nincs formális biztonsági irányelvünk, szabad-e így is igennel válaszolni a kérdőívben

Nem, nem lehet olyan dokumentum nélkül, amely az irányelvet mutatja

Nem, az "igen" jelölése itt nem lehetséges, még akkor sem, ha a gyakorlat nagyrészt rendben van. A biztonsági irányelvekre vonatkozó kérdés nem azt vizsgálja, hogy Ön biztonságosan dolgozik-e, hanem azt, hogy ez rögzítve van-e: egy dokumentum, amely meghatározza, hogy ki mely feladatokért felelős, mely intézkedések érvényesek és milyen gyakran történik az értékelés. Ilyen dokumentum nélkül nincs semmi, amit az "igen" mellett fel lehetne mutatni, ha az ügyfél további kérdéseket tesz fel vagy egy auditor azt kéri. A Supplia nem javasol "igen"-t, ha a láncdokumentáció nem rendelkezik forrásfájllal — és ez itt érvényes, még akkor is, ha maga a kérdés egy tapasztalt kitöltő számára ismert.

Ami általában működhet: az "igen, informálisan" vagy a "nem, fejlesztés alatt" rövid indoklással, valamint hivatkozás arra, hogy ténylegesen mi áll fenn — egy hozzáférési irányelv, egy incidensmenetrendszer, egy szállítói szerződés biztonsági követelményekkel. Számos ügyfél nagyra értékeli ezt az őszinteséget, mint egy olyan "igen"-t, amely az ellenőrzéskor nem áll fenn. Ha valóban van rögzítve valamit, de nem egy központi dokumentum, akkor gyakran erősebb a hivatkozás a külön részekre: a hozzáférési szabályzattal és az üzleti eszközök kezelésével, biztonsági incidensek kezelésére vonatkozó eljárásés a sebezhetőségek körüli irányelv. Ezek együttesen gyakran már képezik az alapját annak, amit a kérdés valóban jelent, még akkor is, ha nem "biztonsági irányelv" a neve.

Ahogyan ez a tíz intézkedésből következik

A kockázatelemzésre és az információbiztonságra vonatkozó irányelv a NIS2-irányelv (2022/2555/EU irányelv) 21. cikk 2. bekezdésének első a tíz intézkedésből — lásd még amit az ügyfél érthet a kockázatelemzés alattAki a Cyberbeveiligési törvény hatálya alá tartozik, ezt bizonyítania kell, amint a törvény hatályba lép. Az ISO/IEC 27001 az A. mellékletben szintén rögzített irányelvet kér külön ellenőrzési intézkedésként, függetlenül attól, hogy a vállalkozás maga tanúsított-e.