cine este responsabil pentru completarea listei de întrebări privind securitatea

Repartizarea rolurilor nu este în sine o cerință de normare, dar răspunsul trebuie verificat

Chestionarul în sine nu prescrie cine îl completează; articolul 21 alineatul 2 NIS2 și Anexa A din ISO/IEC 27001 se referă la măsurile pe care le ia o organizație, nu la funcționarul care semnează formularul. În practică, este de obicei persoana care cunoaște politica de securitate a informațiilor: un officer de securitate, manager IT sau, în cazul firmelor mai mici, directorul însuși. Atunci când existe un certificat ISO 27001, există adesea deja un responsabil desemnat în sistemul de management — acel nume este atunci punctul logic de contact pentru această listă.

Ceea ce este sigur: răspunsurile trebuie să se bazeze pe ceva. Dacă o întrebare se referă la controlul accesului, cineva trebuie să poată indica ce politică sau ce măsură stă la baza acesteia — nu din memorie, ci citind dintr-un dosar. Aceasta o transformă mai puțin într-o întrebare de "cine poate completa aceasta" și mai mult într-una de "cine are la îndemână faptele subiacente". Acea persoană este adesea și cea care poate evalua dacă întreprinderea utilizează sisteme de IA în cadrul serviciilor sale, deoarece aceasta atinge aceeași inventariere tehnică. În caz de îndoială cu privire la cine este intern responsabil de un răspuns, este adesea aceeași persoană care gestionează și planul de continuitate în caz de perturbare serioasă — cele două subiecte se suprapun în ceea ce privește materialul sursă.

De unde rezultă aceasta: articolul 21 alineat 2 și Anexa A

Articolul 21 alineatul 2 NIS2 enumeră zece categorii de măsuri, inclusiv gestionarea riscurilor, tratarea incidentelor și politica de acces — directiva reglementează conținutul acestor măsuri, nu cine le raportează intern. ISO/IEC 27001 Anexa A detaliază acest lucru în măsuri concrete de control, iar organizațiile care sunt certificate au de obicei deja un responsabil stabilit în sistemul lor de management. Acea repartizare de rol existentă este cea mai evidentă sursă la care să se apeleze atunci când se completează un chestionar de securitate.