Ce ar trebui să conțină o politică de securitate a informațiilor pentru o întreprindere de instalații?
O politica de securitate a informațiilor pentru o companie de instalații descrie, pe scurt, cine din organizație este responsabil de securitatea informațiilor, ce acorduri se aplică accesului la clădiri și sisteme, cum se gestionează incidentele și cum se documentează acestea. Documentul nu trebuie să fie un manual tehnic. Este mai ales o prezentare lizibilă care arată că s-a gândit la riscuri și că există o persoană răspunzătoare pentru acestea.
Pentru companiile de instalații, există un punct specific care lipsește din mult din politicile exemple: monterii se prezintă fizic la sediul clienților și primesc acolo adesea acces la sisteme, chei, badge-uri sau rețele. O politică care se referă doar la propriul birou, pierde astfel o parte din locul unde se află riscul real. Celui care primește o întrebare de la un beneficiar, o asigurare sau — pentru o companie de instalații mai mare — un organism de supraveghere, i se pune aproape întotdeauna această întrebare.
De ce se pune acum această întrebare
Obligația de diligență din Directiva NIS2 obligă entitățile esențiale și importante să evalueze furnizorii lor. O companie de instalații care lucrează pentru o companie energetică, un spital sau o companie de apă nu are adesea o obligație legală proprie, dar primește o listă de întrebări în care se cere o politică de securitate a informațiilor. Chiar fără această presiune din lanț, o politică documentată este utilă: clarifică cine controlează ce acord și evită ca cunoștințele să rămână doar în mintea cuiva.
Dacă o organizație cade sub legea din sine, este afectată prin lanț, sau nici una din acestea, se poate determina cu câteva întrebări. cu câteva întrebări, aflați dacă și cum este afectată compania dumneavoastră oferă o primă indicație gratuită în acest sens, cu o explicație pentru fiecare rezultat.
Componentele care revin aproape întotdeauna
O politica de securitate a informațiilor pentru sectorul instalațiilor conține de obicei o introducere scurtă despre scop și domeniu de aplicare: se referă la birou, atelierul de lucru, vehiculele, sistemele la locul clientului, sau la toate acestea deodată. După aceea, urmează de obicei un capitol despre roluri: cine poartă răspunderea finală, cine gestionează drepturile de acces și la cine anunță monteria o emblemă pierdută sau o suspiciune de incident.
Următoarea componentă se referă la acces: cum se determină cine poate accesa care sisteme și chei, cum se documentează atunci când cineva pleacă din serviciu și ce acorduri se aplică în mod specific lucrului la locul clientului. Adesea urmeaza un capitol despre echipament: laptopuri, tablete și telefoane pe care le transportă monterii și ce se întâmplă dacă se pierde un astfel de dispozitiv.
Politica descrie în continuare cum se identifică și se raportează un incident, chiar dacă este scurt și trimite la un registru de incidente separat. Și se încheie de obicei cu un capitol despre actualizare: când se revizuiește politica și cine este răspunzător pentru aceasta. Acel ultim capitol este pentru un client sau un organism de supraveghere adesea la fel de important ca și conținutul în sine — o politică care nu a fost adaptată de la înființare ridică mai multe întrebări decât răspunde.
Cât de detaliat trebuie să fie
Nu există o lungime prescrisă sau o formă fixă. Organismele de supraveghere și clienții se uită la dacă politica se potrivește cu amploarea și riscurile organizației, nu la numărul de pagini. O companie de instalații cu douăzeci de montieri care lucrează la mai multe locații are alte puncte de atenție decât o organizație de birou fără vizite ale clienților. Ceea ce legile naționale și organismele de supraveghere așteaptă exact de la entitățile esențiale și importante diferă, de altfel, de la țară la țară — baza de cunoștințe a secria.eu ține evidența acesteia pe fiecare subiect, cu data la care sursa a fost consultată.
De asemenea, este bine să știți că un document de politică rareori este în sine punctul final. El descrie acorduri care trebuie să apară și în alte locuri: într-o hartă a accesului, într-un registru de incidente, într-o hartă a furnizorilor. Fără aceste documente de bază, o politică rămâne o intenție pe hârtie. Întrebări frecvente despre ceea ce se cere exact și de ce se găsesc în întrebări frecvente despre dosarul dumneavoastră și liste de verificare.
Redactare proprie sau pregătire din exterior
O politică de securitate a informațiilor poate fi redactată de o companie de instalații în mod independent, pornind de la cunoașterea propriei metode de lucru. Pentru cei care preferă să utilizeze o structură elaborată deja ca bază, dosarul cibernetic al secria.eu oferă texte pregătite pentru fiecare componentă, legate de starea și dovada corespunzătoare. Aceasta nu înlocuiește sfatul juridic cu privire la situația dumneavoastră proprie, dar economisește munca investigativă de a începe de la zero. Mai multe despre structura dosarului și abonamentele aferente se află pe pagina cu abonamente și ce conțin acestea.
Cine dorește mai întâi o privire de ansamblu asupra temelor relevante înainte ca ceva să fie consemnat, va găsi o enumerare ordonată pe pagina cu toate temele, selectate pentru situația dumneavoastră. Pentru cele mai multe companii de instalații, aceasta este o primă etapă plăcută: mai întâi a vedea despre ce este cu adevărat vorba, abia apoi a începe să scrie.