kes on klientide turvalisuse nimekirjade täitmise eest vastutav

Vastutav on roll, mitte osakond

Ei ole seadusandlust, mis määraks ette, kes ettevõttes turvakysimustiku täidab — see on sisemine poliitika, mitte regulatsioonist tulenev kohustus. Praktikas lasub see sellel, kes vastust põhjendada saab: sageli IT-juhataja või turvajuht tehnilistele meetmetele, ja HR või juhtkond poliitikale ja teadlikkusele. ISO 27001-sertifitseerimisel on see tavaliselt juba määratud rollide jaotuses ümber infobeveiliguse juhtimissüsteemi, ja siis on kysimustik lihtsalt selle süsteemi konsulteerimine, mitte otsene uurimine.

Kus sageli valesti läheb, pole küsimus kes täidab, vaid küsimus kes võib kinnitada. Tehniline vastus võib olla õige, aga kui isik, kes seda sisestab, ei näe, mis võib kolmandale poolele minna, läheb välja teave, mis sinna ei kuulu. See on põhjus, miks täitmist ja vabastamist eraldi sammudena käsitleda: esimene on faktne, teine on kaalutlus konfidentsiaalsuse üle. Sama jaotus kehtib näiteks küsimusele kas ettevõttel on järjepidevuse plaan — ka sealkohal on vastus sageli teada, kuid mitte alati mõeldud üksikasjalikult jagada.

Mida kysimustik sisuliselt kontrollib

Üheksa meetme artiklist 21 lõige 2 NIS2-direktiivist (direktiiv (EU) 2022/2555) annavad hea pildi kategooriates, mis klientide kysimustikes esinevad: riskianalüüs, juhtumite käsitlemine, ärikontinuaalsus, tarnija turvalisus, juurdepääsupoliitika ja muud. Kes kasutab ISO/IEC 27001-i, tunneb samu teemasid kontrolli meetmete Lisas A — see muudab standardi käepäraseks siseseks teatmeteoseks, isegi kui sertifikaat ise kliendile näidatud ei saa. Küsimuse puhul kas ettevõte on ISO 9001-sertifitseeritud kehtib sama loogika: tegemist on eraldi normiga, kuid küsimuse kes vastust teab ja juhtib, paikne organisatsiooniliselt sageli sama isiku juures.