IT-teenuse pakkuja teabeiseoluspoliitika kirjeldab tavalises keeles ja paberil, kuidas teie organisatsioon käsitleb juurdepääsu, seadmeid ja inimesi, kes teie nimel nendega töötavad. IT-teenuse pakkuja jaoks käib see peamiselt kolme asja ümber: kuidas te kaugelt hallate klientide süsteeme, kellel on juurdepääs nendele süsteemidele, ja kuidas te korraldatakse alamüürajatega, kes võtavad osa tööst üle. Ilma selle dokumendita paberil on sageli küll mingi töötamise viis, kuid midagi, mida saaksite näidata, kui keegi seda küsib.
Ja seda küsitakse. Tellija, kes ise kuulub NIS2-direktiivi hoolduskohustuse alla, peab oma tarnijaid hindama — ja IT-teenuse pakkuja on selles sageli kõrge kohal, just sellepärast, et tal on juurdepääs mitme kliendi süsteemidele korraga. Turvalikkuse küsimustik, mis seejärel saabub, palub harva paksut poliitikadokumenti. See palub lühikest, tuvastatavat vastust mõnele korduvatele küsimustele. See vastus saabub kiiremini, kui poliitika on juba paberil, selle asemel, et peaksite selle iga küsimustiku jaoks uuesti sõnastama.
Eesmärk ja ulatus: millest poliitika käib ja kes ei kuulu selle alla
Esimene osa on lihtne, kuid seda jäetakse sageli vahele: kellele see poliitika kehtib ja millest see ei käi. IT-teenuse pakkuja jaoks tähendab see tavaliselt piiri paigutamist oma sisemiste süsteemide ja klientide süsteemide vahel, mida te hallate või milles te töötate. Lugeja — või klient, kes poliitika küsib — peab ühe lõiguga nägema, kas see käib teie enda kontoritöö automatiseerimisest, infrastruktuurist, mida te klientide jaoks hallate, või mõlemast. Ilma selle piiritluseta on iga järgnev osa raske hinnata.
Kaughooldus: mida te konkreetselt dokumenteerite
Kui te hallate klientide süsteeme kaugelt, peaks poliitika nimetama, kuidas need ühendused toimivad, milliseid tööriistu selleks kasutatakse ja kes neid võib käivitada. See ei ole tehniliste juhiste kohta, vaid ridade kohta, mida tellija tunnistab: kas töötate kindla, kontrollitud juurdepääsu marsruudiga või saab iga töötaja igal ajal sisse logida, kas seanss on logitud ja mis juhtub, kui seade, millega kaugelt töötate, kaob või asendatakse. Järelevalveasutused ja tellija jälgivad selle osa juures peamiselt tuvastatavust: kas poliitikast on rida, mis sobib sellega, mis praktikas tegelikult juhtub.
Juurdepääs klientide süsteemidele: lepingud, mida küsimustikus esiletõstetakse
Juurdepääs klientide süsteemidele on erinev küsimus kui kaughooldus, kuigi praktiliselt nad sageli läbivad. Poliitika kirjeldab siin eelistatavalt, kes teie organisatsioonis saab juurdepääsu millisele kliendi keskkonnale, millise rolli alusel ja kuidas pääs tõmmatakse tagasi, kui keegi muudab ametit või lahkub töölt. Paljud tellija turvalikkuse küsimustikud küsivad täpselt seda: mitte kas teil on paroolipoliitika, vaid kas juurdepääs on seotud rolloga ja perioodiliselt üle vaadatud. Kellel see juba paberil on, ei pea küsimust välja mõtlema hetkel, kui küsimustik saabub.
Alamüürajad: kes näeb mida ja kes on selle eest vastutav
Kolmas element, mis ICT-teenuste osutajatel sageli puudub, on alamtöövõtjate positsioon. Kui töötate välise osapoolega näiteks hostingu, abiteenuste osa või spetsiaalse haldamise jaoks, peab poliitikas nimetama, millised kokkuleppimised selles osas kehtivad: kas see pool saab juurdepääsu klientide süsteemidele ja kui jah, millistel tingimustel, ja kes teie organisatsioonis on vastutav, kui midagi läheb valesti selle alamtöövõtja juures. Tellija, kes teie poliitikat hindab, soovib sageli just seda näha — mitte sellepärast, et alamtöövõtjatega töötamine on probleem, vaid sellepärast, et selles osas valitsev ebaselgus seda on.
Kes poliitika kehtestab ja millal seda üle vaadatakse
Viimane element, mida sageli unustatakse, on vastutus: kes organisatsioonis poliitika kehtestas ja millal seda viimati üle vaadati. Väikeses ettevõttes teeb seda sageli juht ise; veidi suuremas organisatsioonis võib selleks olla määratud vastutav isik. Pealkirjast tähtsam on see, et seal on üks nimi ja kuupäev, nii et tellija või järelevalvehaldur näevad, et dokument pole koostatud ja siis unustatud.
Milliseid osi täpselt eeldatakse, sõltub sektori tegevusalast, kuhu te kuulute, ja tellijast, kes küsib. teadmusbaas teemadega iga olukorra kohta annab iga olukorra puhul ülevaate, mis sellega kaasneb. Kui soovite kõigepealt teada, kas teie organisatsioon jõuab NIS2-direktiivi kaudu tarneahelasse, aitab paarile küsimusele vastuste alusel antav näit seda selgeks teha. Paljud küsimused, mida kliendid selle kohta esitavad, esinevad ka küsimuste seas, mida on esitanud ka teised ICT-teenuse osutajad, ja kes soovib teada, millele need vastused põhinevad, loeb seda tagasi selgituse kaudu meie allikate ja tööviisi kohta.
Kui teil pole veel aimu, kus teie organisatsioon seisab, alustage tasuta NIS2-kontrollimisega. See annab paari minutiga näidu ja järgneva sammu, ilma et selleks kontot vaja oleks.