ποιος είναι υπεύθυνος για τη συμπλήρωση των ερωτηματολογίων πελατών σχετικά με την ασφάλεια

Υπεύθυνη είναι ο ρόλος, όχι το τμήμα

Δεν υπάρχει νομική οδηγία σχετικά με το ποιος στην εταιρεία συμπληρώνει τον κατάλογο ερωτήσεων ασφάλειας — αυτό είναι εσωτερική πολιτική, όχι υποχρέωση που απορρέει από κανονισμό. Στην πράξη, εξαρτάται από το ποιος μπορεί να τεκμηριώσει την απάντηση: συχνά ο διευθυντής IT ή ο αξιωματούχος ασφάλειας για τα τεχνικά μέτρα, και τα ανθρώπινα δυναμικά ή η διοίκηση για την πολιτική και την ευαισθητοποίηση. Σε περίπτωση πιστοποίησης ISO 27001, αυτό συνήθως έχει ήδη καθοριστεί στην κατανομή ρόλων γύρω από το σύστημα διαχείρισης πληροφοριακής ασφάλειας, και τότε ο κατάλογος ερωτήσεων είναι θέμα διαβούλευσης του συστήματος, όχι νέας διερεύνησης.

Όπου συχνά υπάρχει πρόβλημα, δεν είναι το ερώτημα ποιος συμπληρώνει, αλλά το ερώτημα ποιος μπορεί να επικυρώσει. Μια τεχνική απάντηση μπορεί να είναι σωστή, αλλά αν ο άτομο που την καταχωρεί δεν έχει ορατότητα σχετικά με το τι μπορεί να κοινοποιηθεί σε εξωτερικό μέρος, πληροφορίες διαρρέουν που δεν θα έπρεπε. Αυτός είναι ένας λόγος για τον οποίο θα πρέπει να θεωρηθούν η συμπλήρωση και η απελευθέρωση ως δύο χωριστά βήματα: το πρώτο είναι γεγονότα, το δεύτερο είναι κρίση σχετικά με την εμπιστευτικότητα. Η ίδια διάκριση ισχύει για παράδειγμα στο ερώτημα εάν η επιχείρηση διαθέτει σχέδιο συνέχειας δραστηριοτήτων — και εκεί η απάντηση συχνά είναι γνωστή, αλλά δεν είναι πάντα προορισμένη να κοινοποιηθεί λεπτομερώς.

Αυτό που ο κατάλογος ερωτήσεων δοκιμάζει ουσιαστικά

Τα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας NIS2 (Οδηγία (ΕΕ) 2022/2555) δίνουν μια καλή εικόνα των κατηγοριών που εμφανίζονται σε κατάλογους ερωτήσεων πελατών: ανάλυση κινδύνου, αντιμετώπιση περιστατικών, συνέχεια δραστηριοτήτων, ασφάλεια προμηθευτών, πολιτική πρόσβασης και παρόμοια. Όποιος εφαρμόζει ISO/IEC 27001, αναγνωρίζει τα ίδια θέματα στα μέτρα ελέγχου του Παραρτήματος A — αυτό κάνει το πρότυπο ένα χρήσιμο εσωτερικό έργο αναφοράς, ακόμα κι αν το ίδιο το πιστοποιητικό δεν παρουσιάζεται στον πελάτη. Για το ερώτημα το εάν η επιχείρηση είναι πιστοποιημένη κατά ISO 9001 ισχύει η ίδια λογική: πρόκειται για ένα χωριστό πρότυπο, αλλά το ερώτημα ποιος γνωρίζει και διαχειρίζεται την απάντηση, συνήθως ανήκει οργανωτικά στον ίδιο άτομο.