nie mamy formalnych zasad bezpieczeństwa, czy mogę mimo to odpowiedzieć "tak" na listę pytań

Nie, nie bez dokumentu, który pokazuje tę politykę

Nie, wpisanie "tak" tutaj nie jest możliwe, nawet jeśli praktyka jest w dużej mierze w porządku. Pytanie o politykę bezpieczeństwa nie pyta, czy pracujecie bezpiecznie, ale czy jest to uregulowane: dokument określający, kto za co odpowiada, jakie środki obowiązują i jak często są przeglądy. Bez takiego dokumentu nie ma nic do wykazania, jeśli klient pyta dalej lub audytor go zażąda. Supplia nie sugeruje "tak", jeśli dossier łańcuchowe nie ma pliku źródłowego — i to w pełni obowiązuje tutaj, nawet jeśli pytanie samo w sobie jest rozpoznawalne dla doświadczonego osoby wypełniającej.

Co zazwyczaj działa: "tak, nieformalnie" lub "nie, w opracowaniu" z krótkim wyjaśnieniem, plus odniesienie do tego, co faktycznie jest uregulowane — polityka dostępu, procedura obsługi incydentów, umowa dostawcy z wymogami bezpieczeństwa. Wielu klientów bardziej ceni tę szczerość niż "tak", które nie wytrzyma weryfikacji. Jeśli coś jest uregulowane, ale nie ma jednego centralnego dokumentu, często bardziej skuteczne jest odniesienie się do poszczególnych elementów: polityką dostępu i zarządzaniem zasobami firmy, procedury obsługi incydentów bezpieczeństwai polityki dotyczącej luk w zabezpieczeniach. Razem często stanowią już rdzeń tego, o co faktycznie pyta pytanie, nawet bez tego, że nosi ono nazwę "polityka bezpieczeństwa".

Gdzie to wynika z dziesięciu środków

Polityka analizy ryzyka i bezpieczeństwa informacji jest pierwszym z dziesięciu środków w artykule 21 ust. 2 dyrektywy NIS2 (Dyrektywa (UE) 2022/2555) — zobacz też co klient rozumie przez analizę ryzyka. Kto podlega ustawie o cyberbezpieczeństwie, musi móc to wykazać, gdy ta ustawa wejdzie w życie. ISO/IEC 27001 wymaga również w Załączniku A ustalonej polityki jako odrębnego środka kontrolnego, niezależnie od tego, czy samo przedsiębiorstwo jest certyfikowane.