nemáme formální bezpečnostní politiku, mohu přesto odpovědět ano v seznamu otázek

Ne, ne bez dokumentu, který zásady ukazuje

Ne, vyplnit "ano" zde není možné, ani když je praxe z větší části v pořádku. Otázka na bezpečnostní zásady se neptat, zda pracujete bezpečně, ale zda je to zakotveno: dokument s tím, kdo je za co zodpovědný, která opatření platí a jak často je to revidováno. Bez takového dokumentu není nic, co by se dalo ukázat na "ano", pokud si zákazník ověří další podrobnosti nebo auditor jej požádá. Supplia nenabízí ano, pokud ketendossier nemá zdrojový soubor — a to platí zde bez výhrad, i když je samotná otázka pro zkušeného vyplňovatele rozpoznatelná.

Co obvykle ano: "ano, neformálně" nebo "ne, ve vývoji" s krátkou vysvětlením, plus odkaz na to, co skutečně existuje — zásada přístupu, postup řešení incidentů, smlouva se dodavatelem se požadavky na bezpečnost. Mnoho zákazníků oceňuje tuto upřímnost více než "ano", které se při ověření neudržuje. Existuje-li něco zdokumentováno, ale nikoli v jediném centrálním dokumentu, je často silnější odkazovat se na jednotlivé součásti: politikou přístupu a správou firemních aktiv, postupu pro bezpečnostní incidenty, a politiku týkající se zranitelností. Dohromady často již tvoří jádro toho, co otázka vlastně znamená, a to i bez toho, aby se to nazývalo "bezpečnostní politika".

Kde to vyplývá z deseti opatření

Politika analýzy rizik a bezpečnosti informací je prvním z deseti opatření v článku 21 odstavec 2 Směrnice NIS2 (Směrnice (EU) 2022/2555) — viz také co zákazník rozumí analýzou rizik. Kdokoli spadá pod Zákon o kybernetické bezpečnosti, musí to být schopen prokázat jakmile zákon vstoupí v platnost. ISO/IEC 27001 požaduje v Příloze A rovněž zdokumentovanou politiku jako samostatné kontrolní opatření, bez ohledu na to, zda je podnik sám certifikován.