Uma política de segurança da informação para um prestador de serviços TIC descreve, em linguagem clara e por escrito, como sua organização lida com acesso, equipamento e as pessoas que trabalham nisso em seu nome. Para um prestador de serviços TIC, isso gira principalmente em torno de três coisas: como você gerencia remotamente os sistemas dos clientes, quem tem acesso a esses sistemas e o que você regula com subcontratados que assumem parte do trabalho. Sem esse documento por escrito, muitas vezes há uma forma de trabalhar, mas não algo que você possa mostrar quando alguém perguntar.
E é perguntado. Um cliente que se enquadra na obrigação de diligência da Diretiva NIS2 deve avaliar seus fornecedores — e um prestador de serviços TIC costuma estar no topo da lista, precisamente porque tem acesso aos sistemas de vários clientes simultaneamente. O questionário de segurança que chega depois raramente pede um documento de política volumoso. Ele pede uma resposta curta e reconhecível para algumas perguntas recorrentes. Essa resposta chega mais rápido se a política já estiver escrita, em vez de você ter que formular a cada questionário.
Objetivo e escopo: sobre o que é a política e sobre o que não é
A primeira parte é simples, mas frequentemente omitida: para quem se aplica esta política e sobre o que não se aplica. Para um prestador de serviços TIC, isso geralmente significa uma delimitação entre seus próprios sistemas internos e os sistemas de clientes que você gerencia ou nos quais trabalha. Um leitor — ou um cliente que solicita a política — deve conseguir ver em um parágrafo se se trata de sua própria automação de escritório, da infraestrutura que você gerencia para clientes ou de ambas. Sem essa delimitação, cada seção seguinte é difícil de avaliar.
Gestão remota: o que você concretamente estabelece
Se você gerencia remotamente os sistemas dos clientes, a política deve nomear como essas conexões são estabelecidas, quais ferramentas são usadas para isso e quem pode iniciá-las. Não se trata de um manual técnico, mas das linhas que um cliente reconhece: trabalha-se com uma rota de acesso fixa e controlada ou qualquer funcionário pode fazer login a qualquer momento, uma sessão é registrada e o que acontece se um dispositivo usado para acesso remoto se perder ou for substituído. Autoridades regulatórias e clientes olham especialmente para reconhecibilidade nesta seção: há uma linha na política que se alinha com o que realmente acontece na prática.
Acesso aos sistemas do cliente: acordos que se destacam em um questionário
O acesso aos sistemas do cliente é uma questão diferente da gestão remota, mesmo que na prática frequentemente se sobreponham. A política descreve aqui, de preferência, quem dentro de sua organização obtém acesso a qual ambiente de cliente, com base em qual função, e como esse acesso é revogado quando alguém muda de função ou sai da empresa. Muitos questionários de segurança de clientes perguntam precisamente isto: não se você tem uma política de senhas, mas se o acesso está vinculado a uma função e é revisado periodicamente. Quem já tem isso escrito já não precisa inventar a resposta quando o questionário chega.
Subcontratados: quem vê o quê e quem é responsável por isso
A terceira parte que costuma faltar num prestador de serviços ICT é a posição dos subcontratados. Se trabalha com uma terceira entidade, por exemplo, para alojamento, parte do suporte técnico ou gestão especializada, a política deve especificar quais são os acordos aplicáveis: essa entidade tem acesso aos sistemas dos clientes e, em caso afirmativo, sob que condições, e quem na sua organização é responsável se algo correr mal com esse subcontratado. Um cliente que avalia a sua política frequentemente quer ver exatamente isto — não porque trabalhar com subcontratados seja um problema, mas porque a falta de clareza sobre isto é.
Quem estabelece a política e quando é revista
Um último aspecto que é frequentemente esquecido é a responsabilidade: quem na organização estabeleceu a política e quando foi revista pela última vez. Numa pequena empresa, é frequentemente o próprio diretor; numa organização um pouco maior, pode ser um responsável designado. Mais importante do que o cargo é ter um nome e uma data, para que um cliente ou autoridade de supervisão possa ver que o documento foi elaborado e depois não foi esquecido.
As partes exatas que são esperadas dependem do sector em que trabalha e do cliente que coloca a pergunta. a base de conhecimentos com tópicos por situação apresenta para cada situação uma visão geral do que é relevante. Se primeiro quer saber se a sua organização é afectada pela Diretiva NIS2 através da cadeia de fornecimento, então ajuda uma indicação baseada em algumas perguntas para clarificar isso. Muitas perguntas que os clientes fazem sobre este assunto aparecem de novo em as perguntas que outros prestadores de serviços ICT também colocarame quem quiser saber em que se baseiam essas respostas lerá através de a explicação das nossas fontes e metodologia.
Se ainda não tem uma ideia de onde a sua organização se encontra, comece pela verificação gratuita de NIS2. Ela dá, em poucos minutos, uma indicação e um próximo passo, sem necessidade de uma conta.