kurš ir atbildīgs par klienta jautājumu sarakstu aizpildīšanu par drošību

Atbildīgā ir loma, nevis nodaļa

Nav likumīga norāde, kurš uzņēmumā jāaizpilda drošības jautājumiem — tas ir iekšējā politika, nevis regulācijas pienākums. Praksē tas atbilst tam, kurš var pamatot atbildi: bieži IT vadītājs vai drošības speciālists tehniskajiem pasākumiem, un personāla vadība vai vadība politikai un apziņai. ISO 27001 sertifikācijas gadījumā tas parasti jau ir noteikts lomu sadalē ap informācijas drošības pārvaldības sistēmu, un tad jautājumlapa ir jautājums par šīs sistēmas konsultēšanu, nevis par atkārtotu noskaidrošanu.

Vieta, kur tas bieži pieļauj kļūdas, nav jautājums par to, kurš aizpilda, bet par to, kurš drīkst apstiprināt. Tehniskā atbilde var būt pareiza, bet, ja persona, kas to ievada, nepārredzē, kas var tikt pasniegts ārējai pusei, informācija noplūst uz vietu, kur tai nav jābūt. Tas ir iemesls, lai aplūkotu aizpildīšanu un atbrīvošanu kā divas atsevišķas darbības: pirmā ir faktiska, otrā ir lēmums par konfidencialitāti. Šis sadalījums skaņo, piemēram, jautājumā vai uzņēmumam ir nepārtrauktības plāns — arī tur parasti atbilde ir zināma, bet ne vienmēr paredzēta detalizēti dalīt.

Jautājumlapu satura saturā

Desmit pasākumi, kas noteikti NIS2 direktīvas 21. panta 2. punktā (Direktīva (EU) 2022/2555), sniedz labu priekšstatu par kategorijām, kas atgriežas klientu jautājumlapās: riska analīze, incidentu apstrāde, uzņēmuma nepārtrauktība, piegādātāju drošība, piekļuves politika un tamlīdzīgi. Kas izmanto ISO/IEC 27001, atpazīst vienusdus pašus tēmas Pielikuma A vadības pasākumos — tas padara standartu par ņemtu iekšējās uzziņu darbu, pat ja pats sertifikāts nav parādīts klientam. Jautājumam vai uzņēmums ir ISO 9001 sertificēts ir tāda pati loģika: tas attiecas uz atsevišķu normu, bet jautājums par to, kurš zina un pārvalda atbildi, organizatoriski bieži atbilst vienai un tai pašai personai.