder genannt, für die die Richtlinie Anwendung findet.
Datenklassifizierungsgruppen
Hier kommt Ihre Richtlinie ins Spiel: Definieren Sie klar die Datenklassifizierungsebenen, die Ihr Unternehmen verwendet, und legen Sie genau fest, was zu jeder Ebene gehört. Seien Sie präzise, damit jeder – vom Neueinsteiger bis zum erfahrenen Ingenieur – genau weiß, wie mit den verschiedenen Datentypen umzugehen ist. Einheitlichkeit ist wichtig: Verwenden Sie daher in allen Richtlinien, Tools und Schulungen dieselben Bezeichnungen. Das schafft Vertrauen und Klarheit in jedem Schritt.
Ihr Klassifizierungsansatz sollte Ihrer Branche, den rechtlichen Anforderungen und Ihrer Risikobereitschaft entsprechen. Unabhängig vom gewählten Rahmenwerk müssen Sie jede Ebene mit klaren Umgangsregeln verknüpfen: Wer darf auf die Daten zugreifen? Wo sollen sie gespeichert werden? Wie dürfen sie weitergegeben oder übertragen werden? Und wann sollen sie gelöscht werden? So müssen Teams nie raten. Sie können Daten jederzeit sicher und korrekt verarbeiten.
Zu den gängigen Kategorien oder Arten der Datenklassifizierung gehören:
- VertraulichEnthält hochsensible Daten, deren Offenlegung erheblichen Schaden verursachen könnte.
- Öffentliche: Enthält Daten, die zur öffentlichen Freigabe bestimmt sind und bei deren Offenlegung ein minimales Risiko besteht.
- Interne BenutzungEnthält Daten, die für den internen Gebrauch im Unternehmen bestimmt sind, da eine Offenlegung nach außen schädlich sein könnte.
- EingeschränktEnthält die sensibelsten Daten, deren Zugriff streng kontrolliert wird.
- PrivateEnthält hochriskante Daten, die Einzelpersonen oder dem Unternehmen, über die die Offenlegung erfolgt, Schaden zufügen können und ohne Zugriff nicht verwendet werden sollten.
Wirkungsgrad
Dieser Abschnitt kategorisiert die Daten nach ihrem potenziellen Einfluss auf die Organisation, basierend auf Vertraulichkeit, Integrität und Verfügbarkeit der Informationen. Die Kategorisierung richtet sich nach den möglichen Folgen einer Datenkompromittierung. Für vertrauliche/eingeschränkte, öffentliche und interne/private Daten werden die Auswirkungsgrade „hoch“, „niedrig“ bzw. „mittel“ vergeben.
Rollen und Verantwortlichkeiten
Dieser Abschnitt beschreibt die verschiedenen Akteure im Datenmanagementprozess. Er definiert die verantwortlichen Personen, die jeweils Aufgaben bei der Erstellung und Umsetzung der Richtlinie, der Durchführung von Schulungen, der Einhaltung von Branchenstandards, der Aktualisierung der Richtlinie usw. übernehmen.
Datenverarbeitungsverfahren
Dieses Dokument enthält Richtlinien für den Umgang mit Daten in den verschiedenen Kategorien. Beispielsweise müssen als „vertraulich“ kategorisierte Daten verschlüsselt und mit Zugriffskontrollen gespeichert und übertragen werden . Es sollte auch festlegen, wie oft Zugriffsprotokolle überprüft werden.
Anhang A : Dieser Abschnitt der Richtlinie enthält die vordefinierten Datentypen, die direkt als „Vertraulich“ oder „Geschützt“ kategorisiert werden sollten. Er dient Dateneigentümern als Referenz zur genauen Identifizierung dieser Datentypen.
Vorlage und Beispiele für eine Datenklassifizierungsrichtlinie
Die Umsetzung von Datensicherheit erfordert, dass wir von abstrakten Konzepten zu klaren, durchsetzbaren Standards übergehen, die jeder Mitarbeiter befolgen kann. Dieser Abschnitt bietet die praktischen Werkzeuge für diesen Übergang. Referenztabelle Im Folgenden finden Sie Hilfestellung, um Ihre Mitarbeiter hinsichtlich der Regeln für Datensensibilität und -verarbeitung zu schulen, gefolgt von einem Vorlage für eine Datenklassifizierungsrichtlinie das an die Risikobereitschaft und den Technologie-Stack Ihres Unternehmens angepasst werden kann.
