Μια πολιτική ασφάλειας πληροφοριών για έναν πάροχο υπηρεσιών ΤΠ περιγράφει, σε απλή γλώσσα και σε χαρτί, τον τρόπο με τον οποίο η οργάνωσή σας χειρίζεται την πρόσβαση, τον εξοπλισμό και τα άτομα που εργάζονται γι' αυτά εκ μέρους σας. Για έναν πάροχο υπηρεσιών ΤΠ, αυτό περιστρέφεται κυρίως γύρω από τρία πράγματα: πώς διαχειρίζεστε συστήματα πελατών από απόσταση, ποιος έχει πρόσβαση σε αυτά τα συστήματα και τι διευθετείτε με υπεργολάβους που αναλαμβάνουν μέρος της εργασίας. Χωρίς αυτό το έγγραφο σε χαρτί, συχνά υπάρχει ένας τρόπος εργασίας, αλλά όχι κάτι που μπορείτε να δείξετε εάν κάποιος το ζητήσει.
Και ζητείται. Ένας αναθέτων που αυτός ο ίδιος υπόκειται στην υπευθυνότητα της οδηγίας NIS2, πρέπει να αξιολογήσει τους προμηθευτές του — και ένας πάροχος υπηρεσιών ΤΠ συχνά βρίσκεται ψηλά στη λίστα, ακριβώς επειδή έχει πρόσβαση σε συστήματα πολλών πελατών ταυτόχρονα. Το ερωτηματολόγιο ασφάλειας που ακολουθεί σπάνια ζητά ένα παχύ έγγραφο πολιτικής. Ζητά μια σύντομη, αναγνωρίσιμη απάντηση σε μερικές επαναλαμβανόμενες ερωτήσεις. Αυτή η απάντηση έρχεται πιο γρήγορα εάν η πολιτική είναι ήδη γραμμένη σε χαρτί, αντί να πρέπει να την διατυπώσετε εκ νέου για κάθε ερωτηματολόγιο.
Σκοπός και πεδίο εφαρμογής: σχετικά με τι αφορά η πολιτική και σχετικά με ποιόν δεν αφορά
Το πρώτο στοιχείο είναι απλό αλλά συχνά παραβλέπεται: για ποιον ισχύει αυτή η πολιτική και σχετικά με τι δεν ισχύει. Για έναν πάροχο υπηρεσιών ΤΠ, αυτό συνήθως σημαίνει μια διαχωριστική γραμμή μεταξύ των δικών σας εσωτερικών συστημάτων και των συστημάτων πελατών που διαχειρίζεστε ή στα οποία εργάζεστε. Ένας αναγνώστης — ή ένας πελάτης που ζητά την πολιτική — πρέπει σε μια παράγραφο να δει εάν αφορά την παντοδαπή αυτοματοποίηση του δικού σας γραφείου, την υποδομή που διαχειρίζεστε για πελάτες ή και τα δύο. Χωρίς αυτή τη διαχωριστική γραμμή, κάθε επόμενο σημείο είναι δύσκολο να αξιολογηθεί.
Διαχείριση από απόσταση: τι συγκεκριμένα καθορίζετε
Εάν διαχειρίζεστε συστήματα πελατών από απόσταση, η πολιτική θα πρέπει να ονοματίσει πώς δημιουργούνται αυτές οι σύνδεσμοι, ποια εργαλεία χρησιμοποιούνται γι' αυτό και ποιος επιτρέπεται να τα ξεκινήσει. Δεν πρόκειται για ένα τεχνικό εγχειρίδιο, αλλά για τις γραμμές που αναγνωρίζει ένας αναθέτων: γίνεται εργασία με μια σταθερή, ελεγχόμενη διαδρομή πρόσβασης ή μπορεί κάθε υπάλληλος να συνδεθεί ανά πάσα στιγμή, καταγράφεται μια συνεδρία και τι συμβαίνει εάν μια συσκευή με την οποία γίνεται εργασία από απόσταση χαθεί ή αντικατασταθεί. Οι ρυθμιστές και οι αναθέτοντες κοιτάζουν σε αυτό το σημείο κυρίως την αναγνωρισιμότητα: υπάρχει μια γραμμή στην πολιτική που ευθυγραμμίζεται με αυτό που συμβαίνει πραγματικά στην πράξη.
