Pravilnik o varnosti informacij ponudnika storitev IKT opisuje v preprostih besedah in na papirju, kako vaša organizacija ravna z dostopom, s pripravami in s людьми, ki v vašem imenu delajo na teh pripravah. Za ponudnika storitev IKT gre predvsem za tri stvari: kako upravljate sisteme strank na daljavo, kdo ima dostop do teh sistemov in kaj dogovorite s podizvajalci, ki prevzamejo del dela. Brez tega dokumenta na papirju se pogosto malo ve o delovanju, a ni nič, kar bi lahko pokazali, če bi vas kdo vprašal.
In vprašajo. Naročnik, ki sam spada pod obveznosti ravnanja z varnostjo iz Direktive NIS2, mora oceniti svoje dobavitelje — in ponudnik storitev IKT je na tej seznamu pogosto visoko, prav zato ker ima dostop do sistemov več strank hkrati. Vprašalnik o varnosti, ki nato prispe, redko prosi za debel politični dokument. Prosi za kratek, prepoznaven odgovor na nekaj ponavljajočih se vprašanj. Ta odgovor je hitrejši, če je politika že na papirju, namesto da bi jo morali pri vsaki vprašalniku znova formulirati.
Namen in področje uporabe: o čem gre politika in komu se ne nanaša
Prvi del je preprost, a ga pogosto spregledajo: za koga velja ta politika in o čem ne gre. Pri ponudniku storitev IKT to običajno pomeni jasno razmejevanje med lastnimi notranjimi sistemi in sistemi strank, katere upravljate ali v katerih delate. Bralec — ali stranka, ki zahteva politiko — mora v enem odstavku videti, ali gre za vašo notranjo avtomatizacijo, za infrastrukturo, ki jo upravljate za stranke, ali za oboje. Brez te razmejenosti je vsak nadaljnji del težko oceniti.
Upravljanje na daljavo: kaj konkretno določite
Če upravljate sisteme strank na daljavo, bi politika morala opisati, kako se te povezave vzpostavijo, katere orodije se uporabijo za to in kdo jih sme zagnati. Ne gre za tehnični priročnik, ampak za črte, ki jih prepozna naročnik: se dela s stalno, nadzorovano dostopno potjo ali se lahko vsak zaposljenec kadarkoli prijavi, ali je seja zabeležena in kaj se zgodi, če naprava, s katero delate na daljavo, izgine ali se nadomesti. Nadzorniki in naročniki pri tem delu posebej gledam na prepoznavnost: ali je v politiki črta, ki se sklada s tem, kar v praksi res dogaja.
Dostop do sistemov strank: dogovori, ki izstopajo pri vprašalniku
Dostop do sistemov strank je drugo vprašanje kot upravljanje na daljavo, čeprav sta v praksi pogosto prepletena. Politika tu po možnosti opisuje, kdo v vaši organizaciji dobi dostop do katerega okolja stranke, na podlagi katere vloge in kako se dostop prekine, ko se nekdo prestavi na drugo delovno mesto ali zapusti službo. Mnogi varnostni vprašalniki naročnikov sprašujejo točno to: ne ali imate politiko gesel, ampak ali je dostop vezan na vlogo in redno pregledan. Tisti, ki to že ima na papirju, ne mora vprašanja izmisliti v trenutku, ko vprašalnik prispe.
Podizvajalci: kdo vidi kaj in kdo je za to odgovoren
Tretji del, ki pogosto manjka pri ponudnikih storitev ICT, je položaj podizvajalcev. Če delujete z zunanjo stranjo, na primer za gostovanje, del klepeta za stranke ali specializirano upravljanje, mora politika navedti, kateri dogovori za to veljajo: ali ta stranka dobi dostop do sistemov strank, in če ja, pod kakšnimi pogoji, ter kdo v vaši organizaciji je odgovoren, če kaj pošle pri podizvajalcu. Naročilec, ki ocenjuje vašo politiko, pogosto želi videti ravno to — ne ker je delo s podizvajalci problem, temveč ker je nejasnost o tem problematična.
Kdo določi politiko in kdaj se jo ponovno pregleda
Zadnji del, ki se pogosto pozabi, je lastništvo: kdo v organizaciji je določil politiko, in kdaj je bila nazadnje ponovno pregledana. V majhnem podjetju je to pogosto sam direktor; v nekoliko večji organizaciji je lahko imenovana odgovorna oseba. Bolj kot naslov je pomembno, da je pri tem eno ime in datum, da lahko naročilec ali nadzornik vidi, da dokument ni bil izpraševan in nato pozabljen.
Kateri deli se natanko pričakujejo, je odvisno od sektorja, v katerem delujete, in od naročilca, ki vprašuje. baza znanja s temami glede na situacijo navaja za vsako situacijo pregled, kaj je primerno. Če želite najprej vedeti, ali je vaša organizacija prek verige prizadeta s smernico NIS2, vam pomaga navedba na podlagi nekaj vprašanj da to jasno dobite. Mnoga vprašanja, ki jih imajo stranke glede tega, se pojavljajo v vprašanjih, ki so si jih tudi drugi ponudniki storitev ICT že postavljali, in tisti, ki želi vedeti, na čem temeljijo ti odgovori, to prebere prek razlage naših virov in postopkov.
Če še nimate predstave, kje stoji vaša organizacija, začnite s prosto preverjanjem NIS2. To v nekaj minutah omogoči navedbo in naslednji korak, brez potrebe po računu.