En informationssikkerhedspolitik for en ICT-tjenesteudbyder beskriver, på almindeligt sprog og på papir, hvordan din organisation håndterer adgang, udstyr og de mennesker, der arbejder med det på dine vegne. For en ICT-tjenesteudbyder drejer det sig især om tre ting: hvordan du administrerer kundesystemer eksternt, hvem der har adgang til disse systemer, og hvad du aftaler med underleverandører, der overtager en del af arbejdet. Uden et sådant dokument på papir er der ofte en arbejdsmåde, men ikke noget, du kan vise, hvis nogen spørger.
Og der bliver spurgt. En opdrachtgever, der selv er omfattet af security-planlægningen i henhold til NIS2-direktivet, skal vurdere sine leverandører — og en ICT-tjenesteudbyder står ofte højt på listen, netop fordi han har adgang til flere kunders systemer på samme tid. Det sikkerhedsspørgeskema, der derefter kommer, spørger sjældent efter et tykt politikdokument. Det spørger efter et kort, genkendeligsvar på et par tilbagevendende spørgsmål. Det svar kommer hurtigere, hvis politikken allerede ligger på papir, i stedet for at du skal formulere det forfra ved hvert spørgeskema.
Formål og omfang: hvad politikken handler om og hvem den gælder for
Den første del er enkel, men bliver ofte oversprunget: for hvem gælder denne politik, og hvad handler den ikke om. For en ICT-tjenesteudbyder betyder det normalt en afgrænsning mellem egne interne systemer og kundesystemer, som du administrerer eller arbejder i. En læser — eller en kunde, der anmoder om politikken — skal i et afsnit kunne se, om det handler om din egen kontorstyring, om den infrastruktur, du administrerer for kunder, eller om begge dele. Uden denne afgrænsning er hver efterfølgende del vanskelig at vurdere.
Fjernadministration: hvad du konkret fastlægger
Hvis du administrerer kundesystemer eksternt, skal politikken præcisere, hvordan disse forbindelser etableres, hvilke værktøjer der bruges til det, og hvem der må starte dem. Det handler ikke om en teknisk vejledning, men om de linjer, som en opdrachtgever genkender: arbejdes der med en fast, kontrolleret adgangsrute, eller kan hver medarbejder logge ind når som helst, logges en session, og hvad sker der, hvis en enhed, som bruges til fjernadministration, går tabt eller erstattes. Tilsynsmyndigheder og opdrachtgevers ser især efter genkendelse i denne del: er der en linje i politikken, der matcher det, der også faktisk sker i praksis.
Adgang til kundesystemer: aftaler, der falder op i et spørgeskema
Adgang til kundesystemer er et andet spørgsmål end fjernadministration, selvom de i praksis ofte løber sammen. Politikken beskriver her helst, hvem inden for din organisation der får adgang til hvilke kundemiljøer, baseret på hvilken rolle, og hvordan adgangen fjernes, når nogen skifter funktion eller forlader virksomheden. Mange sikkerhedsspørgeskemaer fra opdrachtgevers spørger præcis om dette: ikke om du har en adgangskodepolitik, men om adgang er knyttet til en rolle og regelmæssigt gennemgås. Den, der allerede har det på papir, behøver ikke at finde på svaret, når spørgeskemaet kommer.
Underleverandører: hvem ser hvad, og hvem kan stilles til ansvar for det
Den tredje komponent, som ofte mangler hos en ICT-tjenesteudbyder, er stillingen for underleverandører. Hvis du arbejder med en ekstern part til for eksempel hosting, en del af helpdesk eller specialiseret administration, bør politikken angive, hvilke aftaler der gælder herfor: får denne part adgang til kundesystemer, og i så fald under hvilke betingelser, og hvem i din organisation er kontaktperson, hvis der går noget galt hos denne underleverandør. En ordregiver, der vurderer din politik, vil ofte se præcis dette — ikke fordi arbejde med underleverandører er et problem, men fordi uklarhed herom er det.
Hvem der fastlægger politikken, og hvornår den gennemgås
En sidste komponent, som ofte bliver glemt, er ansvaret: hvem i organisationen der har fastlagt politikken, og hvornår den senest er blevet gennemgået. I en lille virksomhed er det ofte direktøren selv; i en lidt større organisation kan det være en udpeget ansvarlig. Vigtigere end titlen er, at der står ét navn og en dato, således at en ordregiver eller tilsynsmyndighed kan se, at dokumentet ikke er udarbejdet og derefter glemt.
Præcist hvilke komponenter der forventes, afhænger af den sektor, du arbejder i, og af den ordregiver, der spørger. videnbanken med emner for hver situation giver for hver situation et overblik over, hvad der hører til. Hvis du først vil vide, om din organisation bliver påvirket via kæden af NIS2-direktivet, hjælper en indikation baseret på nogle få spørgsmål med at få det præciseret. Mange spørgsmål, som kunder stiller herom, gentages i de spørgsmål, som andre ICT-tjenesteudbydere også har stillet, og hvem der gerne vil vide, hvad disse svar er baseret på, læser det tilbage via forklaringen på vores kilder og arbejdsmetode.
Hvis du endnu ikke har et billede af, hvor din organisation står, skal du begynde med den gratis NIS2-check. Den giver inden for få minutter en indikation og et næste skridt, uden at der kræves en konto til det.