Кой е отговорен за попълването на списък със въпроси за сигурност

Разпределението на ролите не е само по себе си нормативно изискване, но отговорът трябва да бъде проверен

Самият списък с въпроси не предписва кой да го попълни; член 21 параграф 2 на NIS2 и Приложение A на ISO/IEC 27001 регулират мерките, които предприятието предприема, а не длъжностното лице, което подписва формуляра. На практика това е обикновено лицето, което познава политиката за информационна сигурност: специалист по сигурност, IT мениджър или, при по-малки компании, самия директор. При сертификат ISO 27001 често вече има назначена отговорна лица в системата за управление — това име е логичната контактна точка за този списък.

Това, което е определено: отговорите трябва да имат основа. Ако въпросът е свързан с контрол на достъпа, някой трябва да може да посочи каква политика или мярка стои зад това — не да го попълня от памет, а да го прочета от документ. Това го прави по-скоро въпрос за "кой има наличните основни факти" и по-малко за "кой е позволено да го попълни". Често същото лице е и това, което може да преценира дали предприятието използва AI системи в своята услугодейност," тъй като това засяга същата техническа инвентаризация. При съмнение относно това кой е вътрешният собственик на отговор, често е същото лице, което управлява и плана за приемственост при сериозно прекъсване — двете области се припокриват по отношение на първоначалния материал.

Откъде произтича това: член 21, параграф 2 и Приложение A

Член 21 параграф 2 на NIS2 изброява десет категории мерки, включително управление на рисковете, справяне с инциденти и политика за контрол на достъпа — директивата регулира съдържанието на тези мерки, а не кой ги докладва вътрешно. ISO/IEC 27001 Приложение A разработва това в конкретни контролни мерки, и организациите, които са сертифицирани, обикновено са вече определили отговорна лица в своята система за управление. Това съществуващо разпределение на ролите е най-очевидният източник, на който да се разчита при попълване на списък с въпроси за сигурност.