Списъкът с въпроси иска контакт за сигурност, кой трябва да бъде това при нас

Контактното лице е роля, а не име в списъка с въпроси

Посочете лицето, което е вътрешно отговорно за мерките за защита, не непременно собственика или директора. На практика това е лицето, което е също така участвало в процеса за идентифициране и отстраняване на уязвимостите и в процедурата за обработка на инциденти в областта на сигурността — често следователно същото лице, което вътрешно е контактната точка, когато нещо се случи. При малко предприятие това често е самия предприемач или администраторът на ИТ; при по-голямо предприятие специалист по информационна сигурност или лице с подобна длъжност. По-важно от длъжността е да е достъпно това лице и да знае какво се случва, тъй като клиентът използва този контакт преди всичко при инцидент или одит.

Предпочетете роля или функционален пощенски ящик вместо име на лице, ако е възможно: това предотвратява списъкът с въпроси да остарее веднага когато някой смени длъжност. Адрес като "security@" или "ciso@" е толкова добър за клиента, колкото и име, и е по-стабилен. Ако организацията все още няма отделна длъжност за това, обичайно е да посочите общо отговорния за ИТ или ръководството на бизнеса — стига това лице наистина да е достъпно по съдържанието, а не само по име.

Откъде идва това: член 21 и ролята на управлението

Чл. 21 ал. 2 на Директивата NIS2 не посочва контактно лице като отделно изискване, но десетте мерки там — включително управление на риска, работа с инциденти и непрекъснатост на дейността — предполагат, че някой ги носи вътрешно и е достъпен. Клиентите, които питат за това, всъщност проверяват дали има политика за анализ на риска и защита на информационните системи и дали тази политика има собственик. ISO/IEC 27001 разработва това по-конкретно: Приложение А съдържа мерки относно ролите и отговорностите в областта на информационната сигурност, а назначено контактно лице често е видимо доказателство за това. Холандският закон за киберсигурност, който транспонира Директивата NIS2 и влиза в сила на 15 август 2026 г., не добавя отделно изискване на този етап над това, което вече е в директивата.