Vaš klijent šalje upitnik o sigurnosti — što sada?
Sami se ne podliježete, ali trebate ispuniti zahtjeve. Zašto se to događa i koji je dobar odgovor.
Zašto ste dobili ovaj popis
Vaš klijent podleži NIS2 i ima obvezu skrbi. Jedan od deset mjera u toj obvezi skrbi eksplicitno se odnosi na lanac opskrbe: mora procijeniti sigurnost svojih dobavljača i pružatelja usluga, u mjeri u kojoj ona utječe na njegove vlastite sustave.
Ne može to preskočiti. Njegov vlastiti nadzorni organ može to pitati i njegov je odbor osobno odgovaran za to. Odatle potječe upitnik i odatle što insistira.
Što se najčešće nalazi u popisu
Pitanja se gotovo uvijek svode na ista deset područja, jer se oslanjaju na istu odredbu. Imate li politiku informacijske sigurnosti, kako rukovate incidentima, što radite za kontinuitet i sigurnosne kopije, kako procjenjujete svoje vlastite dobavljače, kako rukovate ranjivostima, mjerite li je li to učinkovito, kako stoji s ažuriranjima i sviješću, šifrirate li podatke, tko ima pristup čemu, i koristite li dvofaktorsku autentifikaciju.
Format se razlikuje — Excel datoteka, Word dokument, portal gdje se sami trebate prijaviti — ali sadržaj ne. Upravo zato je drugi put puno manje posla.
Što je dobar odgovor
Iskren i poduprt. Dijelom riješeno, evo dokumenta politike, ovo je planirano za treće tromjesečje: to je bolji odgovor nego kljukica uz sve. Vaš klijent ne procjenjuje je li savršeni, procjenjuje je li u riziku i znate li gdje stojite.
Što ne trebate raditi je izmisliti. Odgovor koji pri pregledu ne odgovara stvarnosti košta vas ugovor i odnos. Što ne postoji, prijavite kao još nije riješeno, s datumom.
Često postavljana pitanja
Trebam li ovo popuniti?
Zakonski ne, vi sami nemate obvezu. Komercionalno je drukčije: bez odgovora gubite ugovor ili produljenje.
Smije li moj klijent to sve pitati?
Da. Za razliku od upitnika o održivosti, pri NIS2 nema zakonskog ograničenja na ono što klijent može pitati. Međutim, mora biti u razmjeri s rizikom koji za njega predstavljate.
Od svakog klijenta dobi drugačiju listu.
Točno je, i to je pravi problem. Oblasti su iste, oblik se razlikuje. Izrada jednog dossiera i pružanje odgovora iz njega je zato jedina izvediva ruta.
Ovo je objašnjenje, a ne savjet o vašoj osobnoj situaciji. secria.eu ne procjenjuje vašu organizaciju i ne daje jamstva.