Classification de l'information

Définition

La classification de l'information est le processus qui consiste à catégoriser les données et documents d'une organisation selon leur niveau de sensibilité, afin de leur appliquer des mesures de protection proportionnées. Les schémas de classification comportent généralement plusieurs niveaux, par exemple public, interne, confidentiel et secret, chacun associé à des règles précises de stockage, de chiffrement, de partage et de destruction. Cette démarche constitue une exigence centrale de la norme ISO 27001, qui impose l'existence d'un schéma de classification cohérent avec l'analyse de risque de l'organisation, et s'articule étroitement avec la politique de sécurité de l'information. La classification s'applique à tous les formats de données, qu'elles soient numériques ou physiques, structurées dans des bases de données ou non structurées dans des courriels et documents bureautiques. Elle constitue le préalable indispensable au marquage de la sensibilité des données et au déploiement d'outils de prévention de la perte de données, ou DLP, qui s'appuient sur ces niveaux pour bloquer automatiquement des transferts non autorisés. Une classification mal appliquée ou inexistante expose l'organisation à des risques de fuite de données sensibles et complique la conformité au RGPD, notamment pour l'identification des données à caractère personnel nécessitant des mesures de protection renforcées. Sa mise en œuvre repose sur la responsabilisation des propriétaires de données métier.