ICT-palveluntarjoajan tietoturvallisuuspolitiikka kuvaa tavallisella kielellä ja kirjallisesti, miten organisaationne käsittelee pääsyä, laitteita ja ihmisiä, jotka työskentelevät näiden parissa puolestanne. ICT-palveluntarjoajalle keskiössä ovat erityisesti kolme asiaa: miten hallitte asiakkaiden järjestelmiä etäyhteyden välityksellä, kenen pääsy on niihin järjestelmiin, ja mitä sovitte alihankkijoiden kanssa, jotka ottavat osan työstä hoitaakseen. Ilman tätä asiakirjaa kirjallisessa muodossa on usein olemassa jonkinlainen työskentelytapa, mutta ei mitään, mitä voitte esittää, jos joku sitä kysyy.
Ja sitä kysytään. Toimeksiantaja, joka itse kuuluu NIS2-direktiivin velvollisuuksien piiriin, on velvollinen arvioimaan toimittajiaan — ja ICT-palveluntarjoaja on tässä usein korkean luettelon alussa, juuri koska hänellä on pääsy useiden asiakkaiden järjestelmiin samanaikaisesti. Tämän jälkeen saapuva tietoturvakyselylomake pyytää harvoin paksua politiikkaasiakirjaa. Se pyytää lyhyttä, tunnistettavaa vastausta muutamiin toistuviin kysymyksiin. Vastaus on saatavilla nopeammin, jos politiikka on jo kirjallisessa muodossa, sen sijaan että joutuisitte muotoilemaan sen uudelleen jokaisen kyselylomakkeen myötä.
Tarkoitus ja soveltamisala: mihin politiikka kohdistuu ja mihin se ei kohdistunut
Ensimmäinen osa on yksinkertainen, mutta sitä usein ohitetaan: kelle tämä politiikka koskee ja mistä se ei puutu. ICT-palveluntarjoajalla tämä tarkoittaa yleensä rajaa organisaation omien sisäisten järjestelmien ja asiakkaiden järjestelmien välillä, joita hallitte tai joissa työskentelette. Lukijan — tai asiakkaan, joka politiikkaa pyytää — on pituudeltaan muutaman kappaleen verran voitava nähdä, koskeeko se organisaatiopohjaisen automaation järjestelmiin, infrastruktuuriin, jonka hallitte asiakkaiden puolesta, vai molempiin. Ilman tätä rajausta jokainen seuraava osuus on vaikea arvioida.
Etäyhteydellä tapahtuva hallinnointitoiminto: mitä konkreettisesti kirjataan
Jos hallitte asiakkaiden järjestelmiä etäyhteyden välityksellä, politiikkassa on mainittava, miten nämä yhteydet muodostetaan, mitä työkaluja käytetään ja kuka ne saa käynnistää. Kyse ei ole teknisestä oppaasta, vaan niistä linjoista, joita toimeksiantaja tunnistaa: käytetäänkö kiinteää, valvottua pääsyreittiä vai voiko jokainen työntekijä kirjautua sisään milloin tahansa, tallennetaanko istunto lokiin, ja mitä tapahtuu, jos etätoimistossa käytettävä laite katoaa tai korvataan. Valvontaviranomaiset ja toimeksiantajat katsovat tässä osiossa erityisesti tunnistettavuutta: onko politiikassa linja, joka vastaa sitä, mitä käytännössä todella tapahtuu.
Pääsy asiakkaiden järjestelmiin: sopimukset, jotka nousevat esille kyselylomakkeessa
Pääsy asiakkaiden järjestelmiin on eri kysymys kuin etäyhteydellä tapahtuva hallinnointitoiminto, vaikka ne käytännössä usein menevät päällekkäin. Politiikka kuvaa tässä mieluiten sitä, kuka organisaatiossanne saa pääsyn mihin asiakkaan ympäristöön, minkä roolin perusteella, ja miten pääsy poistetaan, kun joku vaihtaa tehtävää tai eroaa palveluksesta. Monet toimeksiantajien tietoturvakyselylomakkeet kysyvät juuri tätä: ei sitä, onko sinulla salasanakäytäntö, vaan sitä, onko pääsy sidottu rooliin ja tarkastetaanko se säännöllisesti. Kuka on jo kirjoittanut tämän paperille, ei joudu keksimään vastausta siihen hetkellä, kun kyselylomake saapuu.
Alihankkijat: kuka näkee mitä, ja kuka vastaa siitä
Kolmas osa, joka ICT-palveluntarjoajilla usein puuttuu, on alihankkijoiden asema. Jos työskentelet ulkoisen osapuolen kanssa esimerkiksi hosting-palveluissa, helpdeskin osassa tai erikoistuneessa hallinnassa, politiikan tulee määritellä, mitkä sopimukset siitä koskevat: saako tämä osapuoli pääsyn asiakkaiden järjestelmiin, ja jos kyllä, millä ehdoilla, ja kuka organisaatiossasi on vastuuhenkilö, jos alihankkijalla ilmenee ongelmia. Toimeksiantaja, joka arvioi politiikkaasi, haluaa usein nähdä juuri tämän — ei siksi, että alihankkijoiden kanssa työskentely olisi ongelma, vaan koska epäselvyys siitä on.
Kuka politiikan vahvistaa ja milloin se tarkistetaan
Viimeinen osa, joka usein unohtuu, on vastuullisuus: kuka organisaatiossa on vahvistanut politiikan ja milloin se viimeksi tarkistettiin. Pienessä yrityksessä sen tekee usein toimitusjohtaja itse; hieman suuremmassa organisaatiossa voi se olla nimetty vastuuhenkilö. Nimeä tärkeämpää on, että politiikkaan liittyy yksi nimi ja päivämäärä, jotta toimeksiantaja tai valvontaviranomainen näkee, että asiakirja on laadittu ja sitten jätetty huomiotta.
Mitkä osat tarkalleen odotetaan, riippuu siitä, millä alalla työskentelet ja ketkä kysyvät. tietovarantoon, jossa on aiheita tilanteen mukaan antaa jokaista tilannetta kohden katsauksen, mitä siihen kuuluu. Jos haluat ensin tietää, saavuttaako organisaatiosi NIS2-direktiivin kautta toimitusketjun, auttaa muutaman kysymyksen perusteella saatu indikaatio saamaan siitä selkeän kuvan. Monet asiakkaiden esittämät kysymykset näistä asioista ovat samanlaisia kuin mitä myös muut ICT-palveluntarjoajat ovat kysyneetja joka haluaa tietää, mihin nämä vastaukset perustuvat, lukee sen selostuksestamme lähteistä ja työtavastamme.
Jos organisaatiostasi ei vielä ole selkeää kuvaa, aloita ilmaisella NIS2-tarkastuksella. Se antaa muutamassa minuutissa indikaation ja seuraavan vaiheen, ilman että tarvitset tiliä.