ποιος είναι υπεύθυνος για τη συμπλήρωση του ερωτηματολογίου ασφάλειας

Η κατανομή ρόλων δεν είναι αυτή καθαυτή απαίτηση κανόνα, αλλά η απάντηση πρέπει να επαληθευθεί

Το ερωτηματολόγιο δεν ορίζει ποιος θα το συμπληρώσει· το άρθρο 21 παράγραφος 2 της NIS2 και το Παράρτημα A του ISO/IEC 27001 αναφέρονται στα μέτρα που λαμβάνει ένας οργανισμός, όχι στον λειτουργό που υπογράφει το έντυπο. Στην πράξη, είναι συνήθως το άτομο που γνωρίζει την πολιτική ασφάλειας πληροφοριών: ένας αξιωματούχος ασφάλειας, διευθυντής ΤΠ ή, σε μικρότερες εταιρείες, ο ίδιος ο διευθυντής. Σε ένα πιστοποιητικό ISO 27001, υπάρχει συχνά ήδη ένας υπεύθυνος που έχει οριστεί στο σύστημα διαχείρισης — αυτό το όνομα είναι τότε το λογικό σημείο επικοινωνίας για αυτό το ερωτηματολόγιο.

Τι είναι βέβαιο: οι απαντήσεις πρέπει να βασίζονται κάπου. Εάν ένα ερώτημα αφορά τη διαχείριση πρόσβασης, κάποιος πρέπει να μπορεί να υποδείξει ποια πολιτική ή ποιο μέτρο βρίσκεται πίσω από αυτό — όχι να το συμπληρώσει από μνήμης, αλλά να το διαβάσει από ένα δοσιέ. Αυτό το κάνει λιγότερο θέμα «ποιος επιτρέπεται να το συμπληρώσει» και περισσότερο «ποιος έχει τα υποκείμενα γεγονότα διαθέσιμα». Αυτό το ίδιο άτομο είναι συχνά και αυτό που μπορεί να αξιολογήσει εάν η επιχείρηση χρησιμοποιεί συστήματα τεχνητής νοημοσύνης στο πλαίσιο της παροχής υπηρεσιών της, διότι αυτό αφορά την ίδια τεχνική απογραφή. Σε περίπτωση αμφιβολίας σχετικά με το ποιος είναι εσωτερικά υπεύθυνος για μια απάντηση, είναι συχνά το ίδιο άτομο που διαχειρίζεται επίσης το σχέδιο συνέχειας σε περίπτωση σοβαρής διαταραχής — τα δύο θέματα επικαλύπτονται όσον αφορά το υλικό πηγής.

Πού προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Annex A

Το άρθρο 21 παράγραφος 2 της NIS2 αναφέρει δέκα κατηγορίες μέτρων, συμπεριλαμβανομένης της διαχείρισης κινδύνου, της αντιμετώπισης συμβάντων και της πολιτικής πρόσβασης — η οδηγία ρυθμίζει το περιεχόμενο αυτών των μέτρων, όχι ποιος τα αναφέρει εσωτερικά. Το ISO/IEC 27001 Παράρτημα A το αναλύει σε συγκεκριμένα μέτρα ελέγχου, και οι οργανισμοί που είναι πιστοποιημένοι έχουν συνήθως ήδη ορίσει έναν υπεύθυνο στο σύστημα διαχείρισης. Η υπάρχουσα κατανομή ρόλων είναι το πιο προφανές σημείο αναφοράς στο οποίο πρέπει να στηριχθούμε κατά τη συμπλήρωση ενός ερωτηματολογίου ασφάλειας.