Právě jste skončili s prvním bezpečnostním dotazníkem zákazníka. Hodiny strávené hledáním toho, kdo je odpovědný za bránu firewall, jakou zásadu pro hesla vlastně máte, a zda máte či nemáte postup zálohování na papíře. Pak za tři měsíce přijde druhý zákazník s podobným seznamem, a zdá se vám, že začínáte znovu od nuly. To není nutné: rozdíl mezi prvním a druhým dotazníkem není v tom, jak rychle píšete, ale v tom, zda jste si po prvním výskytu něco poznamenali, co si můžete přečíst.
Bezpečnostní dotazníky od různých odběratelů se velmi překrývají. Instalační podnik, který dodává energetickému operátorovi a zdravotnickému zařízení, dostane otázky, které jsou z osmdesáti procent stejné: je zde osoba odpovědná za bezpečnost informací, jak se chováte k přístupu k systémům, co děláte při incidentu, jak často testujete zálohy. Formulace se u každého zákazníka liší, ale podstata otázky nikoli. Kdo si odpověď poprvé poznamenal jen v e-mailu tomu jednomu zákazníkovi, musí si ji podruhé hledat znovu. Kdo si odpověď zaznamenává jako součást dossieru, zkopíruje ji a upraví formulaci.
Co se druhý krát opravdu mění
Jádro každého dotazníku — jaká opatření existují, kdo je vlastníkem, jaký doklad k tomu patří — se mezi jedním a druhým zákazníkem příliš nemění. Co se liší, je forma otázky: jeden odběratel se ptá na "řízení přístupu", druhý na "správu identit a přístupu", a třetí chce odpověď ano/ne, kde první chtěl vysvětlení tří vět. To je právě ta část, která nemusí stát moc času, pokud jsou již podkladní informace na místě. Přepracujete formulaci, ne obsah.
Je tu jedina významná výjimka: pokud se mezi prvním a druhým dotazníkem v organizaci něco změnilo — nový dodavatel, jiný systém zálohování, změněný odpovědný — pak je to chvíle k aktualizaci dossieru, nikoli samotného dotazníku. Dossier, které nekrokuje s realitou, vám u třetího nebo čtvrtého zákazníka opět způsobí zpoždění, protože si pak budete muset znovu ověřit, co je stále správné a co ne.
Rozdíl mezi zodpovězením dotazníku a vedením dossieru
Dotazník je snímek v čase pro jednoho odběratele. Dossier je živý přehled opatření, která vaše organizace již sama zavedla, bez ohledu na to, kdo se na ně ptá: jaký je stav každého opatření, jaký doklad k němu patří, a kdo v organizaci je vlastníkem. Jakmile tento přehled existuje, je každý dotazník, který přijde, v podstatě exportem v jiném pořadí. seznámit se s deseti opatřeními v oblasti péče o bezpečnost podle situace dává obraz o tom, které prvky se v nich obvykle vyskytují, i když vaše organizace není přímo podrobena povinnostem NIS2, ale je jí dotčena prostřednictvím odběratele.
Tento rozdíl je také odkud pochází úspora času u organizací, které nejsou samy povinny — velké skupiny dodavatelů MSP, kterých se dotýká péče o bezpečnost jejich odběratele. Nemusí implementovat právní předpisy, ale opakovaně prokázat, že základní věci jsou v pořádku. Kdo to poprvé zodpoví jako samostatný e-mail, udělá u druhého odběratele stejnou práci. Kdo to zaznamenává jako dossier, vidí, jak se práce na každého dalšího odběratele snižuje místo aby zůstávala stejná.
Kde je hranice
Složka a z ní připravené odpovědi nepřeberou posouzení příjemce a nejsou zárukou, že příští dotazník bude vyřešen bez dodatečných otázek — každý příjemce posuzuje sám, co je pro něj dostatečné. Složka také nenahrazuje audit, penetrační test nebo certifikaci; to zůstává práce specializovaných subjektů. Tím, co to však dělá, je příprava opakované otázky "jak je to u vás vyřešeno" tak, abyste ji nemuseli pokaždé znovu zjišťovat.
Zda je vaše organizace ovlivněna příjemcem nebo sama podléhá zákonu o kybernetické bezpečnosti, lze zjistit pomocí několika otázek prostřednictvím kontroly NIS2, která poskytne během několika minut indikaciTato kontrola je bezplatná a lze ji provést bez účtu, stejně jako vysvětlení jednotlivých témat v databázi znalostí. Samotná složka se stavem jednotlivých opatření, důkazním materiálem a připravenými odpověďmi na příští dotazník je součástí předplatného — co přesně tam je, si můžete prohlédnout zde.
Kdo chce vědět, odkud informace na platformě pocházejí a jak se udržují, přečte si to na stránce vysvětlující zdroj informací. Pro svou vlastní situaci — jaké otázky si konkrétní příjemce může klást a jak daleko může zajít — zůstává vhodné v případě pochybností konzultovat právníka nebo příslušný orgán dohledu; složka připravuje, ne posuzuje za vás.
Začněte otázkou, kde vaše organizace vlastně stojí: kontrola NIS2 pro to během několika minut poskytne indikaci, aniž byste k ní potřebovali účet.