Upravo ste završili prvi popis sigurnosnih pitanja kupca. Sate ste tražili tko je odgovoran za vatrozid, koju politiku zaporki zapravo koristite, i postoji li procedura sigurnosne kopije na papiru ili ne. Zatim tri mjeseca kasnije dolazi drugi kupac sa sličnim popisom, i čini se kao da ste ponovno započeli ispočetka. To nije potrebno: razlika između prvog i drugog popisa nije u tome koliko brzo pišete, već u tome jesmo li prvi put nešto zapisali što možete ponovno pročitati.
Popisi sigurnosnih pitanja različitih nabavljača jako se preklapaju. Instalacijska tvrtka koja isporučuje operatoru energetske mreže i zdravstvenoj instituciji dobija pitanja koja su u osamdeset posto identična: postoji li osoba odgovorna za sigurnost informacija, kako upravljate pristupom sustavima, što poduzimate kod incidenta, kako često testirate sigurnosne kopije. Formulacija se razlikuje po kupcu, ali osnovno pitanje ne. Tko prvi put odgovor stavi samo u e-poštu tom jednom kupcu, mora ga drugi put ponovno potražiti. Tko odgovor zapisuje kao dio spisa, kopira ga i prilagođava formulaciju.
Što se zapravo mijenja drugi put
Jezgra svakog popisa — koje su mjere na mjestu, tko je vlasnik, koji dokaz je vezan — malo se mijenja između jednog kupca i drugog. Ono što se razlikuje je oblik pitanja: jedan nabavljač pita o 'upravljanju pristupom', drugi o 'upravljanju identitetom i pristupom', a treći želi da/ne odgovor gdje je prvi tražio pojašnjenje od tri rečenice. To je upravo dio koji ne treba koštati puno vremena ako su osnove informacije već u redu. Preformulacijom sadržaj, ne sadržaj.
Postoji jedna važna iznimka: ako se između prvog i drugog popisa nešto u vašoj organizaciji promijenilo — novi dobavljač, drugi sustav sigurnosne kopije, promijenjena osoba odgovorna — tada je to moment za ažuriranje spisa, a ne samog popisa. Spis koji ne ide u korak sa stvarnosti donnosi odgodu pri trećem ili četvrtom kupcu, jer onda trebate ponovno provjeriti što je još valjano i što nije.
Razlika između odgovaranja na popis i održavanja spisa
Popis je trenutni snimak za jednog nabavljača. Spis je živipostal pregled mjera koje je vaša organizacija već provela, neovisno o tome tko pita: koji status ima svaka mjera, koji dokaz je vezan, i tko u organizaciji je vlasnik. Čim taj pregled postoji, svaki popis koji stigne je zapravo izvoz u drugom redoslijedu. pročitajte deset mjera njege po situaciji daje sliku koji se dijelovi obično pojavljuju, čak i ako vaša organizacija sama nije izravno podložna obvezama NIS2 nego je pogođena kroz nabavljača.
Ta razlika je također odakle dolazi ušteda vremena u organizacijama koje nisu same obvezne — velika skupina MKB-dobavljača koje su pogođene kroz obvezu njege svoga nabavljača. Oni trebaju implementirati zakon, ali trebaju više puta dokazati da su osnovne stvari u redu. Tko prvi put odgovori kao slobodna e-pošta, drugo putuje jednako puno posla. Tko to zapisuje kao spis, vidi rad po dodatnom nabavljaču smanjivati umjesto ostati isti.
Gdje je granica
Dosje i odgovori pripremljeni iz njega ne zamjenjuju ocjenu primatelja, niti su jamstvo da će sljedeći upitnik biti obrađen bez dodatnih pitanja — svaki primatelj sam procjenjuje što je za njega dovoljno. Dosje također ne zamjenjuje reviziju, test penetracije ili certifikaciju; to ostaje posao specijaliziranih strana. Ono što doista čini jest da vam priprema često ponavljano pitanje 'kako je to organizirano kod vas' tako da ga ne trebate svaki put iznova razrješavati.
Je li vaša organizacija pogođena kroz primatelja ili sama podlije Zakonu o kibernetskoj sigurnosti, moguće je vidjeti s nekoliko pitanja preko NIS2 provjere koja u nekoliko minuta daje naznaku. Ta je provjera besplatna i dostupna bez računa, kao i objašnjenja po predmetu u bazi znanja. Samo dosje, sa statusom po mjeri, dokazima i pripremljenim odgovorima za sljedeći upitnik, dio je pretplate — što se točno nalazi tu možete vidjeti ovdje.
Tko želi znati odakle informacije na platformi dolaze i kako se čuvaju, može to pročitati na stranici koja objašnjava odakle dolaze informacije. Za vlastitu situaciju — koja pitanja specifičan primatelj može postaviti i koliko daleko može ići — preporučuje se da konsultirate pravnika ili nadležnog regulatora u slučaju nesuglasica; dosje priprema, ne ocjenjuje umjesto vas.
Počnite s pitanjem gdje se vaša organizacija zapravo nalazi: NIS2 provjera vam u nekoliko minuta daje naznaku za to, bez potrebe za računom.