ICT paslaugų teikėjo informacijos saugumo politika aprašo, paprasta kalba ir rašytoje formoje, kaip jūsų organizacija tvarkote prieigą, įrangą ir žmones, kurie tuo vardu joje dirba. ICT paslaugų teikėjui tai daugiausia susiveda į tris dalykus: kaip jūs nuotoliniu būdu tvarkote kliento sistemas, kas turi prieigą prie tų sistemų ir ką nustatote su subrangovais, kurie perima dalį darbo. Be to dokumento rašytoje formoje dažnai yra tam tikras darbo būdas, bet nėra to, ką galėtumėte parodyti, kai kas nors to paprašo.
Ir klausama apie tai. Užsakovas, kuris pats patenka į NIS2 direktyvos priežiūros pareigybę, turi įvertinti savo tiekėjus — o ICT paslaugų teikėjas šiame kontekste dažnai yra aukštoje sąraše, būtent todėl, kad jis turi prieigą prie kelių kliento sistemų vienu metu. Saugumo klausimynas, kuris tada gautinas, retai prašo storo politikos dokumento. Jis prašo trumpo, atpažintino atsakymo į kelias pasikartojančias klausimus. Tas atsakymas yra greitesnis, jei politika jau rašytoje formoje, užuot ją perrašant kiekvienam klausimynui.
Tikslas ir apimtis: dėl ko yra politika ir kas jai nepriklauso
Pirmoji dalis yra paprasta, bet dažnai praleidžiama: kam taikoma ši politika ir dėl ko ji nėra. ICT paslaugų teikėjui tai dažniausiai reiškia ribą tarp savų vidinių sistemų ir kliento sistemų, kurias jūs tvarkote arba kuriose jūs dirbate. Skaitytojas — arba klientas, paprašantis politikos — turėtų paragrafoje suprasti, ar tai dėl jūsų administracinių sistemų, apie infrastruktūrą, kurią jūs tvarkote klientams, ar apie abi. Be to ribojimo, kiekviena tolesnė dalis yra sudėtinga įvertinti.
Nuotolinis administravimas: ką jūs konkrečiai nustatote
Jei jūs nuotoliniu būdu tvarkote kliento sistemas, politikoje turėtų būti paminėta, kaip tos jungtys susidaro, kokie įrankiai tam naudojami ir kas gali jas pradėti. Tai nėra techninis vadovas, bet linijos, kurias užsakovas atpažįsta: ar dirbama su fiksuota, kontroliuojama prieigos maršrutu, ar bet kuris darbuotojas gali bet kuriuo metu prisijungti, ar sesija registruojama, ir kas atsitinka, jei nuotoliniu būdu naudojamas įrenginys pasiklysta arba pakeičiamas. Priežiūrininkai ir užsakovai šioje dalyje ypač žiūri į atpažintinumą: yra linija politikoje, kuri atitinka tai, kas iš tikrųjų vyksta praktikoje.
Prieiga prie kliento sistemų: susitarimai, kurie išsiskiria klausimyne
Prieiga prie kliento sistemų yra kitas klausimas nei nuotolinis administravimas, nors jie praktikoje dažnai sutampa. Politika čia pageidautina aprašo, kas jūsų organizacijoje gauna prieigą prie kokios kliento aplinkos, atsižvelgiant į kokią rolę, ir kaip ta prieiga atšaukiama, jei kas nors keičia pareigą arba išeina iš tarnybos. Daugelis užsakovų saugumo klausimynų tiksliai to klausia: ne ar turite slaptažodžio politiką, bet ar prieiga susieta su vaidmeniu ir periodiškai peržiūrima. Kas tai jau turi rašytoje formoje, nereikalauja išgalvoti atsakymo toje akimirkoje, kai klausimynas bus gauta.
Subrangovai: kas mato ką ir kas yra tam atsakingas
Trečias komponentas, kuris dažnai trūksta ICT paslaugų teikėjui, yra subrangovų padėtis. Jei bendradarbiaujate su išorine šalimi, pavyzdžiui, dėl hostingo, dalies pagalbos paslaugų ar specializuoto administravimo, politika turėtų nustatyti, kokie susitarimai dėl to galioja: ar ta šalis gauna prieigą prie kliento sistemų, ir jei taip, kokiomis sąlygomis, bei kas jūsų organizacijoje yra atsakingas, jei su ta subrangovą įvyks problema. Užsakovas, vertinantis jūsų politiką, dažnai norėtų matyti būtent tai — ne todėl, kad darbas su subrangovais yra problema, o todėl, kad neaiškumas dėl to yra.
Kas politiką nustato ir kada ji peržiūrima
Paskutinis komponentas, kuris dažnai pamiršamas, yra atsakomybė: kas organizacijoje politiką nustatė ir kada ji buvo paskutinį kartą peržiūrėta. Mažoje įmonėje tai dažnai yra pats vadovas; šiek tiek didesnėje organizacijoje tai gali būti paskirtas atsakingas asmuo. Svarbesnis nei pareigos pavadinimas yra tai, kad yra vienas vardas ir data, kad užsakovas ar priežiūros valdžia galėtų matyti, jog dokumentas nebuvo parengtas ir tada pamirštas.
Kokie tiksliai komponentai tikėtini, priklauso nuo sektoriaus, kuriame dirbate, ir nuo užsakovo, kuris klausia. žinių bazė su temomis pagal situaciją pateikia apžvalgą to, kas prie kiekvienos situacijos priklauso. Jei pirmiausia norite sužinoti, ar jūsų organizacija per tiekimo grandinę yra paveikta NIS2 direktyvos, padeda nuoroda, pagrįsta keliomis klausimais tai suformuluoti aiškiai. Daug klausimų, kuriuos klientai dėl to klausia, pasikartoja tarp klausimų, kuriuos iškėlė ir kiti ICT paslaugų teikėjaio kas nori sužinoti, kuo pagrįsti tie atsakymai, tai skaito per paaiškinama mūsų šaltinių ir darbo metodo.
Jei dar neturite aiškios nuomonės, kur stovi jūsų organizacija, pradėkite nuo nemokamos NIS2 patikros. Tai per kelis minutes duoda nuorodą ir tolesnį žingsnį, be jokios paskyros poreikio.