Polityka bezpieczeństwa informacji dostawcy usług ICT opisuje w przystępnym języku i na piśmie, jak Twoja organizacja postępuje z dostępem, urządzeniami i osobami, które pracują nad tym w Twoim imieniu. Dla dostawcy usług ICT chodzi przede wszystkim o trzy kwestie: jak zdalnie zarządzasz systemami klientów, kto ma dostęp do tych systemów i jakie umowy podpisy z podwykonawcami, którzy przejmują część pracy. Bez tego dokumentu na piśmie często istnieje sposób pracy, ale nic, co możesz pokazać, gdy ktoś o to pyta.
I o to pytają. Zleceniodawca, który sam podlega obowiązkowi opieki wynikającemu z Dyrektywy NIS2, musi ocenić swoich dostawców — a dostawca usług ICT często zajmuje wysoką pozycję na liście, właśnie dlatego że ma dostęp do systemów wielu klientów jednocześnie. Lista kontrolna bezpieczeństwa, która następnie trafia, rzadko prosi o obszerny dokument polityki. Prosi o krótką, rozpoznawalną odpowiedź na kilka powtarzających się pytań. Odpowiedź przychodzi szybciej, gdy polityka już istnieje na piśmie, zamiast aby ją ponownie formułować przy każdej liście kontrolnej.
Cel i zakres: o czym mówi polityka i kogo nie dotyczy
Pierwszy element jest prosty, ale często się go pomija: dla kogo obowiązuje ta polityka i czego nie dotyczy. U dostawcy usług ICT oznacza to zwykle rozgraniczenie między własnymi wewnętrznymi systemami a systemami klientów, które zarządzasz lub w których pracujesz. Czytelnik — lub klient, który żąda polityki — powinien w jednym akapicie zobaczyć, czy chodzi o Twoją wewnętrzną automatyzację biurową, o infrastrukturę, którą zarządzasz dla klientów, czy też o obie. Bez tego rozgraniczenia każdy następny fragment trudno ocenić.
Zarządzanie zdalne: co dokładnie ustalasz
Jeśli zdalnie zarządzasz systemami klientów, polityka powinna określić, jak nawiązuje się te połączenia, jakie narzędzia do tego służą i kto je może uruchomić. Nie chodzi o instrukcję techniczną, ale o linie, które zleceniodawca rozpoznaje: czy pracuje się ze stałą, kontrolowaną trasą dostępu, czy każdy pracownik może się zalogować w każdym momencie, czy sesja jest rejestrowana, i co się dzieje, jeśli urządzenie, z którego pracuje się zdalnie, zostanie zagubione lub wymienione. Organy nadzoru i zleceniodawcy przy tym elemencie patrzą głównie na rozpoznawalność: czy w polityce znajduje się linia, która koresponduje z tym, co rzeczywiście dzieje się w praktyce.
Dostęp do systemów klientów: umowy, które zwracają uwagę na liście kontrolnej
Dostęp do systemów klientów to inne zagadnienie niż zarządzanie zdalne, choć w praktyce często się pokrywają. Polityka opisuje tutaj najlepiej, kto w ramach Twojej organizacji uzyskuje dostęp do którego środowiska klienta, na podstawie jakiej roli, i jak ten dostęp jest cofany, gdy ktoś zmienia funkcję lub odchodzi z pracy. Wiele list kontrolnych bezpieczeństwa zleceniodawców pyta dokładnie o to: nie czy masz politykę haseł, ale czy dostęp jest powiązany z rolą i czy jest okresowo przeglądany. Kto to ma już na piśmie, nie musi wymyślać odpowiedzi w momencie, gdy lista kontrolna trafia.
Podwykonawcy: kto widzi co i kto jest za to odpowiedzialny
Trzecim elementem, który często brakuje u dostawcy usług ICT, jest pozycja podwykonawców. Jeśli współpracujesz z zewnętrznym partnerem, na przykład w zakresie hostingu, części helpdesku lub wyspecjalizowanego zarządzania, polityka powinna określić, jakie ustalenia obowiązują: czy ta strona ma dostęp do systemów klienta, a jeśli tak, na jakich warunkach, i kto w Twojej organizacji jest odpowiedzialny w przypadku problemów u podwykonawcy. Zamawiający, który ocenia Twoją politykę, często chce dokładnie tego zobaczyć — nie dlatego, że współpraca z podwykonawcami stanowi problem, ale dlatego że brak jasności w tej kwestii go stanowi.
Kto ustanawia politykę i kiedy jest ona przeglądzana
Ostatnim elementem, który często się pomija, jest odpowiedzialność: kto w organizacji ustanowił politykę i kiedy została ona ostatnio przeglądzana. W małej firmie jest to często sam kierownik; w nieco większej organizacji może to być wyznaczony odpowiedzialny. Ważniejsze niż tytuł jest to, że przy niej znajduje się jedno imię i nazwisko oraz data, dzięki czemu zamawiający lub nadzorca może zobaczyć, że dokument nie został opracowany, a następnie zapomniany.
Które dokładnie elementy są oczekiwane, zależy od sektora, w którym działasz, i od zamawiającego, który pyta. bazy wiedzy z tematami dostosowanymi do każdej sytuacji zawiera dla każdej sytuacji przegląd tego, co do niej należy. Jeśli najpierw chcesz wiedzieć, czy Twoja organizacja jest dotknięta przez dyrektywę NIS2 poprzez łańcuch dostaw, pomoże Ci w tym wskazanie na podstawie kilku pytań aby uczynić to bardziej precyzyjnym. Wiele pytań, które klienci na ten temat zadają, pojawia się ponownie w pytaniach, które zadawali również inni dostawcy usług ICTa ci, którzy chcą wiedzieć, na czym opierają się te odpowiedzi, przeczytają to z powrotem poprzez objaśnienie naszych źródeł i metody pracy.
Jeśli nie masz jeszcze wiedzy na temat sytuacji Twojej organizacji, zacznij od bezpłatnego sprawdzenia NIS2. W ciągu kilku minut udzieli ono wskazania i następnego kroku, bez konieczności posiadania konta.