Политиката за защита на информацията на доставчик на услуги в областта на информационните и комуникационни технологии описва, на разбираем език и на хартия, как вашата организация управлява достъпа, оборудването и хората, които работят за вас в тази сфера. За доставчик на услуги в областта на информационните и комуникационни технологии това се върти около три неща: как управлявате отдалечено системите на клиентите, кой има достъп до тези системи и какво уреждате с подизпълнителите, които поемат част от работата. Без този документ на хартия често съществува начин на работа, но нищо, което да можете да покажете, ако някой попита.
И ще се пита. Възложител, който самият попада под задължението за грижа на Директива (EU) 2022/2555, трябва да оцени своите доставчици — и доставчик на услуги в областта на информационните и комуникационни технологии често стои високо в списъка, именно защото има достъп до системите на множество клиенти едновременно. Списъкът с въпроси за кибербезопасност, който следва, рядко иска толкова обемист политически документ. Той иска кратък, ясен отговор на няколко повтарящи се въпроса. Такъв отговор се получава по-бързо, ако политиката вече е на хартия, вместо да трябва да я формулирате отново за всеки списък с въпроси.
Цел и обхват: за какво е политиката и за какво не е
Първата част е проста, но често се пропуска: за кого важи тази политика и за какво не. За доставчик на услуги в областта на информационните и комуникационни технологии това обикновено означава разграничение между собствените вътрешни системи и системите на клиентите, които управлявате или в които работите. Читателят — или клиент, който поиска политиката — трябва да може да види в един параграф дали е дума за вашата собствена администрирана инфраструктура, за инфраструктурата, която управлявате за клиентите, или за и двете. Без това разграничение всяко следващо разделение е трудно за оценка.
Отдалечено управление: какво конкретно фиксирате
Ако управлявате отдалечено системите на клиентите, политиката трябва да назовава как се осъществяват тези връзки, кои инструменти се използват за тях и кой може да ги стартира. Не е дума за техническо ръководство, а за линиите, които възложител разпознава: работи ли се с фиксиран, контролиран път за достъп или всеки служител може да влезе всеки момент, се записват ли сесиите, и какво се случва, ако устройство, с което се работи отдалечено, се загуби или се замени. Надзорни органи и възложители при този раздел разглеждат преди всичко разпознаваемостта: има ли в политиката линия, която отговаря на това, което действително се случва в практиката.
Достъп до системите на клиентите: споразумения, които привличат внимание в списък с въпроси
Достъпът до системите на клиентите е различен въпрос от отдалеченото управление, макар че на практика често се преплитат. Политиката описва тук за предпочитане кой в вашата организация получава достъп до коя среда на клиента, въз основа на каква роля, и как се отнема този достъп, ако някой смени длъжност или напусне работата. Много списъци с въпроси за кибербезопасност от възложители питат точно това: не дали имате политика за пароли, а дали достъпът е свързан с роля и се преглежда периодично. Които вече имат това на хартия, не трябва да измислят отговора на въпроса в момента, когато списъкът пристигне.
Подизпълнители: кой вижда какво и кой отговаря за това
Третият елемент, който често липсва при ICT услуга доставчик, е позицията на подизпълнители. Ако работите с външна страна, например за хостинг, част от работния плот или специализирано управление, политиката трябва да посочи какви договорки се прилагат там: получава ли тази страна достъп до клиентски системи и при какви условия, и кой в организацията е отговорен, ако нещо се обърка при този подизпълнител. Поръчител, който оценява политиката ви, често иска да види точно това — не защото работата с подизпълнители е проблем, а защото неясноти в това отношение са проблем.
Кой определя политиката и кога се преразглежда
Последният елемент, който често се пропуска, е собственството: кой в организацията е определил политиката и кога е преразглеждана за последния път. При малко предприятие това често е самият директор; при малко по-голяма организация може да бъде определен отговорен. По-важно от титлата е да има едно име и дата, за да може поръчител или надзорен орган да видят, че документът не е съставен и след това забравен.
Точно какви елементи се очакват зависи от сектора, в който работите, и от поръчителя, който пита. банката от знания с теми по ситуация дава обзор на ситуацията за всеки случай. Ако преди всичко искате да знаете дали организацията ви е засегната в веригата от NIS2 указ, помага едно указание въз основа на няколко въпроса за да се изясни това добре. Много въпроси, които клиентите поставят по това, се повтарят в въпросите, които са задали и други ICT услуга доставчици, и кой иска да знае на какво се основават тези отговори, чете обратно чрез обяснението на нашите източници и методи на работа.
Ако нямате образ къде стои организацията ви, започнете с безплатния NIS2 преглед. Той дава указание в рамките на няколко минути и следваща стъпка, без да е необходима сметка.