jie prašo mūsų išsamios saugumo politikos kaip dokumento

Visos saugumo politikos dokumento dalinti dažniausiai nereikia

Ne, daugeliu atvejų to nereikia daryti, ir tai taip pat nėra tai, ką iš tikrųjų nori žinoti klientas. Toks klausimas kaip „siųskite savo saugumo politiką

, prieigos politika nustatyta, ar yra incidentų procedūra, ar periodiškai atliekamas testas. Paprastai į tai galima atsakyti konkretesniu būdu nei pateikiant visą dokumentą.

Iš kur tai seka: straipsnis 21 2 dalies ir A priedo

21 straipsnio 2 dalis iš NIS2 nurodo dešimt konkrečių priemonių — rizikos analizę, incidento tvarkymo, verslo tęstinumo, pažeidžiamumo valdymo, prieigos politiką ir daugiau — nereikalaudama, kad trečioji šalis patikrintų pagrindinį dokumentą. ISO/IEC 27001 A priedas veikia pagal tą pačią logiką: valdymo priemonės yra audituojamos pagal komponentą, o ne kaip vienas nepadalijamas politikos dokumentas. Taip pat turėtumėte atsiminti, kad ar jūsų pačių įmonė patenka į NIS2 ar jos nacionalinę transpoziciją yra atskira nuo to, ką klientas prašo klausimyne — šios dvi dalys dažnai painiojamos.