Az ICT-szolgáltató információbiztonsági szabályzata egyszerű szövegben és írott formában azt írja le, hogyan kezel szervezete hozzáféréseket, eszközöket és az azokkal az Ön nevében dolgozó embereket. Az ICT-szolgáltatók számára ez alapvetően három dologra összpontosul: hogyan kezelnek távolról ügyféli rendszereket, ki férhet hozzá ezekhez a rendszerekhez, és mit rögzítenek az alvállalkozókkal, akik a munka egy részét átvállalják. Írott dokumentum nélkül gyakran van ugyan egy munkafolyamat, de nincs olyan anyag, amely bemutatható lenne, amikor valaki rákérdez.
És rá szoktak kérdezni. Egy megbízó, aki maga a NIS2-irányelv gondossági kötelezettsége alá tartozik, értékelnie kell szállítóit — és az ICT-szolgáltató gyakran magasan szerepel ezen a listán, éppen azért, mert több ügyfél rendszeréhez egyidejűleg van hozzáférése. A biztonsági kérdőív, amely ezt követően érkezik, ritkán kér nagy szabályzati dokumentumot. Néhány visszatérő kérdésre kér rövid, felismerhető választ. Ez a válasz gyorsabban elkészül, ha a szabályzat már papíron van, ahelyett, hogy minden kérdőívhez újra kellene megfogalmazni.
Cél és hatókör: mire vonatkozik a szabályzat és kire nem
Az első elem egyszerű, de gyakran kihagyják: kire vonatkozik ez a szabályzat, és miről nem szól. Az ICT-szolgáltatónál ez rendszerint a saját belső rendszerek és az Ön által felügyelt vagy amelyekben dolgozik ügyféli rendszerek közötti megkülönböztetést jelenti. Az olvasónak — vagy a szabályzatot kérő ügyfélnek — egy bekezdésből fel kell tudnia ismerni, hogy saját irodai automatizálásról, az ügyfelei számára felügyelt infrastruktúráról vagy mindkettőről van-e szó. E megkülönböztetés nélkül a követő részek nehezek az értékelésben.
Távolfelügyelet: amit konkrétan rögzít
Ha ügyféli rendszereket kezel távolról, a szabályzatnak nevet kell adnia, hogyan jönnek létre ezek a kapcsolatok, mely eszközöket használnak erre és ki indíthatja őket. Nem technikai útmutatóról van szó, hanem azokról a vonalakról, amelyeket a megbízó felismer: állandó, szabályozott hozzáférési útvonallal dolgoznak, vagy bármely alkalmazott bármikor bejelentkezhet, naplózódnak-e a munkamenetek, és mi történik, ha a távolfelügyelethez használt eszköz elveszik vagy lecserélódik. Az ellenőrzéshatóságok és a megbízók ennél az elemnél főleg a felismerhetőséget vizsgálják: van-e a szabályzatban egy sor, amely összeér azzal, ami a gyakorlatban ténylegesen történik.
Hozzáférés az ügyféli rendszerekhez: megállapodások, amelyek egy kérdőívben feltűnnek
Az ügyféli rendszerekhez való hozzáférés más kérdés, mint a távolfelügyelet, bár a gyakorlatban gyakran összefonódnak. A szabályzat leírja itt, hogy szervezete mely tagjai kapnak hozzáférést mely ügyfélkörnyezethez, milyen szerepkör alapján, és hogyan veszik vissza ezt a hozzáférést, ha valaki pozícióváltást hajt végre vagy kilép. Számos megbízó biztonsági kérdőíve pontosan ezt kérdezi: nem azt, hogy van-e jelszóházirendje, hanem azt, hogy a hozzáférés szerepkörhöz kapcsolódik-e és rendszeres időközönként felülvizsgálódik-e. Aki ezt már papíron megírta, nem kell kitalálnia a választ abban a pillanatban, amikor a kérdőív megérkezik.
Alvállalkozók: ki lát mit, és ki felel érte
A harmadik komponens, amely gyakran hiányzik az ICT-szolgáltatónál, az alvállalkozók helyzete. Ha külső féllel dolgozik például üzemeltetésre, a helpdesk egy részére vagy speciális karbantartásra, akkor az irányelvnek meg kell jelölnie, hogy milyen megállapodások vonatkoznak erre: hozzáférése van-e az adott félnek az ügyfélrendszerekhez, és ha igen, milyen feltételek mellett, valamint hogy szervezetén belül ki az elérhetető, ha valami hiba fordul elő az alvállalkozónál. Az Ön irányelvét értékelő megrendelő gyakran pontosan ezt szeretné látni – nem azért, mert az alvállalkozókkal való együttműködés probléma lenne, hanem azért, mert az ebben való bizonytalanság az.
Az irányelvet megállapító személy és az áttekintés időpontja
Az utolsó komponens, amelyet gyakran elfeledkeznek, a felelősség: kit nevezzen meg szervezetén belül az irányelv megállapításáért, és mikor történt annak utolsó felülvizsgálata. Egy kis vállalatnál ez gyakran maga a vezető; egy kicsit nagyobb szervezetnél egy kijelölt felelős lehet. Fontosabb a beosztásnál, hogy egy név és egy dátum szerepeljen, hogy a megrendelő vagy a felügyelő láthasson, hogy a dokumentumot nem készítették el és azután el nem felejtették.
Az, hogy pontosan milyen komponenseket lehet elvárni, a szektoron múlik, amelyben Ön dolgozik, és azon, hogy melyik megrendelő kérdez. a tudásbank helyzetenkénti témákkal helyzetenként áttekintést nyújt arról, hogy mit tartalmaz. Ha először szeretné megtudni, hogy szervezete a beszerzési láncon keresztül érinti-e a NIS2-irányelvet, akkor segít néhány kérdés alapján egy jelzés annak élesítéséhez. Számos kérdés, amelyet ügyfelek ezzel kapcsolatban feltesznek, visszatér a kérdésekre, amelyeket más ICT-szolgáltatók is feltettek az egyéb ICT-szolgáltatók által feltett kérdésekben, és aki tudni szeretné, hogy ezek a válaszok mire alapulnak, az olvashatja azt vissza a forrásaink és munkamódszerünk ismertetésében.
Ha még nincsen képe arról, hogy szervezete hol áll, akkor kezdje a szabad NIS2-ellenőrzéssel. Az néhány percen belül jelzést és egy lépéseket ad, anélkül, hogy ehhez fiók lenne szükséges.