gegevensclassificatie

Gegevensclassificatie is het systematisch toewijzen van niveaus aan gegevens op basis van hun gevoeligheid, waarde en risico. Het doel is om passende beveiligingsmaatregelen te kiezen, ongeautoriseerde toegang te voorkomen en te voldoen aan wet- en regelgeving zoals de AVG. Het proces omvat het identificeren van gegevens, het bepalen van classificatieniveaus en het labelen van data zodat passende controles kunnen worden toegepast.

Veel gebruikte classificatiestructuren verschillen per organisatie, maar moderne benaderingen kennen meestal niveaus zoals Publiek (openbaar), Intern, Vertrouwelijk en Zeer Vertrouwelijk (of Geheime). De gekozen classificatie bepaalt welke personen toegang hebben, welke encryptie gewenst is, welke bewaartermijnen gelden en hoe data moeten worden vernietigd. Naast labels kan metadata worden vastgelegd om context en verantwoordelijken te definiëren.

Sindsdien rust de verantwoordelijkheid op duidelijke rollen: een data-eigenaar (verantwoordelijk voor de classificatie en naleving), een data steward (bewaken van volledigheid en consistentie) en een data custodian (verantwoordelijk voor opslag en technische beveiliging). De classificatie beïnvloed de hele data-lifecycle, van creatie en opslag tot gebruik, uitwisseling, archivering en vernietiging, met principes als need-to-know en minimisatie.

Standaarden en regelgeving die relevant zijn, omvatten ISO/IEC 27001, NIST SP 800-60 en de AVG. Een goede uitvoering vereist governance, trainingen en periodieke herziening. Voordelen zijn betere beveiliging, risicobeheer en efficiënte naleving; uitdagingen zijn inconsistentie in labeling, overhead bij het onderhoud en complexiteit bij grensoverschrijdende uitwisseling.