meil ei ole ametlikku turvalisuspoliitikat, kas ma võin küsimustikus jah vastata

Ei, mitte ilma dokumendita, mis poliitikat näitab

Ei, "jah" sisestamine ei ole siin võimalik, isegi kui praktikas on asjad enamasti korras. Küsimus turvalisuspoliitika kohta ei küsi, kas te turvaliselt töötate, vaid kas see on fikseeritud: dokument, mis näitab, kes millise eest vastutab, millised meetmed kehtivad ja kui tihti seda üle vaadatakse. Ilma sellist dokumenti ei ole midagi näidata, kui klient järelpärimisi esitab või auditor seda küsib. Supplia ei ettepanek "jah", kui ketisefail ei sisalda lähtefaili — ja see kehtib siin täielikult, isegi kui küsimus ise on kogenud täitja jaoks tuttav.

Mis tavaliselt VÕI töötada: "jah, mitteametlik" või "ei, arendamisel" lühikese selgitusega, pluss viide sellele, mis faktiliselt on fikseeritud — juurdepääsupoliitika, intsidentipraktika, lepingulised turvalisuse nõuded. Paljud kliendid hindavad seda ausust rohkem kui "jah", mis kontrollimisel ei pea paika. Kui midagi on fikseeritud, aga mitte üks keskne dokument, siis on sageli tugevam viitata eraldi osadele: juurdepääsupoliitikaga ja ettevõtte varade juhtimisega, turvaintsidentide käsitlemise protseduur, ja politiikale nõrkade kohtade ümber. Koos moodustavad need sageli selle, mida küsimus tegelikult silmas peab, isegi kui seda ei kutsuta "turvalisuspoliitikaks".

Kui see nõuetest kümnest meetmest tuleneb

Riskianalüüsi ja infoturbemääruse poliitika on esimene kümnest meetmest artikli 21 lõige 2 alusel NIS2 direktiivist (Direktiiv (EU) 2022/2555) — vt ka mida klient riskianalüüsi all silmas peab. Kes kuulub küberturvalisuse seaduse reguleerimisala, peab seda suutma näidata niipea, kui see seadus jõustub. ISO/IEC 27001 nõuab ka Lisa A-s dokumenteeritud poliitikat eraldi juhtimismeetmena, sõltumata sellest, kas ettevõte ise on sertifitseeritud.