Kas atsakingas už saugos klausimynų užpildymą

Atsakomybė priklauso nuo vaidmens, ne nuo skyriaus

Nėra jokio įstatyminio nurodymo, kas bendrovėje turėtų užpildyti saugumo klausimyną — tai yra vidaus politika, o ne taisyklių įpareigojimas. Praktikoje tai dažniausiai priklauso tam, kas gali pagrįsti atsakymą: dažnai tai IT vadytojas arba saugumo pareigūnas dėl techninių priemonių, ir žmogiškųjų išteklių vadyba arba vadovybė dėl politikos ir sąmoningumo. ISO 27001 sertifikavimo atveju tai dažniausiai jau apibrėžta vaidmenų paskirstyme aplink informacijos saugumo valdymo sistemą, ir tada klausimynas yra tik tos sistemos peržiūrėjimo reikalas, o ne naujo sprendimo ieškojimas.

Dažnai klystamai interpretuojama ne tas, kas turėtų užpildyti, bet kas turi teisę patvirtinti. Techninis atsakymas gali būti teisingas, bet jei žmogus, kuris jį įveda, neturi supratimo apie tai, kas gali būti perduota išorinei šaliai, informacija gali pasidalinti viešai, nors to nereikėtų. Tai yra priežastis, kodėl užpildymą ir patvirtinimą reikėtų vertinti kaip du atskirus žingsnius: pirmasis yra faktinis, antrasis — sprendimas dėl konfidencialumo. Tą patį svarstymo principą taikyti ir tokiems klausimams ar įmonė turi tęstinumo planą — dažnai atsakymas žinomas, bet ne visada ketinama jį dalytis išsamiai.

Ką klausimynas tiria iš esmės

Dešimt priemonių iš NIS2 direktyvos (Direktyva (ES) 2022/2555) 21 straipsnio 2 dalies suteikia gerą supratimą apie kategorijas, kurios pasirodo klausimynuose: rizikos analizę, incidentų valdymą, verslo tęstinumą, tiekėjų saugumą, prieigos politiką ir pan. Tie, kurie taiko ISO/IEC 27001, atpažins tuos pačius dalykus valdymo priemonėse, aprašytose A priede — tai daro standartą patogiu vidinės nuorodos žinynu, net jei pats sertifikatas nėra rodomas klientui. Klausimai dėl to ar imonė turi ISO 9001 sertifikatą yra pagrįsti tuo pačiu principu: tai yra atskira norma, bet klausimas, kas žino atsakymą ir juo vadovauja, organizaciškai dažnai priklauso tam pačiam asmeniui.