meillä ei ole muodollista turvallisuuskäytäntöä, saako minä silti vastata kyllä kyselylomakkeeseen

Ei, ei ilman asiakirjaa, joka osoittaa käytännön

Ei, "kyllä" vastaaminen ei ole mahdollista täällä, vaikka käytäntö olisi suurimmaksi osin kunnossa. Turvallisuuskäytännön kysymys ei selvitä, työskenteletkö te turvallisesti, vaan että se on kirjattu: asiakirja, jossa määritellään, kuka on vastuussa mistä, mitä toimenpiteitä sovelletaan ja kuinka usein se tarkistetaan. Ilman tällaista asiakirjaa ei ole mitään näytettävää "kyllä"-vastaukseen, jos asiakas kysyy lisää tai tarkastaja pyytää sen esille. Supplia ei ehdota kyllä-vastausta, jos ketjutiedostoissa ei ole lähdeaineistoa — ja tämä pätee täällä täysimääräisesti, vaikka kysymys itsessään olisi kokenut vastaajalle tuttu.

Mikä yleensä toimii: "kyllä, epävirallisesti" tai "ei, kehitysvaiheessa" lyhyellä perustelulla sekä viittaus siihen, mitä on tosiasiallisesti dokumentoitu — käyttöoikeuksien hallintakäytäntö, poikkeamien käsittelymenettely, toimittajasopimus turvallisuusvaatimuksilla. Monet asiakkaat arvostivat tätä rehellisyyttä enemmän kuin "kyllä"-vastausta, joka ei kestä tarkastusta. Jos jotakin on dokumentoitu, mutta ei yhtä keskitettyä asiakirjaa, on usein parempi viitata erillisiin osiin: pääsynvalvonnan politiikkaan ja liiketoimintavälineiden hallintaan, tietoturvapoikkeamien menettelyja haavoittuvuuksien hallinnan käytäntö. Nämä muodostavat usein jo sen ytimen, jota kysymys itse asiassa tarkoittaa, vaikka sitä ei kutsuttaisi "turvallisuuskäytännöksi".

Missä tämä seuraa kymmenestä toimenpiteestä

Riskianalyysin ja tietoturvan käytäntö on ensimmäinen kymmenestä toimenpiteestä artiklan 21 kohdan 2 NIS2-direktiivissä (Direktiivi (EU) 2022/2555) — katso myös mitä asiakas tarkoittaa riskianalyysillaKenen, joka kuuluu Kyberturvallisuuslain soveltamisalaan, on voitava osoittaa tämä heti, kun laki tulee voimaan. ISO/IEC 27001 vaatii liitteessä A samalla tavoin kirjattua käytäntöä erilliseksi hallintotoimenpiteeksi, riippumatta siitä, onko organisaatio itse sertifioitu.