Politika bezpečnosti informácií poskytovateľa služieb ICT popisuje, v bežnom jazyku a na papieri, ako vaša organizácia narába s prístupom, s vybavením a s ľuďmi, ktorí na to pracujú vašim menom. Pre poskytovateľa služieb ICT ide predovšetkým o tri veci: ako spravujete systémy klientov na diaľku, kto má prístup k týmto systémom a čo si dohodujete so subdodávateľmi, ktorí si vezmú časť práce. Bez tohto dokumentu na papieri je často spôsob, ako pracovať, ale nie niečo, čo môžete ukázať, keď sa niekto spýta.
A niekto sa pýta. Objednávateľ, ktorý sám podlieha povinnosti starostlivosti podľa smernice NIS2, musí posúdiť svojich dodávateľov — a poskytovateľ služieb ICT je v tomto procese často vysoko na zozname, práve preto, že má prístup k systémom viacerých klientov súčasne. Zoznam bezpečnostných otázok, ktorý potom príde, zriedka žiada objemný dokument politiky. Žiada krátku, jasne rozpoznateľnú odpoveď na pár opakujúcich sa otázok. Táto odpoveď príde rýchlejšie, ak je politika už na papieri, namiesto toho, aby ste ju museli pri každom zozname otázok znova formulovať.
Cieľ a rozsah: o čom je politika a o kom nie
Prvá časť je jednoduchá, ale často sa vynecháva: pre koho táto politika platí a o čom nie je. V prípade poskytovateľa služieb ICT to zvyčajne znamená vymedzenie medzi vlastnými internými systémami a systémami klientov, ktoré spravujete alebo v ktorých pracujete. Čitateľ — alebo klient, ktorý si politiku vyžaduje — by mal v jednom odseku vidieť, či ide o vašu vlastnú administratívnu automatizáciu, o infraštruktúru, ktorú spravujete pre klientov, alebo o oboje. Bez tohto vymedzenia je každá ďalšia časť ťažko posúdiť.
Vzdialená správa: čo konkrétne zaznamenávate
Ak spravujete systémy klientov na diaľku, politika by mala pomenúť, ako sa tieto spojenia nadväzujú, aké nástroje sa na to používajú a kto ich môže spustiť. Nejde o technickú príručku, ale o línie, ktoré objednávateľ pozná: pracuje sa s pevnou, kontrolovanou prístupovou trasou alebo sa každý zamestnanec môže prihlásiť kedykoľvek, je relácia zaznamenávaná a čo sa stane, ak zariadenie, z ktorého sa pracuje na diaľku, zmiznú alebo sa nahradí. Dozorovatelia a objednávatelia sa pri tejto časti pozerajú predovšetkým na rozpoznateľnosť: či je v politike linka, ktorá sa zhoduje s tým, čo sa v praxi naozaj deje.
Prístup k systémom klientov: dohody, ktoré upútajú pozornosť pri zozname otázok
Prístup k systémom klientov je iná otázka ako vzdialená správa, aj keď v praxi často kliznú k sebe. Politika tu pri svojej príležitosti opisuje, kto v rámci vašej organizácie získa prístup k akému klientskemu prostrediu, na základe akej úlohy, a ako sa tento prístup odvolá, keď si niekto zmení funkciu alebo odíde z práce. Mnohé zoznamy bezpečnostných otázok od objednávateľov pýtajú presne toto: nie či máte politiku hesiel, ale či je prístup spojený s úlohou a či je pravidelne kontrolovaný. Kto to už má na papieri, nemusí si vymýšľať odpoveď v momente, keď príde zoznam otázok.
Subdodávatelia: kto vidí čo a kto je za to zodpovedný
Tretia zložka, ktorá ICT poskytovateľovi často chýba, je postavenie subkontraktorov. Ak pracujete s externe dodanou stranou napríklad pre hostovanie, časť helpdesku alebo špecializovanú správu, politika by mala určiť, ktoré dohody na to vzťahujú: má táto strana prístup do systémov klientov, a ak áno, pod akými podmienkami, a kto je v rámci vašej organizácie kontaktnou osobou, ak sa niečo pokazí u tohto subkontraktora. Objednávateľ, ktorý hodnotí vašu politiku, chce často presne toto vidieť — nie preto, že práca so subkontraktormi je problém, ale preto, že nejasnota v tom to je.
Kto stanovuje politiku a kedy sa prehodnocuje
Posledná zložka, ktorá sa často zabúda, je zodpovednosť: kto v rámci organizácie politiku stanovil a v ktorom momente bola naposledy prehodnotená. V malom podniku to je často sám riaditeľ; v trochu väčšej organizácii to môže byť určená zodpovedná osoba. Dôležitejšie ako titul je, aby tam bolo jedno meno a dátum, aby objednávateľ alebo dohľadný orgán videl, že dokument nebol vytvorený a potom zabudnutý.
Ktoré zložky presne sa očakávajú, závisí od sektora, v ktorom pôsobíte, a od objednávateľa, ktorý pýta. poznatnú základňu s témami podľa situácie poskytuje pre každú situáciu prehľad toho, čo k nej patrí. Ak chcete najprv vedieť, či vaša organizácia je dotknutá smernicou NIS2 prostredníctvom dodávateľského reťazca, pomôže vám orientácia na základe niekoľkých otázok aby ste to mali jasné. Mnohé otázky, ktoré si o tom klienti kladú, sa vracajú v otázkach, ktoré si položili aj iní ICT poskytovateliaa kto chce vedieť, na čom sú tieto odpovede založené, nájde to prostredníctvom vysvetlenia našich zdrojov a pracovného postupu.
Ak si ešte nedokážete predstaviť, kde vaša organizácia stojí, začnite bezplatnou NIS2-kontrolou. Tá vám v priebehu niekoľkých minút poskytne orientáciu a ďalší krok, bez potreby účtu.