viņi pieprasa mūsu pilnīgu drošības politiku kā dokumentu

Pilnā politikas dokumenta koplietošana parasti nav nepieciešama

Nē, vairumā gadījumu tas nav nepieciešams, un tas arī nav tas, ko klients patiesībā vēlas zināt. Jautājums, piemēram, "nosūtiet savu drošības politiku", gandrīz vienmēr ir kaut kā specifiskāka tulkojums: klients vēlas zināt, vai pastāv politika riska analīzei, vai ir incidents procedūra, vai piekļuve ir pareizi noregulēta. Tas ir desmit pasākumi no NIS2 21. panta 2. punkta, un tā pati sadalīšana parādās ISO/IEC 27001 Annex A vadības pasākumos. Jautājumu saraksts, kas prasa "pilnu politiku", parasti to tomēr sadala apakšjautājumos — tāpēc vispirms pārbaudiet, vai tas ir gadījums, pirms augšupielādējat pilnu dokumentu.

Visu politikas dokumenta nosūtīšanas risks nav juridisks, bet praktisks: tas bieži vien satur vairāk, nekā klients nepieciešams — rīku nosaukumi, iekšējās procedūras, personāla kontaktinformācija. Kas labāk pārstāv uz jautājumu atbildi, nevis dokumenta koplietošanu, var to ar konfidencialitātes pogu ierobežot tikai uz to, kas patiesībā tiek prasīts. Ja jautājums ir tieši par noteiktu apakštematu, tad atbilde bieži vien jau atrodas citur: vai piekļuves politika ir fiksēta, vai pastāv incidents procedūra, vai periodiski notiek pārbaude. Tas parasti ir konkrētāk atbildināms nekā ar pilnu dokumentu.

Kur tas izriet no: 21. panta 2. punkts un A pielikums

NIS2 21. panta 2. punkts nosaukā desmit konkrētus pasākumus — riska analīzi, incidenta apstrādi, biznesa nepārtrauktību, ievainojamības pārvaldību, piekļuves politiku un citus — nepieprasot, lai trešā puse pati skatītu pamatdokumentu. ISO/IEC 27001 Annex A darbojas pēc tādas pašas loģikas: vadības pasākumi ir revīcijas galā par katru daļu, nevis kā viens nedalīts politikas dokuments. Apdomājiet arī to, ka jautājums, vai paša uzņēmums ir NIS2 vai nacionālas transponēšanas darbības jomā atšķiras no tā, ko klients pieprasa jautājumu sarakstā — šie divi aspekti bieži tiek jaukti.