| Niveau | Typische Daten | Mindestregeln für den Umgang |
| Öffentliche | Informationen zur Veröffentlichung bestimmt. | Kann über genehmigte Kanäle extern weitergegeben werden. Vermeiden Sie die Aufnahme sensibler Daten in öffentliche Dokumente. |
| Interne Benutzung | Tägliche interne Dokumente und operative Informationen. | Beschränken Sie den Zugriff auf autorisierte Mitarbeiter. Speichern Sie die Daten in autorisierten internen Systemen. Veröffentlichen Sie die Daten nicht über öffentliche Links. |
| Private | Hochriskante Daten, deren Offenlegung Einzelpersonen oder dem Unternehmen schaden kann. | Zugriff nur bei Bedarf. Sichere Freigabe verwenden. Zugriffe nach Möglichkeit protokollieren. Aufbewahrungs- und Löschregeln anwenden. |
| Vertraulich | Hochsensible Daten, deren Offenlegung erheblichen Schaden verursachen könnte. | Zugriff nur bei Bedarf. Verschlüsselung während der Übertragung (und nach Möglichkeit auch im Ruhezustand). Kontrollierte Weitergabe und Genehmigung bevorzugen. |
| Eingeschränkt | Hochsensible Daten, deren Zugriff streng kontrolliert wird. | Strengste Zugriffskontrollen (explizite Genehmigungen). Verschlüsselung ruhender und übertragener Daten. Umfassende Überwachung und Protokollierung. Verwendung der restriktivsten verfügbaren Freigabemethode. |
Wenn Ihre Richtlinie sowohl „Privat“ als auch „Vertraulich“ verwendet, definieren Sie die Abgrenzung in einem Satz, damit die Teams einheitlich klassifizieren. Ein gängiger Ansatz ist: „Privat“ umfasst personenbezogene Daten (z. B. Personal- oder Kundendaten), während „Vertraulich“ sensible Geschäftsinformationen (z. B. Verträge, Preise, Architektur) umfasst. Verwenden Sie „Eingeschränkt“ für kleine Datenmengen wie Zugangsdaten/Schlüssel, die besonders strenge Kontrollen erfordern.
Vorlage für eine Datenklassifizierungsrichtlinie
Verwenden Sie diese Vorlage für eine Datenklassifizierungsrichtlinie als Ausgangspunkt und ersetzen Sie die Platzhalter.
Zweck
[Erläutern Sie, warum diese Richtlinie existiert und was sie schützt.]
Geltungsbereich
[Definieren Sie die abgedeckten Datentypen (strukturiert/unstrukturiert), Standorte (SaaS, Cloud, Endpunkte) und die Personen, für die es gilt (Mitarbeiter, Auftragnehmer, zugelassene Dritte).]
Datenklassifizierungsebenen (Datenklassifizierungstypen)
Öffentlich: [Definition + Beispiele]
Interne Verwendung: [Definition + Beispiele]
Privat: [Definition + Beispiele]
Vertraulich: [Definition + Beispiele]
Eingeschränkt: [Definition + Beispiele]
Wie man Daten klassifiziert (Kriterien und Entscheidungsregeln)
[Kriterien definieren: Sensibilität, rechtliche/vertragliche Anforderungen und Auswirkungen bei Offenlegung, Änderung oder Nichtverfügbarkeit.]
[Geben Sie an, wer die endgültige Entscheidung trifft, wenn die Klassifizierung unklar ist (z. B. Dateneigentümer + Sicherheit/ISMS).]
Handhabungsregeln (nach Klassifizierungsebene)
Speicherort: [Wo die einzelnen Ebenen gespeichert werden können.]
Zugriff: [Wie der Zugriff gewährt/überprüft wird; Mindestanforderungen an die Authentifizierung.]
Übertragung: [Wie die einzelnen Ebenen gesendet/geteilt werden können.]
Aufbewahrung und Löschung: [Wie lange Daten aufbewahrt werden sollten; wie sie sicher gelöscht werden können.]
Kennzeichnung: [Wie Kennzeichnungen angewendet werden (Datei-Tags, Header, Metadaten, Systemfelder).]
Protokollierung/Überwachung: [Welche Zugriffe/Aktivitäten müssen pro Ebene protokolliert werden?]
Rollen und Verantwortlichkeiten
Dateneigentümer: [Daten klassifizieren und Zugriff/Freigabe genehmigen.]
Datenverantwortliche/IT/Sicherheit: [Kontrollen, Protokollierung und Überwachung implementieren.]
Benutzer: [Beachten Sie die Handhabungsregeln und melden Sie vermuteten Missbrauch.]
