Una politica di sicurezza delle informazioni per un fornitore di servizi ICT descrive, in linguaggio comune e su carta, come la vostra organizzazione gestisce l'accesso, le apparecchiature e le persone che lavorano per voi su questi sistemi. Per un fornitore di servizi ICT, questo ruota principalmente attorno a tre aspetti: come gestite i sistemi dei clienti da remoto, chi ha accesso a questi sistemi, e cosa regolate con i subappaltatori che assumono parte del lavoro. Senza quel documento su carta, spesso esiste un modo di operare, ma non qualcosa che possiate mostrare quando qualcuno ve lo chiede.
E viene chiesto. Un committente che a sua volta è soggetto all'obbligo di diligenza della direttiva NIS2 deve valutare i suoi fornitori — e un fornitore di servizi ICT si trova spesso in cima alla lista, proprio perché ha accesso ai sistemi di più clienti contemporaneamente. Il questionario sulla sicurezza che arriva dopo raramente chiede un documento normativo corposo. Chiede una risposta breve e riconoscibile a poche domande ricorrenti. Quella risposta arriva più velocemente se la politica è già su carta, invece di dover formulare ogni volta la risposta a ogni questionario.
Scopo e ambito di applicazione: di cosa tratta la politica e di cosa non tratta
La prima parte è semplice ma spesso viene saltata: per chi vale questa politica e di cosa non tratta. Per un fornitore di servizi ICT, di solito significa una distinzione tra i propri sistemi interni e i sistemi dei clienti che gestite o nei quali lavorate. Un lettore — o un cliente che richiede la politica — deve poter vedere in un paragrafo se si tratta dei vostri strumenti di ufficio interni, dell'infrastruttura che gestite per i clienti, o di entrambi. Senza questa delimitazione, ogni sezione successiva è difficile da valutare.
Gestione remota: cosa stabilite concretamente
Se gestite i sistemi dei clienti da remoto, la politica dovrebbe descrivere come vengono stabilite quelle connessioni, quali strumenti vengono utilizzati e chi può avviarle. Non si tratta di un manuale tecnico, ma delle linee che un committente riconosce: si lavora con un percorso di accesso fisso e controllato o ogni dipendente può accedere in qualsiasi momento, viene registrata una sessione, e cosa accade se un dispositivo utilizzato per il lavoro remoto va perso o viene sostituito. Autorità di vigilanza e committenti guardano principalmente in questa sezione la riconoscibilità: c'è una linea nella politica che corrisponde a ciò che accade effettivamente nella pratica.
Accesso ai sistemi dei clienti: accordi che emergono in un questionario
L'accesso ai sistemi dei clienti è una questione diversa dalla gestione remota, anche se nella pratica spesso si sovrappongono. La politica descrive preferibilmente chi all'interno della vostra organizzazione ottiene accesso a quale ambiente cliente, in base a quale ruolo, e come quell'accesso viene revocato quando qualcuno cambia funzione o lascia l'incarico. Molti questionari sulla sicurezza dei committenti chiedono esattamente questo: non se avete una politica sulle password, ma se l'accesso è collegato a un ruolo e viene revisionato periodicamente. Chi lo ha già scritto su carta non deve inventare la risposta nel momento in cui arriva il questionario.
Subappaltatori: chi vede cosa, e chi è responsabile di questo
La terza componente spesso mancante presso un fornitore di servizi ICT è la posizione dei subappaltatori. Se lavorate con una terza parte esterna per l'hosting, una parte dell'helpdesk o la gestione specializzata, la politica dovrebbe specificare quali accordi si applicano: quella parte ha accesso ai sistemi dei clienti, e in caso affermativo, a quali condizioni, e chi all'interno della vostra organizzazione è responsabile se qualcosa va male presso il subappaltatore. Un committente che valuta la vostra politica spesso vuole vedere proprio questo — non perché lavorare con subappaltatori sia un problema, ma perché l'incertezza al riguardo lo è.
Chi definisce la politica e quando viene revisionata
Un'ultima componente spesso dimenticata è la responsabilità: chi all'interno dell'organizzazione ha definito la politica e quando è stata revisionata per l'ultima volta. In una piccola azienda è spesso il direttore stesso; in un'organizzazione più grande può essere un responsabile designato. Più importante del titolo è che ci sia un nome specifico e una data, in modo che un committente o un'autorità di controllo possa vedere che il documento non è stato redatto e poi dimenticato.
Quali componenti esattamente ci si aspetta dipende dal settore in cui operate e dal committente che pone la domanda. la banca delle conoscenze con argomenti per situazione fornisce per ogni situazione una panoramica di cosa vi appartiene. Se volete prima sapere se la vostra organizzazione è coinvolta attraverso la catena dalla direttiva NIS2, allora un'indicazione sulla base di alcune domande vi aiuta ad avere una visione chiara. Molte domande che i clienti pongono al riguardo si ritrovano tra le domande poste anche da altri fornitori di servizi ICT, e chi vuole sapere su quali basi si basano queste risposte, le legge di nuovo tramite la spiegazione delle nostre fonti e della nostra metodologia.
Se non avete ancora un'idea chiara della situazione della vostra organizzazione, cominciate con il controllo NIS2 gratuito. Fornisce entro pochi minuti un'indicazione e un passo successivo, senza bisogno di un account.