ki felelős az adatvédelmi kérdőívek kitöltéséért

A felelősség a szerep, nem az osztály

Nincs jogszabályi előírás arról, hogy a vállalat mely dolgozottja töltse ki a biztonságivédelmi kérdőívet — ez belső szabályzat, nem valamely rendelkezésből eredő kötelezettség. A gyakorlatban annak a feladata, aki az adott válaszra alapot tud szolgáltatni: gyakran az IT-vezető vagy a biztonsági felelős a technikai intézkedésekért, valamint az HR vagy a vezetőség az irányelvekért és a tudatosságért. Egy ISO 27001-tanúsítás esetében ezt általában már rögzítik az információbiztonsági-menedzsmentrendszer köré szervezet szerepek között, és akkor a kérdőív kitöltése nem más, mint erre az előzőleg kialakított rendszerre támaszkodás, nem pedig az ismételt vizsgálódás.

Ahol gyakran hiba csúszik be, az nem az, hogy kik töltik ki, hanem az, hogy kik erősíthetik meg. Egy technikai válasz helyes lehet, de ha azt a személy írja be, akinek nincs rálátása arra, hogy mit szabad megosztani külső féllel, olyan információ kerülhet nyilvánosságra, ami oda nem való. Ez oka annak, hogy az összeállítást és a jóváhagyást két külön lépésként érdemes kezelni: az első tényközlés, a második pedig az információvédelmességre vonatkozó mérlegelés. Ugyanez a szétválasztás játszik szerepet például a kérdésben is: hogy a vállalkozásnak van-e folytonossági terve — ott sem ritkán ismert a válasz, de nem mindig szánják szét annak részleteit.

Mit vizsgál tartalmilag a kérdőív

Az NIS2-irányelv (2022/2555 EU irányelv) 21. cikk (2) bekezdésében szereplő tíz intézkedés jó képet ad a kérdésekről, amelyek visszaköszönnek az ügyfelek kérdőívein: kockázatelemzés, incidenskezelés, üzletmenet-folytonossági tervek, beszállítóbiztonság, hozzáférési politika és hasonlók. Aki az ISO/IEC 27001-et alkalmazza, felismeri ugyanezeket a témákat a Melléklet A ellenőrzési intézkedéseiben — ez a szabvány hasznos belső kézikönyvvé teszi, akkor is, ha a tanúsítvány maga nem kerül sor az ügyfél elé. A kérdés tekintetében vagy a vállalkozás ISO 9001-tanúsítvánnyal rendelkezik-e ugyanez a logika érvényes: külön szabvánnyal foglalkozunk, de a válasz ismerete és kezelése szervezeti szempontból gyakran ugyanannak a személynek a feladata.