ζητούν την πλήρη πολιτική ασφαλείας μας ως έγγραφο

Η κοινή χρήση του πλήρους εγγράφου πολιτικής συνήθως δεν είναι απαραίτητη

Όχι, στις περισσότερες περιπτώσεις δεν είναι απαραίτητο, και δεν είναι ούτε αυτό που ο πελάτης στην πραγματικότητα θέλει να γνωρίζει. Μια ερώτηση όπως «στείλτε την πολιτική ασφάλειάς σας» είναι σχεδόν πάντοτε μια μετάφραση κάτι πιο συγκεκριμένου: ο πελάτης θέλει να γνωρίζει εάν υπάρχει πολιτική για ανάλυση κινδύνου, εάν υπάρχει διαδικασία περιστατικού, ή εάν η πρόσβαση είναι καλά ρυθμισμένη. Αυτά είναι τα δέκα μέτρα του άρθρου 21 παράγραφος 2 του NIS2, και την ίδια υποδιαίρεση βλέπετε στα μέτρα ελέγχου του Παραρτήματος Α του ISO/IEC 27001. Ένα ερωτηματολόγιο που ζητάει «πλήρη πολιτική» το χωρίζει συνήθως σε περαιτέρω δευτερεύουσες ερωτήσεις — ελέγξτε λοιπόν πρώτα εάν συμβαίνει αυτό προτού να ανεβάσετε ένα πλήρες έγγραφο.

Ο κίνδυνος της αποστολής ενός πλήρους εγγράφου πολιτικής δεν είναι νομικός αλλά πρακτικός: συχνά περιέχει περισσότερα από όσα χρειάζεται ο πελάτης — ονόματα εργαλείων, εσωτερικές διαδικασίες, στοιχεία επικοινωνίας του προσωπικού. Όποιος προτιμά να απαντά ανά ερώτηση αντί να μοιράζεται ένα έγγραφο, μπορεί να το περιορίσει με το κουμπί εμπιστευτικότητας σε αυτό που πραγματικά ζητείται. Εάν η ερώτηση αφορά ειδικά ένα μερικό θέμα, τότε η απάντηση είναι συχνά ήδη να βρίσκεται αλλού: ή η πολιτική πρόσβασης έχει καθοριστεί, ή υπάρχει διαδικασία για περιστατικά, ή υπάρχει περιοδικός έλεγχος. Αυτό είναι συνήθως πιο συγκεκριμένο να απαντηθεί παρά με ένα πλήρες έγγραφο.

Πού προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Annex A

Το άρθρο 21 παράγραφος 2 του NIS2 αναφέρει δέκα συγκεκριμένα μέτρα — ανάλυση κινδύνου, διαχείριση περιστατικών, συνέχεια επιχειρήσεων, διαχείριση ευπαθειών, πολιτική πρόσβασης και άλλα — χωρίς να απαιτεί ότι ένα τρίτο μέρος να δει το ίδιο το υποκείμενο έγγραφο. Το ISO/IEC 27001 Annex A λειτουργεί με την ίδια λογική: τα μέτρα ελέγχου είναι ελέγξιμα ανά τμήμα, όχι ως ένα ενιαίο έγγραφο πολιτικής. Σκεφτείτε επίσης ότι η ερώτηση εάν ο δικός σας οργανισμός εμπίπτει στο NIS2 ή στην εθνική του υλοποίηση είναι ανεξάρτητη από αυτό που ένας πελάτης ζητάει σε ένα ερωτηματολόγιο — αυτά τα δύο πράγματα συχνά συγχέονται.