klausimynas prašo nurodyti saugos kontaktinį asmenį, kas tai turėtų būti mūsų bendrovėje

Kontaktinis asmuo yra pareiga, o ne vardas klausimyne

Nurodykite asmenį, kuris yra viduje atsakingas už saugumo priemones, nebūtinai savininkas ar vadovas. Praktikoje tai yra asmuo, kuris taip pat dalyvauja pažeidžiamumų nustatymo ir šalinimo procesą ir procedūrą saugumo incidentams tvarkyti — dažnai taip pat tas pats asmuo, kuris yra viduje kontaktiniu asmeniu, jei kažkas nutinka. Mažoje bendrovėje tai dažnai pats verslininkasarba IT administratorius; didesnėje bendrovėje saugumo pareigūnas arba asmuo su panašia pareigybės pavadinime. Svarbesnis nei pareigos pavadinimas yra tai, kad šis asmuo yra pasiekiamas ir žino, kas vyksta, nes klientas naudoja šį kontaktą daugiausia incidento arba audito metu.

Jei įmanoma, nurodykite pareigos arba funkcinio pašto dėžutę, o ne privačią vardą: tai užkerta kelią tam, kad klausimynas nepasenėtų, kai tik kažkas keičia pareigas. Toks adresas kaip "security@" arba "ciso@" klientui veikia taip pat gerai kaip vardas ir yra stabilesnis. Jei verslas dar neturi atskiros pareigos tam, tai yra įprasta nurodyti bendrąjį IT ar verslo vadybos atsakingąjį asmenį — kol tas asmuo tikrai yra pasiekiamas dėl turinio, o ne tik dėl vardo.

Iš kur tai kilęs: 21 straipsnis ir valdysenos vaidmuo

21 straipsnio 2 dalis NIS2 direktyvos nenumina atskiro kontaktinio asmens reikalavimo, tačiau dešimt ten išvardytų priemonių — įskaitant rizikos valdymą, incidentų tvarkymaą ir verslo tęstinumą — suponuoja, kad jas viduje nešioja ir yra atsakingas kažkas. Klientai, kurie apie tai klausia, iš tikrųjų tikrina, ar yra rizikos analizės ir informacijos sistemų saugumo politika ir ar ta politika turi atsakingąjį asmenį. ISO/IEC 27001 tai konkrečiau aprašo: Priedas A apima priemones dėl rolių ir atsakomybės informacijos saugumo srityje, ir paskirtas kontaktinis asmuo dažnai yra to matomas įrodymas. Nyderlandų Kibernetinio saugumo įstatymas, kuris transpozuoja NIS2 direktyvą ir įsigalios 2026 m. rugpjūčio 15 d., šiuo atžvilgiu neatidėjo atskiro reikalavimo virš to, kas jau yra direktyvoje.