cine este responsabil pentru completarea listelor de întrebări de la clienți privind securitatea

Responsabil este rolul, nu departamentul

Nu există o indicație legală cu privire la cine din companie completează chestionarul de securitate — aceasta este o politică internă, nu o obligație din vreun regulament. În practică, responsabilitatea revine celui care poate justifica răspunsul: adesea managerul IT sau ofițerul de securitate pentru măsurile tehnice, și HR sau conducerea pentru politică și conștientizare. În cazul unei certificări ISO 27001, aceasta este de obicei deja stabilită în repartizarea rolurilor din sistemul de management al securității informațiilor, iar chestionarul devine o chestiune de a consulta sistemul respectiv, nu de a redetermina responsabilitățile.

Unde adesea lucrurile merg prost nu este întrebarea cine completează, ci cine poate aproba. Un răspuns tehnic poate fi corect, dar dacă persoana care îl introduce nu are vizibilitate asupra datelor care pot fi divulgate unor terți, informații care nu ar trebui să se divulge pot fi făcute publice. Aceasta este o motivație pentru a vedea completarea și eliberarea ca doi pași separați: primul este de fapt factual, al doilea este o evaluare a confidențialității. Aceeași separare se aplică, de exemplu, la întrebarea dacă întreprinderea are un plan de continuitate — și acolo răspunsul este adesea cunoscut, dar nu întotdeauna cu intenția de a fi împărtășit în detaliu.

Ce testează chestionarul din punct de vedere substanțial

Cele zece măsuri din articolul 21, alineatul 2, al Directivei NIS2 (Directiva (UE) 2022/2555) oferă o bună imagine asupra categoriilor care apar în chestionarele clienților: analiză de risc, gestionarea incidentelor, continuitate operațională, securitatea furnizorilor, politica de acces și altele asemănătoare. Cine aplică ISO/IEC 27001 recunoaște aceleași subiecte în măsurile de control din Anexa A — ceea ce face ca standardul să fie o lucrare de referință internă utilă, chiar dacă certificatul în sine nu este prezentat clientului. Pentru întrebarea dacă întreprinderea este certificată ISO 9001 se aplică aceeași logică: este vorba despre o normă separată, dar întrebarea cine cunoaște răspunsul și îl gestionează este adesea situată organizatoric la aceeași persoană.