En informationssäkerhetspolicy för en ICT-tjänsteleverantör beskriver, i enkelt språk och på papper, hur din organisation hanterar åtkomst, utrustning och de människor som arbetar med detta på dina vägnar. För en ICT-tjänsteleverantör handlar det framför allt om tre saker: hur du fjärradministrerar kunders system, vem som har åtkomst till dessa system, och vad du reglerar med underentreprenörer som tar över en del av arbetet. Utan detta dokument på papper finns det ofta ett sätt att arbeta, men inget som du kan visa när någon frågar.
Och det blir frågat. En arbetsgivare som själv faller under skyddsåtgärdsplikten i NIS2-direktivet måste bedöma sina leverantörer — och en ICT-tjänsteleverantör står ofta högt på listan, just för att han har åtkomst till system för flera kunder samtidigt. Säkerhetsfrågeformuläret som då kommer in frågar sällan om ett tjockt policydokument. Det frågar om ett kort, igenkännligt svar på några återkommande frågor. Det svaret kommer snabbare om policyn redan är på papper, i stället för att du måste formulera det på nytt för varje frågeformulär.
Syfte och omfattning: vad policyn handlar om och vem det gäller
Den första delen är enkel men utelämnas ofta: för vem gäller denna policy, och vad handlar den inte om. För en ICT-tjänsteleverantör betyder detta vanligtvis en gräns mellan dina egna interna system och kundsystem som du administrerar eller arbetar i. En läsare — eller en kund som begär policyn — måste i ett stycke kunna se om det handlar om din egen kontorsautomation, om infrastrukturen som du administrerar för kunder, eller om båda. Utan denna gräns är varje följande del svår att bedöma.
Fjärrhantering: vad du konkret fastställer
Om du fjärradministrerar kunders system bör policyn nämna hur dessa anslutningar upprättas, vilka verktyg som används för detta och vem som får starta dem. Det handlar inte om en teknisk manual, utan om de linjer som en arbetsgivare känner igen: arbetar man med en fast, kontrollerad åtkomstväg eller kan varje anställd logga in när som helst, loggas en session, och vad händer om en enhet som används för fjärrarbete försvinner eller byts ut. Tillsynsmyndigheter och arbetsgivare tittar särskilt på denna del för igenkännlighet: finns det en linje i policyn som motsvarar vad som faktiskt händer i praktiken.
Åtkomst till kundsystem: avtal som sticker ut i ett frågeformulär
Åtkomst till kundsystem är en annan fråga än fjärrhantering, även om de ofta flyter samman i praktiken. Policyn beskriver här helst vem inom din organisation som får åtkomst till vilken kundmiljö, baserat på vilken roll, och hur denna åtkomst återkallas när någon byter funktion eller lämnar tjänsten. Många säkerhetsfrågeformulär från arbetsgivare frågar precis detta: inte om du har en lösenordspolicy, utan om åtkomsten är kopplad till en roll och granskas regelbundet. Den som redan har detta på papper behöver inte hitta på svaret när frågeformuläret kommer in.
Underentreprenörer: vem ser vad, och vem är ansvarig för det
Den tredje komponenten som ofta saknas hos en ICT-tjänsteleverantör är positionen för underentreprenörer. Om du arbetar med en extern part för till exempel hosting, en del av supporten eller specialiserad förvaltning, bör policyn precisera vilka avtal som gäller för detta: får den parten åtkomst till kundsystem, och i så fall under vilka villkor, och vem inom din organisation är ansvarig om något går fel hos underentreprenören. En beställare som granskar din policy vill ofta se exakt detta — inte för att arbete med underentreprenörer är ett problem, utan för att bristande klarhet om det är det.
Vem som fastställer policyn och när den granskas på nytt
En sista komponent som ofta glöms bort är ansvaret: vem inom organisationen som har fastställt policyn och när den senast granskades. I ett litet företag är det ofta direktören själv; i en något större organisation kan det vara en utsedd ansvarig. Viktigare än titeln är att ett namn och ett datum står angivet, så att en beställare eller tillsynsmyndighet kan se att dokumentet inte upprättades och sedan glömdes bort.
Vilka komponenter som exakt förväntas beror på vilken sektor du arbetar i och vilken beställare som ställer frågan. kunskapsbasen med ämnen per situation ger en överblick per situation över vad som hör dit. Om du först vill veta om din organisation påverkas via leveranskedjan av NIS2-direktivet, hjälper en indikation baserad på ett par frågor dig att få den klara. Många frågor som kunder ställer om detta återkommer i frågor som andra ICT-tjänsteleverantörer också har ställtoch den som vill veta vad dessa svar är baserade på läser det via förklaringen av våra källor och arbetssätt.
Om du inte har någon bild av var din organisation står, börja med den kostnadsfria NIS2-kontrollen. Den ger en indikation och ett nästa steg inom några minuter, utan att ett konto krävs.