nad küsivad meie täielikku turbepoliitikat dokumendina

Kogu poliitikadokumendi jagamine on enamasti vajalik

Ei, enamasti pole see vajalik ja see pole ka see, mida klient tegelikult teada tahab. Küsimus nagu "saatke oma turvalisuspoliitika" on peaaegu alati midagi konkreetsema tõlge: klient tahab teada, kas risk-analüüsiks on poliitika olemas, kas on intsidentide lahendamise protseduur, kas ligipääs on hästi reguleeritud. Need on kümme abinõu artiklist 21 lõikest 2 NIS2-st, ja sama jaoitus näete tagasi NIS2 ISO/IEC 27001 lisas A sisalduvate kontrollimeetmete puhul. Küsimustik, mis "täielikku poliitika" küsib, jaotab selle tavaliselt siiski alamküsimusteks — kontrollige seega esmalt, kas see on nii, enne kui laadite üles täielik dokument.

Terve poliitikadokumendi saatmise risk pole juriidiline, vaid praktiline: see sisaldab sageli rohkem, kui klient vajab — tööriistade nimed, sisesed protseduurid, töötajate kontaktandmed. Kes pigem vastab küsimuse kaupa dokumendi jagamise asemel, saab seda konfidentsiaalsusnupuga piirata sellele, mida tegelikult küsitakse. Kui küsimus puudutab konkreetset osateemat, siis on vastus sageli juba mujal leitav: või juurdepääsupoliitika on kindlaks määratud, või on intsidentideks protseduur, või testitakse perioodiliselt. See on tavaliselt konkreetsem vastus kui terve dokument.

Kust see tuleb: artikkel 21 lõige 2 ja Lisa A

Artikkel 21 lõige 2 NIS2-st nimetab kümme konkreetset abinõu — risk-analüüs, intsidentide lahendamine, ärikontinuuum, haavatavuste haldamine, juurdepääsupoliitika ja muud — nõudmata, et kolmas osapool näeks ise alusdokumenti. ISO/IEC 27001 lisa A töötab sama loogikaga: kontrollimeetmed on auditeeritavad osade kaupa, mitte ühe jagamatu poliitikadokumendina. Pange tähele ka seda, et küsimus, kas oma ettevõte kuulub NIS2 või selle riikliku rakendamise regulatsiooni alla, on eraldi sellest, mida klient küsimustikus küsib — neid kahte asja segatakse üsna sageli.