Ausnahmen
[Wie Ausnahmen beantragt, genehmigt, dokumentiert und überprüft werden.]
Überprüfungsrhythmus
[Wie oft die Richtlinie überprüft wird (z. B. jährlich) und was eine außerplanmäßige Überprüfung auslöst (neue Systeme, neue Anbieter, neue Datentypen).]
Anhang A (optional): Standardklassifizierungen
[Listen Sie Datentypen auf, die in Ihrer Organisation immer privat/vertraulich/eingeschränkt sind (z. B. Anmeldeinformationen/Schlüssel).]
Beispiele: Wie verschiedene Organisationen dieselben Datenklassifizierungsebenen anwenden
Die folgenden Beispiele zeigen, wie verschiedene Organisationen häufig dieselben Datenklassifizierungsebenen anwenden. Nutzen Sie sie als Referenz und passen Sie sie dann an Ihre Gegebenheiten und Verpflichtungen an.
| Arbeitsumfeld | Öffentliche | Interne Benutzung | Private | Vertraulich | Eingeschränkt |
| B2B-SaaS | Website-Inhalte, öffentliche Dokumente | Standardarbeitsanweisungen, interne Wikis | Personalakten, Kundendaten | Kundenverträge, Preisgestaltung, Architekturdokumente | Zugangsdaten/Schlüssel, Produktionssicherheitszugang |
| Universität | Kurs Katalog | Ressourcen nur für Mitarbeiter | Schülerakten mit persönlichen Daten | Forschungsdaten, sensible interne Überprüfungen | Regierungsausweise, Zahlungsdaten, Speicher für Anmeldeinformationen |
| Gesundheitswesen | Materialien für die Öffentlichkeit | Interne Memos | Patientenakten und operative PHI | Sensible Geschäfts-/Vertragsdaten | Hochsensible Datensätze und Anmeldeinformationsspeicher |
Hier sind drei Beispiele für Datenklassifizierungsrichtlinien aus der Praxis, an denen Sie sich orientieren können:
1. Help Scout – Datenklassifizierungsrichtlinie
2. Universität von Ostlondon – Datenklassifizierungsrichtlinie
3. Bentley University – Datenklassifizierungsrichtlinie
Laden Sie Ihre Datenklassifizierungsrichtlinie herunter
Wie erstellen wir eine Datenklassifizierungsrichtlinie?
Die Erstellung einer Datenklassifizierungsrichtlinie umfasst die Definition von Kategorien für verschiedene Datentypen, um eine angemessene Verarbeitung, Sicherheit und Compliance zu gewährleisten. Diese Richtlinie unterstützt Unternehmen bei der effizienten Datenverwaltung, dem Schutz sensibler Informationen und der Erfüllung regulatorischer Anforderungen.
Die Schritte zur Erstellung einer soliden Datenklassifizierungsrichtlinie sind:
1. Analysieren Sie die Daten Ihres Unternehmens.
Der erste Schritt bei der Erstellung einer Datenklassifizierungsrichtlinie besteht darin, zu ermitteln, welche Arten von Daten Ihr Unternehmen erfasst, speichert und verarbeitet. Dies umfasst sowohl physische als auch elektronische Dokumente und Daten.
Erstellen Sie ein Dateninventar und analysieren Sie es, um dessen Sensibilität und die damit verbundenen potenziellen Risiken zu ermitteln. Berücksichtigen Sie dabei auch Faktoren wie rechtliche und regulatorische Vorgaben, Vertraulichkeit, finanzielle Auswirkungen und Reputationsrisiken.
Erfahren Sie, wie Sie eine Risikobewertung nach ISO 27001 durchführen.
2. Definieren Sie die Klassifizierungsebenen
Sobald Sie einen klaren Überblick über die Daten Ihres Unternehmens haben, definieren Sie die Klassifizierungsebenen anhand der Datentypen in Ihrem Unternehmen. Diese umfassen üblicherweise vertrauliche, private, eingeschränkte, interne und öffentliche Daten.
3. Wichtige Stakeholder einbeziehen
Sie benötigen die Zustimmung der Vorstandsmitglieder Ihrer Organisation, bevor Sie die Datenklassifizierungsrichtlinie erstellen. Besprechen Sie sich mit ihnen, um die anfängliche Klassifizierung besser zu verstehen und zu erörtern, warum eine solche Richtlinie notwendig ist.
