IKT pakalpojumu sniedzēja informācijas drošības politika apraksta, vienkāršā valodā un rakstiskā formā, kā jūsu organizācija pārvada piekļuvi, aprīkojumu un cilvēkus, kas tajā vārdā strādā. IKT pakalpojumu sniedzējam tas galvenokārt attiecas uz trim aspektiem: kā jūs attāli pārvaldāt klientu sistēmas, kas ir pieejams šīm sistēmām, un kā jūs sakopojat attiecības ar apakšuzņēmējiem, kuri pārņem daļu no darba. Bez šāda rakstiska dokumenta bieži vien pastāv noteikts darbības veids, bet ne kaut kas, ko jūs varētu uzrādīt, ja to kāds vaicātu.
Un pēc tā tiek vaicāts. Darba devējam, kurš pats ir NIS2 direktīvas aprūpes pienākuma dēļ, ir jānovērtē viņa piegādātāji — un IKT pakalpojumu sniedzējs bieži vien ir augsti šajā sarakstā, tieši tāpēc, ka viņam ir pieeja vairāku klientu sistēmām vienlaicīgi. Drošības jautājuma anketa, kas pēc tam tiek saņemta, reti prasa lielu politikas dokumentu. Tā prasa īsu, atpazīstamu atbildi uz dažiem atkārtotiem jautājumiem. Šāda atbilde ir pieejamāka, ja politika jau ir rakstiskā formā, tā vietā, lai to formulētu no jauna uz katru jautājuma anketu.
Mērķis un darbības joma: par ko ir politika un par ko tā nav
Pirmā komponente ir vienkārša, bet bieži tiek izlaista: kam šī politika attiecas, un par ko tā nav. IKT pakalpojumu sniedzējam tas parasti nozīmē robeža starp pašas iekšējām sistēmām un klientu sistēmām, kuras jūs pārvaldāt vai kurās strādāt. Lasītājs — vai klients, kas pieprasījis politiku — var vienā paragrāfā redzēt, vai tas ir par jūsu biroja automatizāciju, par infrastruktūru, kuru jūs pārvaldāt klientiem, vai par abiem. Bez šīs robežas katrs turpmākais posms ir grūti novērtējams.
Attālā pārvaldīšana: ko jūs konkrēti nostiprināt
Ja jūs attāli pārvaldāt klientu sistēmas, politikā jābūt aprakstītam, kā šos savienojumus izveido, kādi rīki tiem tiek izmantoti un kas tos var sākt. Tas nav par tehnisko instrukciju, bet par tām līnijām, ko darba devējs atpazīst: vai tiek izmantots fiksēts, kontrolēts piekļuves maršruts, vai jebkurš darbinieks jebkurā brīdī var pieslēgties, vai sesija tiek reģistrēta, un kas notiek, ja ierīce, no kuras tiek veikta attālā pārvaldīšana, tiek pazaudēta vai nomainīta. Uzraudzības iestādes un darba devēji šajā komponentē īpaši skatās uz atpazīstamību: vai politikā ir līnija, kas atbilst tam, kas praktiski tiešām notiek.
Piekļuve klientu sistēmām: līgumi, kas vēlams kļūst pamanāmi jautājuma anketā
Piekļuve klientu sistēmām ir atšķirīga problēma nekā attālā pārvaldīšana, lai arī praksē tās bieži pārklājas. Politika šeit apraksta, par labu, kurš jūsu organizācijā iegūst piekļuvi kurai klienta videi, pamatojoties uz kādu lomu, un kā šī piekļuve tiek anulēta, ja kāds maina funkciju vai tiek atbrīvots no darba. Daudz darba devēju drošības jautājuma ankets prasa tieši to: ne vai jums ir paroles politika, bet vai piekļuve ir saistīta ar lomu un periodiski tiek pārskatīta. Kurš to jau ir rakstiskā formā, tam nebūs jāizgudro atbilde brīdī, kad jautājuma anketa tiek saņemta.
Apakšuzņēmēji: kas redz ko, un kas par to ir atbildīgs
Trešais elements, kas bieži trūkst ICT pakalpojumu sniedzējiem, ir apakšuzņēmēju pozīcija. Ja strādājat ar ārēju pusi, piemēram, hostinga, palīdzības biroja daļas vai specializētas pārvaldības nodrošināšanai, politikai jābūt norādītām vienošanās, kas par to galiotu: vai šī puse saņem piekļuvi klientu sistēmām, un ja jā, kādi nosacījumi tai ir spēkā, un kurš jūsu organizācijā ir atbildīgais kontaktpersona, ja kaut kas noiet greizi pie apakšuzņēmēja. Pasūtītājs, kurš novērtē jūsu politiku, bieži vēlas redzēt tieši to — ne tāpēc, ka darbs ar apakšuzņēmējiem ir problēma, bet tāpēc, ka neskaidrība par to ir.
Kurš pien̦em politiku un kad tā tiek pārskatīta
Pēdējais elements, kas bieži tiek aizmirsts, ir atbildības jomā: kurš organizācijā ir pieņēmis politiku un kādā brīdī tā pēdējoreiz tika pārskatīta. Mazā uzņēmumā to bieži dara pats direktors; nedaudz lielākā organizācijā tam var būt nozīmēts atbildīgais. Svarīgāk nekā amats ir tas, ka ir viena vārda un datums, lai pasūtītājs vai pārraugs varētu redzēt, ka dokuments nav tikai sagatavots un pēc tam aizmirsts.
Kādi konkrēti elementi tiek gaidīti, ir atkarīgs no sektora, kurā jūs darbojas, un no pasūtītāja, kurš jautā. zināšanu bāze ar tēmām katrai situācijai sniedz pārskatu par to, kas katrai situācijai piesaistīts. Ja vēlaties vispirms uzzināt, vai jūsu organizācija tiek ietekmēta caur piegādes ķēdi saskaņā ar NIS2 direktīvu, tad jums palīdz norāde, pamatojoties uz dažiem jautājumiem lai to precizētu. Daudzus jautājumus, ko klienti par to uzdod, atkārto jautājumi, ko ir uzdojuši arī citi ICT pakalpojumu sniedzēji, un kas vēlas zināt, uz kā ir balstītas šīs atbildes, to var nolasīt mūsu avotu un darba metodes paskaidrojumā.
Ja jums vēl nav skaidrs, kur jūsu organizācija stāv, sāciet ar bezmaksas NIS2 pārbaudi. Tā dod aptuvenu norādi un nākamo soli dažu minūšu laikā, neizvērtējot konta nepieciešamību.