kto je zodpovedný za vyplnenie zoznamov otázok zákazníkov o bezpečnosti

Zodpovedný je rola, nie oddelenie

Neexistuje žiadna právna pokyn, kto v spoločnosti musí vyplniť zoznam otázok o bezpečnosti — ide o interné smernice, nie o povinnosť vyplývajúcu z predpisov. V praxi to patrí tomu, kto dokáže zdôvodniť odpoveď: často je to IT manažér alebo bezpečnostný pracovník pre technické opatrenia, a HR alebo vedenie pre politiku a vedomie. Pri certifikácii ISO 27001 je to zvyčajne už stanovené v rozdelení rolí okolo systému riadenia informačnej bezpečnosti, a potom je zoznam otázok otázkou konzultácie tohto systému, nie opätovného zisťovania.

Tam, kde sa často vyskytuje chyba, nie je otázka, kto vyplní, ale otázka, kto smie potvrdiť. Technická odpoveď môže byť správna, ale ak osoba, ktorá ju zadá, nemá prehľad o tom, čo sa môže zdieľať s externou stranou, informácie sa dostanú von, kam by nemali. To je dôvod, aby sa vyplnenie a uvoľnenie považovalo za dva oddelené kroky: prvý je faktický, druhý je posúdenie dôvernosti. Rovnaká delenie sa napríklad uplatňuje na otázku či má podnik plán kontinuity činností — aj tam je odpoveď často známa, ale nie vždy je určená na podrobné zdieľanie.

Čo zoznam otázok obsahuje z hľadiska obsahu

Desať opatrení z čl. 21 ods. 2 smernice NIS2 (Smernica (EÚ) 2022/2555) dávajú dobrý prehľad o kategóriách, ktoré sa vyskytujú v zoznamoch otázok od zákazníkov: analýza rizík, riešenie incidentov, kontinuita podnikania, bezpečnosť dodávateľov, politika prístupu a podobne. Kto aplikuje ISO/IEC 27001, pozná rovnaké témy v riadiacich opatreniach prílohy A — to robí štandard užitočným interným referenčným materiálom, aj keď sa certifikát samotný nezobrazuje zákazníkovi. Na otázku či je spoločnosť certifikovaná podľa ISO 9001 platí rovnaká logika: ide o samostatnú normu, ale otázka, kto pozná odpoveď a riadí ju, často organizačne patrí tej istej osobe.