Te olete just lõpetanud kliendi esimese turvalisuse küsimustiku. Tunde otsida, kes on tulemüüri eest vastutav, millist paroolivõtete poliitikat tegelikult rakendate, ja kas varundamise protseduur on paberil olemas. Siis kolme kuu pärast tuleb teine klient sarnase loeteluga, ja tunne, nagu alustaksite jälle nullist. Nii ei pea olema: erinevus esimese ja teise küsimustiku vahel ei ole selles, kui kiiresti te kirjutate, vaid selles, kas te esimesel korral midagi fikseerisite, mida saaksite hiljem uuesti lugeda.
Erinevate tellija turvalisuse küsimustikud kattuvad suuresti. Paigaldimisteenuse ettevõte, kes varustab energiavõrgu operaatorit ja terviseasutust, saab küsimusi, mis kaheksakümmend protsenti ulatuses on identsed: kas on infoturbe eest vastutav isik, kuidas te käitute süsteemidele juurdepääsuga, mida teete intsidendi korral, kui sageli teete varude teste. Sõnastus erineb klienditi, kuid aluseks olev küsimus mitte. Kes vastuse esimesed kord ainult sellele ühele kliendile e-kirjaga saadab, peab selle teise korra järgi jälle otsima. Kes vastuse dossiee osana fikseerib, kopeerib selle ja kohandab sõnastuse.
Mis tegelikult teise korra muutub
Iga küsimustiku nimi — millised meetmed on olemas, kes on vastutav, milline tõend kuulub sinna — muutub harva ühest kliendist teise. Mis erineb, on küsimuse vorm: üks tellija küsib 'juurdepääsukontroolilt', teine 'identiteedi ja juurdepääsu haldamiselt', ja kolmas tahab jah/ei-vastust, kus esimene soovis kolmerea selgitust. See on täpselt see osa, mis pole palju aega vaja kulutada, kui aluseks olev teave on juba korras. Te kirjutate sõnastuse ümber, mitte sisu.
Üks oluline erand on olemas: kui esimese ja teise küsimustiku vahel on teie organisatsioonis midagi muutunud — uus tarnija, teine varundussüsteem, muudetud vastutav — siis on see hetk, mil dossiee tuleb ajakohaseks teha, mitte küsimustikku ennast. Dossiee, mis ei järgi tegelikkust, toob kolmanda või neljanda kliendiga jälle viivitust, sest siis peate niikuinii kontrollima, mis on endiselt kehtiv ja mis mitte.
Erinevus küsimustikule vastamise ja dossiee pidamise vahel
Küsimustik on ühe tellija hetkepilt. Dossiee on teie organisatsiooni juba rakendatud meetmete elajlev ülevaade, sõltumata sellest, kes selle järgi küsib: milline staatus on igal meetmel, milline tõend kuulub sinna, ja kes organisatsiooni sees on vastutav. Niipea kui see ülevaade on olemas, on iga tulnud küsimustik sisuliselt eksport teises järjekorras. läbi käia kümme zorgplicht-meetmet olukorra kaupa näitab, millised osad seal tavaliselt esinevad, ka siis, kui teie organisatsioon ise ei kuulu NIS2-kohustuste otseselt alla, vaid on jõudnud sinna tellija kaudu.
See erinevus on ka see, kust ajakokkuhoid tuleb organisatsioonidel, kes ise ei ole kohustatud — suur MKB-tarnijate rühm, kes on jõudnud tellija zorgplicht'i kaudu. Nemad ei pea seadust rakendama, kuid peavad korduvalt näitama, et põhiasjad on korras. Kes selle esimesel korral loote e-mailina vastab, teeb teise tellijaga sama tööd. Kes selle dossiees fikseerib, näeb tööd igal täiendaval tellijal vähenemas, mitte jätkuva.
Kus piir on
Fail ja sellest valmistatud vastused ei asenda ostja hindamist ja ei garanteeri, et järgmine küsimustik käsitletakse täiendavate küsimusteta — iga ostja hindab ise, mis tema jaoks piisav on. Samuti ei asenda fail auditit, penetratsioonitesti või sertifitseerimist; see jääb spetsialisti tööks. Mis see teeb, on hoida ettevalmistatud vastuseid küsimusele "kuidas teil see korraldatud on", nii et teil ei pea seda iga kord uuesti välja otsima.
Kas teie organisatsiooni tabab ostja kaudu või kuulub te ise Küberturvalisuse seaduse alla, näete paar küsimusega läbi NIS2 kontroll, mis annab paar minutiga hinnangu. See kontroll on tasuta ja ilma kontota läbimöödav, samuti nagu seletused teadusandmebaasis. Fail ise, mille milles on iga meetme staatus, tõendus ja eelnevalmistatud vastused järgmisele küsimustikule, kuulub tellimussse — mida seal täpselt sees on, saab vaadata siit.
Kes tahab teada, kust platvormi teave pärineb ja kuidas seda säilitatakse, loeb seda lehel, mis seletab, kust teave pärineb. Enda situatsiooni kohta — milliseid küsimusi võib konkreetne ostja esitada ja kui kaugele võib minna — on kahtlusel kasulik konsulteerida juristiga või pädevate järelevalveasutustega; fail valmistab ette, ei hinda teie asemel.
Alustage küsimusega, kus teie organisatsioon tegelikult on: NIS2 kontroll annab sellele paar minutiga hinnangu, ilma et teil seda kontot oleks vaja.