Juuri suoritit asiakkaasi ensimmäisen turvallisuuskyselyn. Tunteja kului palomuurista vastaavan henkilön etsimiseen, käyttöön ottamasi salasanakäytäntöjen selvittämiseen ja siihen, onko varmuuskopiointimenettelystä olemassa paperinen dokumentti vai ei. Sitten, kolme kuukautta myöhemmin, saapuu toinen asiakas vastaavan kyselyn kanssa, ja tuntuu siltä, että aloitat alusta. Sinun ei tarvitse: ero ensimmäisen ja toisen kyselyn välillä ei ole siinä, kuinka nopeasti kirjoitat, vaan siinä, dokumentoitko ensimmäisellä kerralla jotakin, jonka voit lukea uudelleen.
Eri ostajien turvallisuuskyselyt menevät vahvasti päällekkäin. Sähköverkon operaattorille ja terveydenhuoltolle toimittava asennusyritys saa kysymyksiä, jotka ovat kahdeksankymmentä prosenttia samoja: onko organisaatiossanne tietoturvavastuuhenkilö, miten hallitsette pääsyä järjestelmiin, mitä teette vaaratilanteen sattuessa, kuinka usein testatte varmuuskopioita. Muotoilu vaihtelee ostajan mukaan, mutta taustalla oleva kysymys ei. Joka vastaa ensimmäisellä kerralla vain yhdessä sähköpostissa tälle yhdelle asiakkaalle, joutuu etsimään vastauksen toisella kerralla uudelleen. Jokainen, joka dokumentoi vastauksen osana dossier-asiakirjaa, kopioituu ja mukauttaa muotoilua.
Mitä muuttuu todella toisella kerralla
Jokaisen kyselyn ydin — mitä toimenpiteitä on otettu, kuka on vastuussa, mitä tukidokumenttia se edellyttää — muuttuu vähän asiakkaan mukaan. Mitä vaihtelee, on kysymyksen muoto: yksi ostaja kysyy pääsynhallinnasta, toinen identity and access managementista, kolmas haluaa kyllä/ei-vastauksen kun ensimmäinen pyysi kolmen lauseen selitystä. Tämä on juuri se osa, joka vaatii vähän aikaa, jos taustalla oleva informaatio on jo kunnossa. Kirjoitat muotoilun uudelleen, et sisältöä.
Olemassa on yksi tärkeä poikkeus: jos ensimmäisen ja toisen kyselyn välillä organisaatiossasi on tapahtunut muutos — uusi toimittaja, eri varmuuskopiosysteemi, muuttunut vastuuhenkilö — tämä on aika päivittää dossier, ei itse kyselyä. Dossier, joka ei pysy organisaation todellisuuden mukaisesti, aiheuttaa jälleen viiveen kolmannella tai neljännellä asiakkaalla, koska sinun on silti tarkistettava, mikä vielä kestää ja mikä ei.
Ero kyselyn vastaamiseen ja dossier-asiakirjan ylläpitoon
Kysely on yhden ostajan hetkellä kuvakaappaus. Dossier on elinä oleva yleiskatsaus organisaatiosi jo toteuttamiin toimenpiteisiin, riippumatta siitä, kuka kysyy: mikä on kunkin toimenpiteen status, mitä tukidokumenttia se edellyttää, ja kuka organisaatiossasi on vastuussa. Heti kun tämä yleiskatsaus on olemassa, jokainen saapuva kysely on lähinnä vienti eri järjestyksessä. lue läpi kymmenen huolenpidon vaatiman toimenpiteen kullakin tilanteella antaa kuvan siitä, mitkä osat niistä yleensä toistuvat, vaikka organisaatiosi ei itse kuulu suoraan NIS2-velvoitteisiin vaan joutuu niihin ostajan huolenpitovelvoitteen kautta.
Tämä ero on myös se, mistä aikavoitto syntyy organisaatioissa, jotka eivät itse ole velvoitettuja — suuressa pienyritysten toimittajien ryhmässä, joita kosketataan ostajansa huolenpitovelvoitteen kautta. Heillä ei ole lakia implementoitava, mutta heidän on toistuvasti osoitettava, että perusteet ovat kunnossa. Jokainen, joka vastaa ensimmäisellä kerralla erillisillä sähköposteilla, tekee toisen ostajan kanssa yhtä paljon työtä. Jokainen, joka dokumentoi sen dossieeksi, näkee työmäärän pienenevän jokaisen lisä-ostajan kohdalla eikä pysyä samana.
Missä raja on
Dossier ja siitä laadittavat vastaukset eivät korvaa ostajan suorittamaa arviointia, eikä ne takaa, että seuraava kyselylomake käsitellään ilman lisäkysymyksiä — jokainen ostaja arvioi itse, mikä hänelle riittää. Dossier ei myöskään korvaa auditointia, penetraatiotestaamista tai sertifiointia; nämä jäävät erikoistuneiden osapuolten tehtäviksi. Mitä se kuitenkin tekee, on pitää vastaukset valmiina toistuvaan kysymykseen "miten tämä on järjestetty teillä", jotta ette joudu selvittämään sitä uudelleen joka kerta.
Se, koskeeko organisaatiotanne ostaja vai kuulutteko itse Cybersäädökseen, selviää muutamalla kysymyksellä NIS2-tarkistuksesta, joka antaa indikaation muutamassa minuutissa. Tämä tarkistus on ilmainen ja vaatii vain muutaman minuutin, samoin kuin ohjeistus aiheittain tietopankissa. Itse dossier, joka sisältää kunkin toimenpiteen tilan, todisteen ja valmiit vastaukset seuraavaa kyselylomaketta varten, kuuluu tilaukseen — voit nähdä tarkasti, mitä se sisältää, täältä.
Joka haluaa tietää, mistä alustan tiedot tulevat ja miten niitä ylläpidetään, lukee sen sivulla, joka selittää tietojen lähteen. Omassa tilanteessa — mitä kysymyksiä tietty ostaja saa esittää ja kuinka pitkälle ne voivat mennä — on järkevää konsultoida tarvittaessa juristia tai toimivaltaista sääntelyviranomaisesta; dossier valmistaa, mutta ei arvioi puolestanne.
Aloita kysymyksestä, missä organisaationne oikeastaan on: NIS2-tarkistus antaa siitä indikaation muutamassa minuutissa, eikä vaadi tilejä.