Kas atsakingas už saugos klausimyno užpildymą

Vaidmenų pasiskirstymas pats savaime nėra normatyvinė reikalavimas, tačiau atsakymas į jį turi būti patikrintas

Pats klausimynas nenustato, kas jį turėtų užpildyti; 2 straipsnio 2 dalis NIS2 ir ISO/IEC 27001 A priedas trata apie priemones, kurias imasi organizacija, o ne apie pareigūną, pasirašantį formą. Praktikoje tai dažniausiai yra asmuo, gerai žinantis informacijos saugumo politiką: saugumo specialistas, IT vadovas arba, mažesnėse įmonėse, pats direktorius. Turint ISO 27001 sertifikatą, valdymo sistemoje dažnai jau yra paskirtas atsakingas asmuo — jo vardas tada yra logiškas šio klausimyno kontaktinis asmuo.

Kas tikrai nustatyti: atsakymai turi remtis kažkuo. Jei klausimas yra apie prieigos kontrolę, turi egzistuoti galimybė nurodyti, kokia politika ar kokia priemonė tai paremta — ne iš atminties užpildant, o perskaičius iš dokumentų. Tai daro šį klausimą mažiau apie tai, "kas gali tai užpildyti", ir labiau apie tai, "kas turi reikalingus faktus po ranka". Tas pats asmuo dažnai taip pat gali įvertinti, ar įmonė naudoja dirbtinio intelekto sistemas savo paslaugų teikimoje, nes tai paliečia tą patį techninį inventorių. Jei abejojate, kas organizacijoje yra atsakingas už atsakymą, dažnai tai yra tasis pats asmuo, kuris taip pat yra tęstinumo planas dėl rimto sutrikdymo valdo — abi temos sutampa žaliavų požiūriu.

Iš kur tai seka: straipsnis 21 2 dalies ir A priedo

NIS2 21 straipsnio 2 dalyje nurodomi dešimt priemonių kategorijų, tarp jų rizikos valdymas, incidentų tvarkymas ir prieigos politika — direktyva reglamentuoja tų priemonių turinį, o ne tai, kas juos viduje praneša. ISO/IEC 27001 Priedas A tai detalizuoja konkrečiomis kontrolinėmis priemonėmis, o organizacijos, kurios yra sertifikuotos, paprastai jau turi paskyrimą atsakingą asmenį savo vadybos sistemoje. Šis esamas vaidmenų paskirstymas yra akivaizdiausias šaltinis, į kurį galima sugrįžti pildant kibernetinio saugumo klausimyną.