Nimamo formalnega varnostnega pravilnika, sme mi kljub temu odgovoriti »da« na seznamu vprašanj

Ne, ne brez dokumenta, ki prikazuje pravilnik

Ne, »ja« tukaj ne moremo zapolniti, tudi ne, če je praksa v večini na redu. Vprašanje o varnostnem pravilniku ne vprašuje, ali delate varno, ampak ali je to določeno: dokument, ki pokazuje, kdo je odgovoren za kaj, kateri ukrepi veljajo in kako pogosto se to pregleda. Brez takega dokumenta ni ničesar, na kar bi se opirali pri »ja«, če se naročnik dodatno vprašuje ali svetovalec to zahteva. Supplia ne predlaga »ja«, če okvirna dokumentacija nima izvirnega datoteke — in to velja povsem enako tudi tukaj, čeprav je samo vprašanje za izkušenega izpolnjevalca prepoznavno.

Kar ponavadi vseeno gre: »ja, neformalno« ali »ne, v razvoju« s kratkim pojasnilom, in sicer z opozorilom na to, kaj je dejansko dokumentirano — politika dostopa, postopek za krizne situacije, pogodba s ponudnikom z varnostnimi zahtevami. Mnogi naročniki to iskrenost cenijo bolj kot »ja«, ki pri preverjanju ne drži. politiko dostopa in upravljanjem premoženja podjetja, postopek za varnostne incidenteČe je res nekaj določenega, vendar ne en sam osrednji dokument, je pogosto učinkoviteje opozoriti na posamezne dele: politika dostopa, postopki za krizne situacije in politika glede ranljivosti. Skupaj pogosto že tvorijo jedrо tega, kar vprašanje dejansko misli, tudi brez tega, da bi se to imenovalo »varnostni pravilnik«.

Kjer to izhaja iz desetih ukrepov

Pravilnik za analizo tveganja in varnost informacij je prvi od desetih ukrepov v členu 21 odstavek 2 Direktive NIS2 (Direktiva (EU) 2022/2555) — glej tudi kaj naročnik misli z analizo tveganja. Kdor spada pod Zakon o kibernetski varnosti, mora to dokazati, takoj ko ta zakon vstopi v veljavo. ISO/IEC 27001 v Prilogi A prav tako zahteva dokumentiran pravilnik kot ločeni nadzorni ukrep, ne glede na to, ali je samo podjetje certificirano.