Darüber hinaus erhalten Sie nach dem Gespräch mit den Beteiligten ein klareres Bild von Zweck und Anwendungsbereich der Richtlinie. Erarbeiten Sie einen Aktionsplan zur Ausarbeitung der Richtlinie und überprüfen Sie die definierten Klassifizierungsstufen sowie die Art der Daten, die in die jeweilige Kategorie fallen.
4. Richtlinien für die Datenklassifizierung entwickeln
Die Richtlinien oder Anweisungen zur Datenklassifizierung sollten klar angeben, wie Daten anhand ihrer Kritikalität, ihres Ausmaßes an Auswirkungen, der damit verbundenen Risiken, rechtlicher Anforderungen usw. zu kategorisieren sind. Sie sollten auch Protokolle enthalten, die den Leser zum Anhang führen, um zu erfahren, welche Daten standardmäßig als vertraulich gelten.
Die Anweisungen sollten auch Beispiele für jede Datenkategorie, deren Speicherung und Übertragung sowie den Prozess der Datenbereinigung enthalten.
Mehr erfahren: Wie implementiert man ein Datenschutz-Framework?
5. Jährliche Überprüfungen durchführen
Die Richtlinie zur Datenklassifizierung muss jährlich überprüft werden, um sicherzustellen, dass sie den gesetzlichen Bestimmungen, den Geschäftsanforderungen und den Branchenstandards entspricht. Sie sollte auch alle internen Änderungen im Datenmanagement des Unternehmens widerspiegeln.
Anhang A, Kontrollpunkt 5.12 der ISO 27001:2022, enthält Kriterien, die Organisationen dazu anhalten, die Klassifizierung von Informationen regelmäßig zu überprüfen. Darin wird anerkannt, dass sich die Wichtigkeit oder der Wert von Daten im Laufe der Zeit ändern kann und daher entsprechende Aktualisierungen erforderlich sind.
Wenn Sie wissen möchten, welche weiteren Anforderungen in Anhang A der ISO 27001:2022 gestellt wurden, können Sie die vollständige Kontrollliste hier herunterladen:
Weiterentwicklung einer Datenklassifizierungspolitik
Die Datenklassifizierung ist ein wichtiger Bestandteil des Daten-Governance-Prozesses eines Unternehmens. Laut George Firican, Direktor für Daten-Governance an der University of British Columbia, mindert die Klassifizierung Risiken, ermöglicht Governance und Compliance, verbessert die Geschäftseffizienz und erleichtert die Informationsanalyse.
Bei der Entwicklung einer Richtlinie zur Daten- oder Informationsklassifizierung ist zu beachten, dass diese an die spezifischen Anforderungen Ihres Unternehmens angepasst werden muss. Es gibt keinen Standard, der für alle Branchen oder Unternehmen gleichermaßen geeignet ist. Die Vorgehensweise hängt von den Risiken, Schwachstellen und der Bedrohungslandschaft Ihres Unternehmens ab.
Eine präzise Klassifizierungsrichtlinie ebnet den Weg zu einer starken Führungsstruktur in Ihrem Unternehmen mit klar definierten Richtlinien, Verfahren und Verantwortlichkeitsrahmen.
Um die Sache zu vereinfachen, können Sie die einheitliche Richtlinienbibliothek von Sprinto mit vorgefertigten Vorlagen nutzen. Sie können die Richtlinien unternehmensweit freigeben und sicherstellen, dass alle Mitarbeiter sie auf der Plattform bestätigt haben.
Mit Sprinto können Sie Richtlinien gemäß Ihren gewählten Compliance-Rahmenwerken abbilden. Die regelmäßige Richtlinienbestätigung lässt sich während der automatisierten Nachweiserfassung problemlos mit Auditoren teilen.
Bleiben Sie mit automatisierter, kontinuierlicher Compliance immer einen Schritt voraus.
Häufig gestellte Fragen
Die Datenklassifizierung ist der Prozess, Daten anhand ihrer Sensibilität, ihres Werts und ihrer Bedeutung für eine Organisation in Kategorien einzuteilen. Sie trägt dazu bei, dass sensible Informationen entsprechend ihrem Vertraulichkeitsgrad und ihrer Kritikalität angemessen geschützt, verwaltet und abgerufen werden.
Beispiele für geschützte Daten sind Sozialversicherungsnummern, Krankenakten, Ausweisdokumente, Kontaktdaten, Adressen, Kundendaten, Bankkontodaten, Passwörter usw.
