データ分類プログラムを作成する際の最初のステップは、ポリシー (D) を作成することです。データ分類ポリシーは、データ分類プログラムの目的、範囲、目標、役割、責任、および手順を定義するドキュメントです。データ分類ポリシーは、データ分類プロセスのガバナンス フレームワーク、標準、およびガイドラインを確立するために不可欠です。データ分類ポリシーは、データ所有者、ユーザー、管理者、監査人などの利害関係者にデータ分類プログラムの期待と利点を伝えるのにも役立ちます12。
データの分類と優先順位付け (A) は、データ分類プログラムを作成するときの最初のステップではなく、3 番目のステップです。データの分類と優先順位付けには、機密性、価値、リスクに基づいてデータを分類するための基準とラベルの定義と適用が含まれます。たとえば、データは公開、内部、機密、または制限レベルに分類できます。データの分類と優先順位付けは、組織の最も重要で機密性の高いデータ資産を識別して保護するのに役立ちます12。
データ プロセス マップ (B) の作成は、データ分類プログラムを作成するときの最初のステップではなく、4 番目のステップです。データ プロセス マップの作成には、組織内のデータの流れとライフサイクルの文書化と分析が含まれます。データ プロセス マップは、データがどのように作成、収集、保存、処理、転送、使用、共有、アーカイブ、および破棄されるかを示します。データ プロセス マップの作成は、データのコンテキストと依存関係を理解するのに役立つだけでなく、データの品質、セキュリティ、またはコンプライアンスに関連する潜在的なリスクや問題を特定して軽減するのにも役立ちます12。
所有者別に情報を分類することは、データ分類プログラムを作成する際の最初のステップではなく、2 番目のステップです。所有者別に情報を分類するには、所有権と管理に基づいて、各データ タイプに役割と責任を割り当てます。データ所有者は、データに対する権限と説明責任を持つ個人または団体です。データ スチュワードは、データの管理と維持の運用責任を持つ個人または団体です。データ管理者は、データのセキュリティとアクセス制御を実装および実施する技術的責任を持つ個人または団体です12。
参考文献:
* 効果的なデータ分類のための 7 つのステップ | CDW
* データ分類: 基本と 6 ステップのチェックリスト - NetApp

説明
最近のサードパーティの IS 監査レポートは、対象企業の IT ガバナンス フレームワークの有効性を判断するのに最も役立ちます。IT ガバナンスは、IT 戦略をビジネス戦略に合わせるための役割、責任、プロセスを定義するフレームワークです。サードパーティの IS 監査は、外部監査人による組織の IT ガバナンス フレームワークの独立した客観的な検査です。
最近の第三者による情報システム監査レポートは、対象企業の IT ガバナンス フレームワークの長所、短所、成熟度に関する信頼性が高く偏りのない証拠を提供できます。その他のオプションは、外部監査ほど包括的、正確、最新ではない可能性があるため、最近の第三者による情報システム監査レポートほど役に立ちません。参考文献: CISA レビュー マニュアル、第 27 版、94 ページ