Правораво завършихте първия списък с въпроси за киберсигурност на един клиент. Часове търсене на отговорния за защитната стена, на политиката за пароли, която действително прилагате, и на това дали има ли процедура за резервно копиране на хартия. След три месеца идва втори клиент със сходен списък, и се чувства, че отново започвате от нулата. Това не е необходимо: разликата между първия и втория списък не е в скоростта, с която пишете, а в това дали сте записали нещо при първия опит, което можете да преговорите.
Списъците с въпроси за киберсигурност от различни клиенти се припокриват значително. Монтажно предприятие, което доставя на оператор на енергийна мрежа и един лечебен център, получава въпроси, които са осемдесет процента идентични: има ли отговорен за информационната сигурност, как обработвате достъпа до системи, какво правите при инцидент, как често тествате резервните копия. Формулировката се различава за всеки клиент, но основния въпрос е един и същ. Ако отговора при първия път запишете само в имейл до този един клиент, трябва да го потърсите отново втория път. Ако отговора запишете като част от досие, просто го копирате и адаптирате формулировката.
Какво действително се променя вторият път
Основата на всеки списък с въпроси — какви мерки има, кой е собственик, какъв документ отговаря на това — се променя малко между един клиент и друг. Това, което се различава, е формата на въпроса: един клиент пита за управление на достъпа, друг за управление на идентичност и достъп, а трети иска да/не отговор там, където първият искаше обяснение от три изречения. Това е точно частта, която не трябва да отнема много време, ако основната информация е вече готина. Преформулирате начина на изразяване, не съдържанието.
Има един важен случай: ако между първия и втория списък с въпроси се е променило нещо във вашата организация — нов доставчик, друга система за резервно копиране, променена отговорност — това е моментът да актуализирате досието, не самия списък. Досие, което не следи действителната ситуация, ще причини отново забавяне при третия или четвъртия клиент, защото трябва да проверите какво все още е точно и какво не е.
Разликата между отговор на въпросник и поддържане на досие
Въпросникът е моментна снимка за един клиент. Досието е живо съдържание на мерките, които вашата организация вече е предприела, независимо кой ги търси: какъв е статусът на всяка мярка, какъв документ я съпровожда и кой в организацията е отговорен. Когато това съдържание съществува, всеки въпросник, който пристигне, е по существото експорт в различен ред. прочетете десетте задължения за управление на риска във всяка ситуация дава представа кои части от тях обикновено се появяват, дори ако вашата организация сама не попада под задълженията на NIS2, но е засегната чрез клиент.
Това разграничение е и откъде идва спестяването на време в организации, които сами не са обвързани — голямата група малки и средни доставчици, които са засегнати чрез задълженията за управление на риска на техния клиент. Те не трябва да прилагат закон, но трябва многократно да доказват, че основните неща са в ред. Кой отговаря на първия въпросник като отделен имейл, прави същото количество работа за втория клиент. Кой го регистрира като досие, вижда как работата за всеки допълнителен клиент намалява вместо да остава същата.
Където е границата
Досието и подготвените от него отговори не замествам оценката на купувача и не гарантират, че следващия въпросник ще бъде обработен без допълнителни въпроси — всеки купувач сам преценява какво е достатъчно за него. Досието също така не замества одит, тест на проникване или сертификация; това остава работа на специализирани страни. Какво го прави полезно, е че поддържа подготвена отговора на повтарящия се въпрос 'как е уредено това при вас', така че не трябва да го търсите отново всеки път.
Дали вашата организация е засегната чрез купувач или сама попада под Закона за кибербезопасност, може да се вижда с няколко въпроса чрез проверката за NIS2, която дава индикация за няколко минути. Тази проверка е безплатна и може да се направи без сметка, както и обяснението по всяка тема в базата от знания. Самото досие, със статуса на всяка мярка, доказателството и подготвените отговори за следващия въпросник, е част от абонамента — можете да видите точно какво е включено тук.
Който иска да знае откъде идва информацията на платформата и как се поддържа, може да прочете това на страницата, която обяснява откъде идва информацията. За вашата конкретна ситуация — кои въпроси конкретен купувач може да задава и докъде може да отиде — остава препоръчително при съмнение да се консултирате с юрист или компетентния надзорен орган; досието подготвява, но не оценява вместо вас.
Започнете с въпроса где всъщност стои вашата организация: проверката за NIS2 дава индикация за това в няколко минути, без да имате нужда от сметка.