Кой е отговорен за попълването на списъци със въпроси на клиентите за сигурност

Отговорният е ролята, а не отделението

Няма законово указание кой в предприятието трябва да попълни списъка с въпроси за сигурност — това е вътрешна политика, а не задължение от нормативен акт. На практика това се падаше на лицето, което може да обоснове отговора: често IT-мениджърът или служебният лицо по сигурност за техническите мерки, и HR или ръководството за политиката и осведомеността. При сертификация по ISO 27001 това обикновено вече е уредено в разпределението на ролите около системата за управление на информационната сигурност, и тогава списъкът с въпроси е въпрос на консултиране на тази система, а не на преизучаване.

Там, където често се сбърква, е не вопросът кой попълва, а вопросът кой може да потвърди. Техническият отговор може да е правилен, но ако лицето, което го въвежда, няма преглед на това, което може да бъде разкрито на външна страна, информация излиза, която там не трябва да попада. Това е причина да се вижда попълването и освобождаването като две отделни стъпки: първата е фактологична, втората е разценка относно поверителност. Същият разрез се появява например при вопроса дали предприятието има план за приемственост — и там отговорът често е известен, но не всегда е предназначен да се дели в детайли.

Какво списъкът с въпроси проверява по съдържание

Десетте мерки от член 21 параграф 2 от Директива NIS2 (Директива (EU) 2022/2555) дават добра представа за категориите, които се появяват в списъците с въпроси на клиентите: анализ на риска, управление на инциденти, приемственост на бизнеса, сигурност на доставчиците, политика на достъп и подобни. Кой прилага ISO/IEC 27001, разпознава същите теми в управленските мерки на Приложение A — това прави стандарта полезна вътрешна справочна работа, дори ако самият сертификат не се показва на клиента. За вопроса дали предприятието е сертифицирано по ISO 9001 се прилага същата логика: става дума за отделен норматив, но вопросът кой знае отговора и го управлява, се пада организационно често на същото лице.