mums nav formālas drošības politikas - vai es tomēr varu atbildēt ar jā uz jautājumā

Nē, ne bez dokumenta, kas parāda politiku

Nē, "jā" atzīmēšana šeit nav iespējama, pat ja prakse lielākoties ir kārtībā. Jautājums par drošības politiku neber uz to, vai jūs strādājat draudzīgi, bet vai tas ir fiksēts: dokuments, kurā norādīts, kurš par ko atbild, kādi pasākumi ir spēkā un cik bieži tas tiek pārskatīts. Bez šāda dokumenta nav ko parādīt, ja klients jautā tālāk vai auditors to pieprasa. Supplia nepiedāvā "jā", ja ķēdes dosejā nav avota faila — un tas šeit pilnā mērā attiecas, pat ja jautājums pats par sevi ir pazīstams pieredzējušam aizpildītājam.

Kas parasti ir iespējams: "jā, neoficiāli" vai "nē, attīstības stadijā" ar īsu skaidrojumu, plus atsauce uz to, kas faktiski ir fiksēts — piekļuves politika, incidents procedūra, piegādātāja līgums ar drošības prasībām. Daudzi klienti šo godīgumu novērtē vairāk nekā "jā", kas pārbaudot neiztur. Ja kaut kas ir fiksēts, bet nav viena centrālā dokumenta, tad bieži vien ir spēcīgāk atsaukties uz atsevišķām daļām: piekļuves politiku un uzņēmuma līdzekļu pārvaldību, drošības incidentu risināšanas procedūras, un politika par vulnerabilitātēm. Kopā tās bieži vien jau veido to, ko jautājums faktiski nozīmē, pat bez tā, ka to sauc par "drošības politiku".

Kur tas izriet no desmit pasākumiem

Politika riska analīzei un informācijas drošībai ir pirmais no desmit pasākumiem Eiropas Savienības Direktīvā par dīkstāves NIS2 (Direktīva (ES) 2022/2555) 21. panta 2. punktā — skatīt arī ko klients nozīmē ar riska analīzi. Kurš ietilpst Kiberdrošības likumā, tas to var pierādīt, tiklīdz šis likums stājas spēkā. ISO/IEC 27001 pieprasa Pielikumā A arī fiksētu politiku kā atsevišķu kontroles pasākumu, neatkarīgi no tā, vai organizācija pati ir sertificēta.