Informacijska sigurnosna politika pružatelja ICT usluga opisuje, na običnom jeziku i na papiru, kako vaša organizacija upravlja pristupom, opremom i ljudima koji na tome rade u vaše ime. Za pružatelja ICT usluga to se vrti uglavnom oko tri stvari: kako udaljeno upravljate sustavima klijentima, tko ima pristup tim sustavima, i što uređujete s potpodugovaračima koji preuzimaju dio posla. Bez tog dokumenta na papiru često postoji način rada, ali nije nešto što možete pokazati ako vas netko pitati.
I pitati će vas. Naručitelj koji sam pada pod obvezu pažnje iz Direktive NIS2 mora procijeniti svoje dobavljače — a pružatelj ICT usluga često je visoko na listi, upravo zato što ima pristup sustavima više klijentima istovremeno. Sigurnosni upitnik koji potom stigne rijetko traži debel dokument politike. Traži kratak, prepoznatljiv odgovor na nekoliko ponavljajućih pitanja. Taj odgovor je brži ako je politika već na papiru, umjesto da je svaki put morate formulirati iznova za svaki upitnik.
Svrha i opseg: o čemu se politika govori i o čemu ne govori
Prvi dio je jednostavan ali se često preskače: za koga vrijedi ova politika, i o čemu nije. Za pružatelja ICT usluga to obično znači razgraničenje između vlastitih internih sustava i sustava klijentima koje upravljate ili u kojima radite. Čitatelj — ili klijent koji traži politiku — treba u jednom odlomku vidjeti govori li se o vašoj vlastitoj poslovnoj automatizaciji, o infrastrukturi koju upravljate za klijente, ili o obojima. Bez tog razgraničenja svaki sljedeći dio je teško procijeniti.
Udaljeno upravljanje: što konkretno određujete
Ako udaljeno upravljate sustavima klijentima, politika bi trebala nazvati kako se te veze uspostavljaju, koji se alati koriste za to i tko ga smije pokrenuti. Nije riječ o tehničkom priručniku, već o linijama koje naručitelj prepoznaje: koristi se fiksna, kontrolirana ruta pristupa ili svaki zaposlenik može prijaviti se bilo kada, je li sesija evidentirana, i što se acontece ako uređaj s kojega se upravlja udaljeno nestane ili se zamijeni. Nadzorni organi i naručitelji pri ovom dijelu gledaju posebno prema prepoznatljivosti: postoji li linija u politici koja se podudara s onim što se u praksi zaista i događa.
Pristup sustavima klijentama: sporazumi koji se ističu u upitnik
Pristup sustavima klijentama je drugo pitanje od udaljenog upravljanja, makar se u praksi često prepliću. Politika ovdje po mogućnosti opisuje tko u vašoj organizaciji dobiva pristup kojoj klijentskoj sredini, na temelju koje uloge, i kako se taj pristup povlači ako netko promijeni funkciju ili ode u mirovinu. Mnogi sigurnosni upitnici naručitelja pitaju upravo to: ne postoji li vam politika lozinki, nego je li pristup vezan uz ulogu i povremeno se ne pregleda. Tko to već ima na papiru, ne treba izmišljati odgovor u trenutku kad upitnik stigne.
Potpodugovarači: tko vidi što, i tko je za to odgovoran
Treća komponenta koja često nedostaje kod pružatelja ICT usluga je položaj podizvoditelja. Ako radite s vanjskom stranom za npr. hosting, dio helpdeska ili specijalizirano upravljanje, politika bi trebala navesti koje dogovore to uređuje: ima li ta strana pristup sustavima klijenta, a ako ima, pod kojim uvjetima, i tko je u vašoj organizaciji odgovoran ako nešto pođe po zlu kod tog podizvoditelja. Naručitelj koji ocjenjuje vašu politiku često želi upravo to vidjeti — ne zato što je rad s podizvodateljima problem, već zato što nejasnoće oko toga jesu.
Tko utvrđuje politiku i kada se provjerava
Zadnja komponenta koja se često zaboravlja je odgovornost: tko je u organizaciji utvrdi politiku i kada je posljednji put provjerena. U malom poduzeću to je često sam direktor; u nešto većoj organizaciji može biti odabrana odgovorna osoba. Važnije od naslova je da stoji jedno ime i datum, kako bi naručitelj ili nadzorni organ mogao vidjeti da dokument nije prosto sastavljen i zaboravljen.
Koje su točno komponente očekivane ovisi o sektoru u kojem radite i o naručitelju koji pita. baza znanja s temama po situaciji daje po situaciji pregled što joj pripada. Želite li prvo znati je li vaša organizacija pogođena NIS2 direktivom kroz lanac opskrbe, pomažu vam naznaka na osnovu nekoliko pitanja da to razjasnite. Mnoga pitanja koja klijenti o tome postavljaju vraćaju se u pitanja koju su postavili i ostali pružatelji ICT usluga, a tko želi znati na čemu se ta odgovora temelje, čita to putem objašnjenja naših izvora i načina rada.
Ako još nemate ideju gdje vaša organizacija stoji, počnite s besplatnom NIS2 provjerom. Ta vam daje u roku od nekoliko minuta naznaku i slijedeći korak, bez potrebe za računom.