nemamo formalne politike sigurnosti smijemo li ipak odgovoriti da na popisu pitanja

Ne, ne bez dokumenta koji pokazuje politiku

Ne, "da" popuniti ovdje nije moguće, čak ni ako je praksa uglavnom u redu. Pitanje o politici zaštite ne pita radite li sigurno, već je li to utvrđeno: dokument koji pokazuje tko je odgovoran za što, koje mjere vrijede i kako često se to preispituje. Bez takvog dokumenta nema ničega što biste mogli pokazati na "da" ako se kupac dodatno raspituje ili revizor to zatraži. Supplia ne predlaže da ako lanac dossier nema izvornu datoteku — i to se ovdje u potpunosti primjenjuje, čak i ako je samo pitanje za iskusnog popunjavatelja prepoznatljivo.

Što se obično može: "da, neformalno" ili "ne, u razvoju" s kratkim objašnjenjem, plus uputa na ono što je zapravo dokumentirano — politika pristupa, postupak za incidente, ugovor s dobavljačima s zahtjevima za sigurnost. Mnogi kupci više cijene tu iskrenost nego "da" koje se pri provjeri ne može održati. Ako nešto jest dokumentirano ali nema jednog centralnog dokumenta, tada je često bolje upozoriti na odvojene dijelove: politikom pristupa i upravljanjem poslovnim sredstvima, postupka za sigurnosne incidente, i politiku oko ranjivosti. Zajedno često već čine srž onog što pitanje zapravo znači, čak i bez toga da se to "naziva sigurnosnom politikom".

Gdje to proizlazi iz deset mjera

Politika za analizu rizika i zaštitu informacija prvi je od deset mjera u članku 21 stavku 2 Direktive NIS2 (Direktiva (EU) 2022/2555) — vidi također što kupac podrazumijeva pod analizom rizika. Tko pada pod Zakon o kibernetskoj sigurnosti, mora to moći dokazati čim zakon stane na snagu. ISO/IEC 27001 zahtijeva u Dodatku A jednako tako uspostavljenu politiku kao zasebnu kontrolnu mjeru, neovisno o pitanju je li samo poduzeće certificirano.