non abbiamo una politica di sicurezza formale posso comunque rispondere sì alla lista di domande

No, non senza un documento che mostri la politica

No, inserire "sì" non è possibile qui, nemmeno se la pratica è largamente in ordine. La domanda su una politica di sicurezza non chiede se lavorate in sicurezza, ma se questo è stabilito: un documento in cui è chiaro chi è responsabile di cosa, quali misure valgono e con quale frequenza viene rivisto. Senza un tale documento non c'è nulla da mostrare con un "sì" se il cliente chiede ulteriori dettagli o un auditor lo richiede. Supplia non suggerisce un sì se il fascicolo della catena non ha un file di base — e questo vale pienamente qui, anche se la domanda stessa è riconoscibile per un compilatore esperto.

Quello che di solito funziona: "sì, informale" o "no, in fase di sviluppo" con una breve spiegazione, più un riferimento a ciò che è effettivamente documentato — una politica di accesso, una procedura per gli incidenti, un contratto con i fornitori con requisiti di sicurezza. Molti clienti apprezzano questa onestà più di un "sì" che non regge alla verifica. Se qualcosa è documentato ma non c'è un unico documento centrale, spesso è più forte fare riferimento alle singole parti: la politica di accesso e la gestione dei beni aziendali, la procedura per gli incidenti di sicurezzae la politica sui vulnerabilità. Insieme formano spesso già il nucleo di ciò che la domanda intende, anche senza che sia chiamata "politica di sicurezza".

Da dove deriva questo tra le dieci misure

La politica per l'analisi dei rischi e la sicurezza delle informazioni è la prima delle dieci misure dell'articolo 21, paragrafo 2, della direttiva NIS2 (Direttiva (UE) 2022/2555) — vedi anche cosa intende un cliente per analisi dei rischi. Chi rientra nella Legge sulla cibersicurezza deve poterlo dimostrare non appena la legge entra in vigore. ISO/IEC 27001 richiede inoltre nell'Allegato A una politica documentata come misura di controllo separata, indipendentemente dal fatto che l'organizzazione stessa sia certificata.