Zásady bezpečnosti informací pro poskytovatele služeb ICT popisují v běžném jazyce a písemně, jak vaše organizace nakládá s přístupem, s vybavením a s lidmi, kteří na tom jménem vaší organizace pracují. Pro poskytovatele služeb ICT se to točí především kolem tří věcí: jak spravujete systémy zákazníků na dálku, kdo má přístup k těmto systémům a co si domluvíte se subdodavateli, kteří si vezou část práce. Bez tohoto dokumentu na papíře je sice často nějaký způsob práce, ale ne něco, co byste mohli ukázat, když se vás někdo zeptá.
A ptají se na to. Objednávající subjekt, který sám podléhá povinnosti péče podle směrnice NIS2, musí posuzovat své dodavatele — a poskytovatel služeb ICT je přitom často vysoko na seznamu, právě proto, že má přístup k systémům více zákazníků najednou. Bezpečnostní dotazník, který následuje, zřídka požaduje obsáhlý dokument zásad. Požaduje krátkou, rozpoznatelnou odpověď na několik opakujících se otázek. Ta odpověď je k dispozici rychleji, pokud jsou zásady již na papíře, namísto toho, abyste je museli formulovat znovu u každého dotazníku.
Účel a rozsah: na co se zásady vztahují a na co se nevztahují
První součást je jednoduchá, ale často se přehlíží: pro koho platí tyto zásady a na co se nevztahují. U poskytovatele služeb ICT to obvykle znamená rozlišení mezi vlastními interními systémy a systémy zákazníků, které spravujete nebo v nichž pracujete. Čtenář — nebo zákazník, který si zásady vyžádá — by měl v odstavci vidět, zda jde o vaši vlastní kancelářskou automatizaci, o infrastrukturu, kterou spravujete pro zákazníky, nebo o obojí. Bez tohoto rozlišení je každá následující část obtížně posuzovatelná.
Správa na dálku: co konkrétně stanovujete
Pokud spravujete systémy zákazníků na dálku, měly by zásady naznačovat, jak se tyto připojení vytváří, které nástroje se pro to používají a kdo je smí spustit. Nejde o technickou příručku, ale o linie, které pozná objednávající subjekt: pracuje se s pevnou, řízená cestou přístupu, nebo se může každý zaměstnanec přihlásit kdykoli, je relace protokolována, a co se stane, pokud se zařízení, ze kterého se pracuje na dálku, ztratí nebo bude nahrazeno. Dozorující orgány a objednávající subjekty se v této součásti zaměřují především na rozpoznatelnost: je v zásadách řádka, která se shoduje s tím, co se v praxi opravdu děje.
Přístup k zákaznickým systémům: dohody, které upoutají pozornost v dotazníku
Přístup k zákaznickým systémům je jiné hledisko než správa na dálku, i když se v praxi často prolínají. Zásady zde nejlépe popisují, kdo ve vaší organizaci získá přístup do kterého zákaznického prostředí, na základě které role a jak se přístup odvolá, když si někdo změní funkci nebo odejde ze služby. Mnoho bezpečnostních dotazníků od objednávajících subjektů ptá se přesně na toto: ne zda máte zásady pro hesla, ale zda je přístup vázán na roli a pravidelně přezkoumáván. Kdo to už má napsáno na papíře, nemusí si na dotaz vytvořit odpověď v okamžiku, kdy dotazník dorazí.
Subdodavatelé: kdo vidí co a kdo za to nese odpovědnost
Třetí prvek, který často chybí u poskytovatele ICT služeb, je pozice subdodavatelů. Pokud pracujete s externí stranou například na hostingu, části helpdesku nebo specializované správě, měla by politika pojmenovat, jaké dohody v tom ohledu platí: má ta strana přístup k systémům klientů, a pokud ano, za jakých podmínek, a kdo ve vaší organizaci je kontaktní osobou, pokud by u toho subdodavatele došlo k problému. Objednávající, který vaši politiku posuzuje, chce často vidět právě toto — ne proto, že práce se subdodavateli je problém, ale proto, že nejasnost v tom ohledu problémem je.
Kdo politiku stanoví a kdy bude přezkoumána
Poslední prvek, který se často zapomíná, je vlastnictví: kdo v organizaci politiku stanovil a kdy byla naposledy přezkoumána. V malé společnosti je to často sám ředitel; ve větší organizaci to může být určená odpovědná osoba. Důležitější než titul je, aby tam bylo jedno jméno a datum, aby objednávající nebo regulátor viděli, že dokument nebyl sestaven a následně zapomenut.
Které prvky přesně se očekávají, závisí na sektoru, ve kterém pracujete, a na objednávajícím, který se ptá. znalostní báze s tématy podle situace poskytuje pro každou situaci přehled, co k ní patří. Pokud chcete nejprve vědět, zda je vaše organizace dotčena směrnicí NIS2 prostřednictvím řetězce, pomůže vám návrh na základě několika otázek aby ste to měli jasné. Mnoho otázek, které si v tom ohledu klienti kladou, se vrací v otázkách, které si položili také jiní poskytovatelé ICT služeb, a kdo chce vědět, na čem jsou ta odpověď založeny, najde si to prostřednictvím vysvětlení našich zdrojů a pracovního postupu.
Nemáte-li ještě přehled o tom, kde se vaše organizace nachází, začněte bezplatnou NIS2-kontrolou. Ta vám během pár minut poskytne návrh a další krok, bez potřeby účtu.