mūsų nėra formalios saugumo politikos, ar man galiu atsakyti taip į klausimyną

Ne, ne be dokumento, kuris rodo politiką

Ne, negalima čia pažymėti "taip", net jei praktika iš esmės yra tvarkoje. Klausimas apie saugumo politiką neklausima, ar jūs dirbate saugiai, bet ar tai yra fiksuota: dokumentas, kuriame nurodyta, kas už ką atsakingas, kokie reikalavimai galioja ir kaip dažnai tai peržiūrima. Be tokio dokumento nėra ką parodyti pažymėjus "taip", jei kliento specialistas paklaus arba auditorius jį pareikalaus. Supplia nesiūlo "taip" pažymėti, jei grandies dosjeje nėra šaltinio dokumento — ir tai galioja visapusiškai, net jei pats klausimas patyrusiems užpildytojams yra žinomas.

Kas dažniausiai gali veikti: "taip, neoficialiai" arba "ne, kuriama" su trumpu paaiškinimu ir nuoroda į tai, kas iš tikrųjų yra fiksuota — prieigos politika, incidento procedūra, tiekėjo sutartis su saugumo reikalavimais. Daug klientų labiau vertina tokią tiesumą nei "taip", kuris patikrinimo metu negali turėti pagrindo. Jei yra kažkas fiksuota, bet nėra vieno centrinio dokumento, tada dažnai yra stipriau nuoroda į atskiras dalis: prieigos politika ir įmonės turto valdymu, saugumo incidentų tvarkos procedūra, ir politika dėl pažeidžiamumų. Kartu jos dažnai jau sudaro tai, ką klausimas iš tikrųjų turi omeny, net be to, kad tai būtų vadinama "saugumo politika".

Iš kur tai seka iš dešimties priemonių

Rizikos analizės ir informacijos saugumo politika yra pirmoji iš dešimties priemonių, nurodytų NIS2 direktyvos 21 straipsnio 2 dalyje (Direktyva (ES) 2022/2555) — taip pat žr. ką klientas supranta rizikos analize. Kas patenka po Kibernetinio saugumo įstatymu, turi tai móti patvirtinti, kai tas įstatymas pradės galioti. ISO/IEC 27001 Priede A taip pat reikalauja nustatytos politikos kaip atskiro kontrolės priemonės, nepriklausomai nuo to, ar pati organizacija yra sertifikuota.