Вашият клиент изпращане опитвалник за кибербезопасност — какво сега?
Вие сами не попадате под него, но все пак получавате изискванията. Защо се случва това и какъв е добрия отговор.
Защо получавате този списък
Вашият клиент попада под NIS2 и има задължение за управление на риска. Една от десетте мерки в това задължение за управление на риска е изрично насочена към веригата на доставки: той трябва да оцени сигурността на своите доставчици и поставчици на услуги, доколкото това засяга неговите собствени системи.
Той не може да го прескочи. Неговият собствен надзорен орган може да го попита и неговото управление е лично отговорно за това. Оттук идват въпросникът и настояванията.
Какво обикновено се съдържа
Въпросите почти винаги се свеждат до едни и същи десет теми, защото разчитат на едно и също определение. Имате ли политика за сигурност на информацията, как се справяте с инцидентите, какво правите за приемственост и резервни копия, как оценявате своите собствени доставчици, как се справяте с уязвимостите, измервате ли дали работи, как стоят нещата с актуализациите и осведомяването, криптирате ли данните, кой има право на какво, и използвате ли двустепенна проверка.
Форматът варира — Excel файл, Word документ, портал, в който трябва да се впишете сами — но съдържанието не. Именно затова е много по-малко работа вторият път.
Какъв е добрия отговор
Честен и обоснован. Отчасти уредено, ето политиката, това е планирано за третото тримесечие: това е по-добър отговор от отметка при всичко. Вашият клиент не преценява дали сте перфектни, той преценява дали рискува и дали знаете къде стойте.
Което не трябва да правите, е да измисляте. Отговор, който не е верен при проверка, ви струва договора и отношенията. Това, което няма, докладвате като все още неуредено, с дата до него.
Често задавани въпроси
Трябва ли да попълня това?
Законово не, нямате собствено задължение. Търговски погледнато е различно: без отговор пропускате договора или подновяването.
Может ли моят клиент да попита всичко това?
Да. За разлика от въпросниците за устойчивост, при NIS2 няма законово ограничение на това, което клиент може да попита. Но това трябва да съответства на риска, който представляваш за него.
Получавам различен списък от всеки клиент.
Правилно е, и това е реалният проблем. Темите са същите, формата варира. Да създадеш досие веднъж и да черпиш отговори от него е затова единственият работещ начин.
Това е обяснение, а не съвет за вашата конкретна ситуация. secria.eu не оценява вашата организация и не предоставя гаранция.