nu avem o politică formală de securitate pot totuși răspunde da la lista de întrebări

Nu, nu fără un document care să arate politica

Nu, completarea cu "da" nu se poate aici, nici măcar dacă practica este în mare parte în regulă. Întrebarea despre politica de securitate nu se referă la faptul că lucrați în siguranță, ci la faptul că aceasta este stabilită: un document care arată cine este responsabil pentru ce, care măsuri se aplică și cât de des se revizuiește. Fără un asemenea document, nu există nimic de arătat la "da" dacă clientul pune mai multe întrebări sau un auditor cere să i se prezinte. Supplia nu propune da dacă dosarul de lanț nu are un fișier sursă — și aceasta se aplică în întregime aici, chiar dacă întrebarea în sine este recunoscută de cineva care completează formulare cu experiență.

Ce de obicei poate funcționa: "da, informal" sau "nu, în curs de dezvoltare" cu o scurtă explicație, plus trimitere la ceea ce este de fapt consemnat — o politică de acces, o procedură de incident, un contract cu furnizorul cu cerințe de securitate. Mulți clienți apreciază mai mult această onestitate decât un "da" care nu rezistă la verificare. Dacă ceva este consemnat dar nu există un document central unic, este adesea mai puternic să faceți referință la componentele separate: politica de acces și gestionarea activelor corporative, procedurii pentru incidente de securitateși politica referitoare la vulnerabilități. Împreună, acestea formează adesea deja nucleul a ceea ce întrebarea intenționează de fapt, chiar fără ca aceasta să se numească "politică de securitate".

Unde rezultă din cele zece măsuri

Politica pentru analiza riscurilor și securitatea informațiilor este prima din zece măsuri din articolul 21 alineatul 2 al Directivei NIS2 (Directiva (UE) 2022/2555) — vezi și ce înțelege un client prin analiză a riscurilor. Oricine se încadrează în Legea de securitate cibernetică trebuie să poată dovedi acest lucru de îndată ce legea intră în vigoare. ISO/IEC 27001 cere de asemenea în Anexa A o politică documentată ca măsură de control separată, independent de faptul că întreprinderea în sine este certificată sau nu.