Ar įmonė turi rizikos analizės ir informacinių sistemų saugumo politiką?

Rizikos analizės politika yra pagrindas likusioms devynioms priemonėms

Taip, daugeliu atveju čia yra ką pasakyti, nes rizikos analizė pirmoji priemone, nurodyta NIS2 21 straipsnio 2 dalyje, ir todėl yra pagrindas, ant kurio remiasi likusi politika. Šis klausimas netikrina ne tik to, ar yra dokumentas "rizikos politika", bet ar įmonė sistemingai tikrina, kurie informaciniai sistemi ir procesai yra pažeidžiami, ir kokios priemonės jiems priešinasi. Kliento, kuris tai klausia, tikslas yra sužinoti, ar saugumas nustatytas remiantis rizikos vertinimu, ar improvizuojama.

Praktikoje šis laukas dažnai yra sunkiai atsakomas paprastu "taip", nes rizikos analizė paprastai nėra atskiras politikos dokumentas, bet integruota į kitus komponentus: ar prieigos politika nustatyta, įskaitant verslo turto valdymą, ar yra procesas nustatyti ir ištaisyti pažeidžiamumus, ir ar saugumo priemonių veiksmingumas periodiškai tikrinamas. Be jokio pagrindinio dokumento, kuriame aprašyta rizikos vertinimo, - net ir jei tai paprastas vidinis apžvalga, - šioje vietoje nepagrįstas "taip" atsakymas. Jei trūksta to dokumento, teisingas atsakymas yra "ne" arba "iš dalies", galbūt su paaiškinimu, kurios dalys jau yra aprašytos.

Kur tai tiksliai išplaukia iš 21 straipsnio 2 dalies

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalis a punkte nurodomas „rizikos analizės ir informacinių sistemų saugumo politika ar įmonė turi ISO 27001 sertifikatą. Kas nori patikrinti, ar įmonė pati jau patenka į direktyvos taikymo sritį, tai randa čia įmonė pati patenka į NIS2 direktyvą arba jos nacionalinę transpoziciją.