Teie klient saadab küberturvalisuse küsimustiku — mis nüüd?
Te ei kuulu selle alla, kuid nõuded kehtivad teile siiski. Miks nii juhtub ja mis on hea vastus.
Miks te selle loendi saate
Teie klient kuulub NIS2 direktiivi alla ja tal on ohutusmeetmete rakendamise kohustus. Üks kümnest meetmest selles kohustuses käsitleb otseselt tarneahelat: ta peab hindama oma tarnijate ja teenusepakkujate turvalisust, niivõrd kui see puudutab tema enda süsteeme.
Ta ei saa sellest kõrvale hiilida. Tema enda järelevalveorgan võib selle kohta uurida ja tema juhatus vastutab selle eest isiklikult. Seega küsimustik ja seega ka tema surve.
Mis tavaliselt küsimustikus on
Küsimused puudutavad peaaegu alati samu kümmekonda aihealad, sest need rajanevad samale määrusele. Kas teil on infoturvalisuse poliitika, kuidas te juhtute intsidentidega, mida te teete järjepidevuse ja varukoopiate osas, kuidas te hindate oma tarnijaid, kuidas te käitlete haavatavusi, kas te mõõdate tulemusi, kuidas on lood uuenduste ja teadlikkusega, kas te krüpteerite andmeid, kellel on juurdepääs millele, ja kas te kasutate kaheastmelist autentimist.
Vorming varieerub — Excel-fail, Word-dokument, portaal kuhu peate ise logima — kuid sisu mitte. Täpselt seetõttu on teine kord märksa vähem tööd.
Mis on hea vastus
Aus ja põhjendatud. Osaliselt korraldatud, siin on poliitikameedium, see on kavandatud kolmandaks kvartaliks: see on parem vastus kui linnuke kõige juures. Teie klient ei hinda, kas olete täiuslik, vaid hindab, kas ta kannab riski ja kas te teate, kus te seisate.
Ärge erfinde midagi. Vastus, mis kontrolli käigus ei klapi, maksab teile lepingu ja suhtluse. Mida ei ole, teatate sellest kui veel korraldamata, koos kuupäevaga.
Korduma kippuvad küsimused
Kas peaksin seda täitma?
Seaduslikult ei, teil puudub omaenese kohustus. Kaubanduslikult on teisiti: vastuseta jääte lepingust ilma või pikendamisest.
Kas minu klient võib kõike seda küsida?
Jah. Erinevalt jätkusuutlikkuse küsimustikest puudub NIS2-l seaduselik piirang sellele, mida klient võib küsida. Ent see peab olema proportsionaalne riskiga, mida te talle tekitate.
Iga klient saadab mulle erineva loendi.
See on õige, ja see on tegelik probleem. Teemad on samad, vorm erineb. Dossee üks kord koostada ja sealt vastuseid tuletada on seetõttu ainuke praktikaalne viis.
See on selgitus, mitte nõu teie enda kohta. secria.eu ei hinda teie organisatsiooni ega anna kindlustust.