Защо получавате този въпросник
Ако вашата компания доставя нещо на организация, която попада под Директива (EU) 2022/2555 — на съществена или важна организация, например енергийни компании, болници, големи транспортни компании или доставчици на цифрова инфраструктура — тогава този клиент трябва да преценява своите собствени доставчици. Директивата задължава този клиент да идентифицира рисковете в своята верига на доставки, не само в собствените си системи. Това е описано в това, което често се нарича обязанност за поддържане на сигурност, която се среща в член 21 на директивата. Въпросникът, който получавате, е практическо следствие от това: вашият клиент трябва да може да докаже, че знае кои са неговите доставчици и как те се справят със сигурността.
Важно е да се разбере: фактът, че получавате въпросник, не означава автоматично, че вие сами попадате под Директива (EU) 2022/2555. Повечето компании, които получават такъв список, се считат за засегнати чрез веригата на доставки — те не попадат сами под закона, но се сблъскват с него чрез клиент. Дали е така за вашата организация и какъв точно вид засегнатост е това, можете да проверите с кратка проверка, която картографира вашата ситуация.
Какво обикновено се съдържа
Въпросниците, които в момента циркулират, се различават значително в зависимост от準備者 — няма задължителен формат според закона. Въпреки това определени теми почти винаги се появяват. Въпроси за това кой в рамките на вашата организация отговаря за информационната сигурност, дали имате политика за справяне с инцидентите, как регулирате достъпа до системи, дали служителите получават обучение, и дали вие сами поставяте изисквания към вашите собствени доставчици. Някои списъци допълнително питат за сертификации, за предходни инциденти или как справяте актуализациите и планове за възстановяване.
Идеята отзад е винаги една и съща: клиентът се опитва да получи представа за рисковете, които могат да стигнат до него чрез вашата доставка. Това не е недоверие към вашата компания конкретно, но задължение, което самият клиент трябва да изпълни. Ако искате да разберете кои десет мерки служат като основа тук, можете да намерите обяснението в преглед на темите по ситуация.
Какво се изисква за полезен отговор
Добрият отговор на въпросник за киберсигурност не е непременно отговор, при който попълвате 'да' навсякъде. Наблюдателните органи и клиентите обичайно гледат последователност: съответстват ли вашите отговори на това, което наистина правите, и можете ли да го подкрепите? Неясно или твърде оптимистично попълване на дълго време поражда повече въпроси, отколкото честен отговор, който назовава точка за подобрение с график за действие.
Помага да имате три неща ясни за всеки въпрос: каква е текущата ситуация, кой в рамките на вашата организация може да го потвърди, и какъв документ да приложите — политически документ, екранна снимка на настройка, преглед на обучение. Компании, които не трябва да преглеждат отново эти три точки за всеки въпрос, но уже са ги записали в текущ преглед, обичайно могат да попълнят въпросник в рамките на час вместо дни. Това е точно за какво е предназначен досие със статус, доказателство и отговорник на мярка.
Какво не трябва да правите
Добре е да знаете, че попълването и изпращането на този въпросник остава ваша собствена отговорност — услуга може да ви помогне при подготовката и структурирането на отговори, но никога не трябва да се свързва с клиент или наблюдателен орган вместо вас. Също така одит, пенетрационен тест или сертификация е нещо различно от попълването на въпросник; то остава работа за специализирани страни, ако клиент конкретно поиска това.
Ако съмнявате, че въпросите, които получавате, са разумни спрямо вашия размер и роля, то е разговор, който най-добре водите директно с клиента, евентуално с юрист, ако изискванията се определят договорно. Secria описва какво казват директивата и националното законодателство, но не преценява отделните договори.
Вижте повече
Ако искате първо да научите откъде идва тази информация и как се поддържа, прочетете го на страницата за начина на работа на платформата. Ако още нямате представа за собствената си позиция в веригата на доставки, начнете със свободния преглед — той дава посочение и логична следваща стъпка в рамките на няколко въпроса, без да имате нужда от профил.