pýtajú si naše kompletné bezpečnostné politiky ako dokument

Zdieľanie úplného dokumentu politiky zvyčajne nie je potrebné

Nie, v mnohých prípadoch to nie je potrebné a ani to nie je to, čo chce zákazník vlastne vedieť. Otázka ako "pošlite vašu bezpečnostnú politiku" je takmer vždy preklad niečoho konkrétnejšieho: zákazník chce vedieť, či existuje politika pre analýzu rizík, či existuje postup pri incidentoch, či je prístup riadne upravený. To sú desať opatrení z článku 21 odsek 2 NIS2, a rovnakú kategorizáciu vidíte aj v kontrolných opatreniach prílohy A normy ISO/IEC 27001. Zoznam otázok, ktorý požaduje "úplnú politiku", to zvyčajne aj tak rozdeľuje na čiastkové otázky — skontrolujte si teda najskôr, či je to prípad, predtým ako nahráte úplný dokument.

Riziko odoslania úplného dokumentu politiky nie je právne, ale praktické: zvyčajne obsahuje viac, ako zákazník potrebuje — názvy nástrojov, interné postupy, kontaktné údaje zamestnancov. Kto radšej odpovedá na jednotlivé otázky namiesto zdieľania dokumentu, môže to s tlačidlom dôvernosti obmedziť len na to, čo bolo skutočne požadované. Ak sa otázka týka špecifickej čiastkovej problematiky, odpoveď sa často nachádza niekde inde: či je politika prístupu zdokumentovaná, alebo či existuje postup pre incidenty, alebo či sa pravidelne testuje. To je zvyčajne konkrétnejšie na zodpovedanie ako s úplným dokumentom.

Odkiaľ to vyplýva: článok 21 odsek 2 a Príloha A

Článok 21 odsek 2 smernice NIS2 náziva desať konkrétnych opatrení — analýza rizík, zvládanie incidentov, kontinuita podnikania, správa zraniteľností, politika prístupu a ďalšie — bez požiadavky, aby tretia strana videla samotný podkladový dokument. ISO/IEC 27001 Príloha A pracuje s rovnakou logikou: kontrolné opatrenia sú auditovateľné jednotlivo, nie ako jeden nedeliteľný politický dokument. Majte tiež na pamäti, že otázka, či vlastná organizácia podlieha smernici NIS2 alebo jej národnej implementácii, je nezávislá od toho, čo si zákazník vyžiada v zozname otázok — tieto dve veci sa často zamieňajú.