pytają o nasze pełne zasady bezpieczeństwa jako dokument

Udostępnianie pełnego dokumentu polityki zwykle nie jest konieczne

Nie, w większości przypadków nie jest to konieczne i nie jest to również tym, co klient naprawdę chce wiedzieć. Pytanie takie jak "wyślij swoją politykę bezpieczeństwa" jest prawie zawsze tłumaczeniem czegoś bardziej szczegółowego: klient chce wiedzieć, czy istnieje polityka analizy ryzyka, czy istnieje procedura obsługi incydentów, czy dostęp jest prawidłowo uregulowany. To są dziesięć środków z artykułu 21 ust. 2 dyrektywy NIS2 i ten sam podział widać w środkach kontrolnych Załącznika A normy ISO/IEC 27001. Kwestionariusz, który pyta o "pełną politykę", zwykle dzieli to na podpytania — sprawdź zatem najpierw, czy to ma miejsce, zanim przesłasz pełny dokument.

Ryzyko wysłania całego dokumentu polityki nie jest kwestią prawną, ale praktyczną: często zawiera więcej niż klient potrzebuje — nazwy narzędzi, procedury wewnętrzne, dane kontaktowe pracowników. Kto woli odpowiadać na każde pytanie z osobna zamiast udostępniać dokument, może za pomocą przycisku poufności ograniczyć to do tego, co faktycznie zostało zapytane. Jeśli pytanie dotyczy konkretnie podtemacie, odpowiedź można zwykle znaleźć gdzieindziej: lub polityka dostępu jest ustalona, czy istnieje procedura na wypadek incydentów, czy przeprowadzane są okresowe testy. Zwykle na te pytania można udzielić bardziej konkretnej odpowiedzi niż poprzez pełny dokument.

Gdzie to wynika: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć konkretnych środków — analizę ryzyka, obsługę incydentów, ciągłość biznesu, zarządzanie lukami w zabezpieczeniach, politykę dostępu i inne — bez wymogu, aby strona trzecia zapoznała się sama z dokumentem bazowym. ISO/IEC 27001 Załącznik A działa na tej samej zasadzie: środki kontroli są audytowalne dla każdego obszaru, a nie jako jeden nierozdzielony dokument polityki. Warto również pamiętać, że kwestia tego, czy dana firma podlega NIS2 lub krajowemu wdrożeniu jest niezależna od tego, co klient pyta w kwestionariuszu — te dwie sprawy są dość często mylone.