Eine Datenklassifizierungsrichtlinie nach ISO 27001, wie sie in ISO 27001 Anhang A 5.12 definiert ist, beinhaltet die Kategorisierung von Informationen auf der Grundlage der Sicherheitsbedürfnisse der Organisation, wobei der Schwerpunkt auf Vertraulichkeit, Integrität, Verfügbarkeit und den Anforderungen relevanter Interessengruppen liegt.
Gängige Datenklassifizierungstypen sind Öffentlich, Intern, Vertraulich, Privat und Eingeschränkt. Manche Organisationen fügen weitere Kategorien hinzu, aber jede Kategorie sollte klar definiert sein und entsprechende Handhabungsregeln haben, damit die Teams sie einheitlich anwenden.
Eine Datenklassifizierungsrichtlinie verbessert die Datensicherheit, indem sie festlegt, welche Daten die strengsten Kontrollen erfordern und welche Kontrollen dies sind (z. B. Zugriffsbeschränkungen, Verschlüsselungsanforderungen und genehmigte Weitergabemethoden). Dadurch werden uneinheitliche Vorgehensweisen reduziert und die Durchsetzung von Schutzmaßnahmen dort erleichtert, wo das Risiko am höchsten ist.
Ja. Automatisierung kann helfen, indem sie die Richtlinienverteilung standardisiert, Bestätigungen nachverfolgt und revisionssichere Nachweise über die Richtlinienanwendung bereitstellt. Sie kann außerdem manuelle Nachbearbeitungen reduzieren, wenn Teams im Rahmen von Audits oder Sicherheitsüberprüfungen von Kunden einen Nachweis über die Richtlinienimplementierung benötigen.
Eine Datenklassifizierungsrichtlinie ist ein formelles Dokument, das festlegt, wie eine Organisation ihre Daten nach Sensibilität kennzeichnet, wer für die Anwendung dieser Kennzeichnungen verantwortlich ist und welche Regeln für die Verarbeitung jeder Kategorie gelten. Dies umfasst Speicherung, Zugriff, Übertragung, Aufbewahrung und Löschung. Ziel ist es, Datenschutzentscheidungen teamübergreifend einheitlich und wiederholbar zu gestalten, anstatt Einzelpersonen die Sensibilität bestimmter Informationen erraten zu lassen.
Das klassische Vier-Stufen-Modell verwendet folgende Kategorien: Öffentlich (keine Einschränkungen hinsichtlich der Weitergabe), Intern (nur für den internen Gebrauch, nicht zur externen Weitergabe), Vertraulich (sensible Geschäfts- oder personenbezogene Daten, die Zugriffskontrollen erfordern) und Eingeschränkt (die sensibelsten Daten, die strengste Kontrollen und eine ausdrückliche Genehmigung für den Zugriff erfordern). Dieses Modell ist in Behörden und Unternehmen weit verbreitet. Viele Wirtschaftsunternehmen ergänzen es um eine fünfte Stufe, Privat, um zwischen personenbezogenen und geschäftssensiblen Daten zu unterscheiden.
Die Dateneigentümer, in der Regel die Geschäftseinheit oder das Team, das die Daten erstellt oder verwaltet, sind für die anfängliche Klassifizierung verantwortlich. IT- und Sicherheitsteams implementieren die technischen Kontrollen, die den jeweiligen Kategorien entsprechen. Einzelne Mitarbeiter sind dafür verantwortlich, bei der Erstellung oder Verarbeitung von Daten die richtige Kategorie anzuwenden und die jeweiligen Verarbeitungsregeln einzuhalten. In unklaren Fällen sollte die Richtlinie einen Entscheidungsträger benennen, üblicherweise den Dateneigentümer, in Absprache mit dem Sicherheits- oder ISMS-Team.
Autorin
Stiefmütterchen
Pansy ist eine ISC2-zertifizierte Content-Marketing-Expertin für Cybersicherheit mit einem Hintergrund in Informatik. Zuletzt hat sie sich bei Sprinto mit der Welt des Marketings aus der Perspektive von GRC (Governance, Risk & Compliance) auseinandergesetzt. In ihrer Freizeit liest sie entweder vertieft politische Romane oder perfektioniert ihre Kochkünste. Manchmal findet man sie auch beim Sonnenbaden am Strand oder beim Wandern durch dichte Wälder.Gehen Sie über die Oberfläche hinaus und entdecken Sie die Erkenntnisse zu Governance, Risikomanagement und Compliance, die wirklich wichtig sind.
Sichern Sie sich digitale Vorteile für Ihren Erfolg im Vorstand.
Mehr erfahren
Recherchen und Erkenntnisse, die Ihnen helfen sollen, sich einen Platz am Tisch zu sichern.