Πρόσβαση σε συστήματα πελατών: συμφωνίες που ξεχωρίζουν σε ένα ερωτηματολόγιο
Η πρόσβαση σε συστήματα πελατών είναι ένα διαφορετικό ζήτημα από τη διαχείριση από απόσταση, ακόμη κι αν στην πράξη συχνά συνδέονται. Η πολιτική περιγράφει εδώ κατά προτίμηση ποιος στην οργάνωσή σας λαμβάνει πρόσβαση σε ποιο περιβάλλον πελάτη, με βάση ποιο ρόλο, και πώς η πρόσβαση αυτή αποσύρεται εάν κάποιος αλλάξει θέση ή αποχωρήσει από την υπηρεσία. Πολλά ερωτηματολόγια ασφάλειας από αναθέτοντες ζητούν ακριβώς αυτό: όχι εάν έχετε μια πολιτική κωδικού πρόσβασης, αλλά εάν η πρόσβαση συνδέεται με έναν ρόλο και ελέγχεται περιοδικά. Όποιος έχει ήδη αυτό γραμμένο σε χαρτί, δεν χρειάζεται να σκεφτεί την ερώτηση τη στιγμή που το ερωτηματολόγιο φτάσει.
Υπεργολάβοι: ποιος βλέπει τι και ποιος ευθύνεται γι' αυτό
Το τρίτο στοιχείο που συχνά λείπει από έναν πάροχο υπηρεσιών ΤΠΕ είναι η θέση των υπεργολάβων. Εάν εργάζεστε με εξωτερικό μέρος για παράδειγμα φιλοξενία, τμήμα του helpdesk ή εξειδικευμένη διαχείριση, η πολιτική θα πρέπει να αναφέρει ποιες συμφωνίες ισχύουν: έχει το μέρος πρόσβαση στα συστήματα των πελατών, και αν ναι, υπό ποιες προϋποθέσεις, και ποιος στην οργάνωσή σας είναι υπεύθυνος εάν κάτι πάει λάθος με τον υπεργολάβο. Ένας εργοδότης που εξετάζει την πολιτική σας, συχνά θέλει να δει ακριβώς αυτό — όχι γιατί η εργασία με υπεργολάβους είναι πρόβλημα, αλλά γιατί η ασάφεια γι' αυτό είναι.
Ποιος θέτει την πολιτική και πότε αναθεωρείται
Ένα τελευταίο στοιχείο που συχνά ξεχνάται είναι η ιδιοκτησία: ποιος στην οργάνωση έθεσε την πολιτική, και ποια στιγμή αναθεωρήθηκε τελευταία. Σε μια μικρή επιχείρηση, αυτό είναι συχνά ο ίδιος ο διευθυντής· σε μια ελαφρώς μεγαλύτερη οργάνωση, μπορεί να είναι ένας ορισμένος υπεύθυνος. Πιο σημαντικό από τον τίτλο είναι ότι υπάρχει ένα όνομα και μια ημερομηνία, ώστε ένας εργοδότης ή εποπτικός φορέας να μπορεί να δει ότι το έγγραφο δεν καταρτίστηκε και στη συνέχεια αποξεχάστηκε.
Τα συγκεκριμένα στοιχεία που αναμένονται εξαρτώνται από τον τομέα στον οποίο εργάζεστε και από τον εργοδότη που ερωτά. η τράπεζα γνώσης με θέματα ανά κατάσταση παρέχει ανά κατάσταση μια επισκόπηση των σχετικών στοιχείων. Εάν θέλετε πρώτα να μάθετε εάν η οργάνωσή σας επηρεάζεται μέσω της αλυσίδας εφοδιασμού από την Οδηγία NIS2, τότε βοηθάει μια ένδειξη βάσει μερικών ερωτήσεων για να το διευκρινίσετε. Πολλές ερωτήσεις που οι πελάτες θέτουν σχετικά, επανεμφανίζονται στο τις ερωτήσεις που θέσαν και άλλοι πάροχοι υπηρεσιών ΤΠΕκαι όποιος θέλει να γνωρίζει τι βάση έχουν αυτές οι απαντήσεις, διαβάζει αυτό μέσω της εξήγησης των πηγών και της μεθοδολογίας μας.
Εάν δεν έχετε ακόμη εικόνα για το πού βρίσκεται η οργάνωσή σας, ξεκινήστε με τον δωρεάν έλεγχο NIS2. Αυτό παρέχει εντός μερικών λεπτών μια ένδειξη και ένα επόμενο βήμα, χωρίς να χρειάζεται λογαριασμός.