O politică de securitate a informațiilor pentru un furnizor de servicii ICT descrie, în limbaj comun și pe hârtie, modul în care organizația dvs. gestionează accesul, echipamentele și persoanele care lucrează pentru dvs. la acestea. Pentru un furnizor de servicii ICT, aceasta se rezumă în principal la trei lucruri: modul în care gestionați la distanță sistemele clienților, cine are acces la aceste sisteme și ce aranjați cu subcontractanții care preiau o parte din muncă. Fără acel document pe hârtie, există adesea o modalitate de lucru, dar nu ceva pe care să-l puteți arăta dacă cineva vă întreabă.
Și se întreabă. Un beneficiar care însuși cade sub obligația de diligență a Directivei NIS2 trebuie să-și evalueze furnizorii — și un furnizor de servicii ICT se află adesea în vârful listei, tocmai pentru că are acces la sistemele mai multor clienți în același timp. Lista de verificare a securității care sosește apoi rareori cere un document politic gros. Cere un răspuns scurt și recognoscibil la câteva întrebări recurente. Acel răspuns vine mai repede dacă politica este deja pe hârtie, în loc să trebuie să o reformulați la fiecare listă de verificare.
Scop și sferă de aplicare: la ce se referă politica și la cine nu
Prima componentă este simplă, dar este adesea omisă: pentru cine se aplică această politică și la ce nu se aplică. La un furnizor de servicii ICT, aceasta înseamnă de obicei o demarkație între sistemele interne proprii și sistemele clienților pe care le gestionați sau în care lucrați. Un cititor — sau un client care solicită politica — trebuie să poată vedea într-un paragraf dacă se referă la propria dvs. automatizare de birou, la infrastructura pe care o gestionați pentru clienți, sau la ambele. Fără această demarkație, fiecare parte ulterioară este dificil de evaluat.
Administrarea la distanță: ceea ce concret fixați
Dacă gestionați la distanță sistemele clienților, politica trebuie să numească modul în care se stabilesc aceste conexiuni, ce instrumente sunt folosite în acest scop și cine are voie să le inițieze. Nu este vorba de un manual tehnic, ci despre liniile pe care un beneficiar le recunoaște: se lucrează cu o rută de acces fixă și controlată sau orice angajat poate să se conecteze în orice moment, este o sesiune înregistrată, și ce se întâmplă dacă un dispozitiv utilizat pentru lucru la distanță se pierde sau este înlocuit. Autoritățile de supraveghere și beneficiarii privesc în special la recognoscibilitate în această componentă: există o linie în politică care se aliniază cu ceea ce se întâmplă cu adevărat în practică.
Acces la sistemele clienților: aranjamente care se remarcă la o listă de verificare
Accesul la sistemele clienților este o chestiune diferită decât administrarea la distanță, chiar dacă în practică adesea se suprapun. Politica descrie aici, de preferință, cine din cadrul organizației dvs. obține acces la ce mediu client, pe baza ce rol, și cum se retrage acel acces dacă cineva îsi schimbă funcția sau se pensionează. Multe liste de verificare a securității de la beneficiari întreabă exact asta: nu dacă aveți o politică de parolă, ci dacă accesul este legat de un rol și este revizuit periodic. Cine asta are deja pe hârtie nu trebuie să inventeze răspunsul în momentul în care lista de verificare sosește.
Subcontractanți: cine vede ce și cine poate fi tras la răspundere pentru asta
Al treilea element care lipsește adesea la un furnizor de servicii ICT este poziția subcontractanților. Dacă lucrați cu o parte externă pentru găzduire, o parte din helpdesk sau gestionare specializată, politica ar trebui să denumească acordurile respective: acea parte are acces la sistemele clienților, și dacă da, în ce condiții, și cine din organizația dvs. este responsabil dacă ceva merge prost la acel subcontractant. Un ordonator care evaluează politica dvs. va dori adesea să vadă exact asta — nu pentru că lucrul cu subcontractanți este o problemă, ci pentru că lipsa de claritate în această privință este.
Cine stabilește politica și când este revizuită
Un ultim element care este adesea uitat este responsabilitatea: cine din organizație a stabilit politica și în ce moment a fost revizuită ultima dată. La o mică companie, adesea directorul însuși; la o organizație ușor mai mare, poate fi o persoană responsabilă desemnată. Mai important decât titlu este faptul că există un nume și o dată, pentru ca un ordonator sau o autoritate de supraveghere să poată vedea că documentul nu a fost pregătit și apoi uitat.
Elementele exact așteptate depind de sectorul în care activați și de ordonatorul care întreabă. banca de cunoștințe cu subiecte pentru fiecare situație oferă pentru fiecare situație o privire de ansamblu a ceea ce se cuvine. Dacă doriți să aflați mai întâi dacă organizația dvs. este afectată prin lanțul de aprovizionare de directiva NIS2, ajută o indicație pe baza unor câteva întrebări să obțineți claritate. Multe întrebări pe care clienții le pun în această privință apar din nou în întrebările pe care l-au pus și alți furnizori de servicii ICT, și cine dorește să știe pe baza căror informații sunt fundamentate acele răspunsuri, le citește prin explicația privind sursele și metodologia noastră.
Dacă nu aveți încă o imagine clară a poziției organizației dvs., începeți cu verificarea NIS2 gratuită. Aceasta oferă în câteva minute o indicație și un pas următor, fără a fi nevoie de un cont.