Éppen befejezted az ügyfél első biztonsági kérdőívét. Órák keresése annak után, hogy ki felelős a tűzfalért, milyen jelszóházirendet követsz valójában, és hogy van-e vagy nincs papíron biztonsági mentési eljárás. Majd három hónappal később egy második ügyfél érkezik egy hasonló listával, és úgy érzi, mintha újra nulláról kezdenél. Ez nem szükséges: az első és a második kérdőív közötti különbség nem abban rejlik, hogy milyen gyorsan gépelsz, hanem abban, hogy az első alkalommal rögzítettél-e valamit, amit újra el tudsz olvasni.
A különböző megrendelőktől érkező biztonsági kérdőívek nagymértékben átfedésben vannak. Egy szervezet, amely egy energiahálózat-kezelőnek és egy egészségügyi intézménynek szállít, olyan kérdéseket kap, amelyek nyolcvan százalékban azonosak: van-e informatikai biztonságért felelős személy, hogyan kezeled a rendszerekhez való hozzáférést, mit teszel egy esemény bekövetkezésekor, milyen gyakran tesztelsz biztonsági mentéseket. A megfogalmazás ügyfélként változik, de az alapvető kérdés nem. Aki az első alkalommal az választ csak egy e-mailben rögzíti az adott ügyfélnek, a második alkalommal újra keresnie kell. Aki az választ dosszie részként rögzíti, átmásolja és módosítja a megfogalmazást.
Mit változik valójában másodszor
Minden kérdőív magja — milyen intézkedések vannak, ki a tulajdonos, milyen bizonyíték tartozik hozzá — keveset változik az ügyfél és az ügyfél között. Ami viszont eltér, az a kérdésforma: az egyik megrendelő az 'hozzáférés-ellenőrzésről' kérdez, a másik az 'identitás- és hozzáférés-kezelésről', és a harmadik igen/nem választ szeretne, ahol az első egy hárommondat hosszú magyarázatot kért. Ez pontosan az a rész, amely nem igényel sok időt, ha az alapvető információ már rendben van. A megfogalmazást átírod, nem a tartalmat.
Van egy fontos kivétel: ha az első és a második kérdőív között valami megváltozott a szervezetedben — új szállító, más biztonsági mentési rendszer, módosított felelős — akkor ez az az alkalom, amikor a dosszie-t frissítened kell, nem magát a kérdőívet. Egy dosszie, amely nem követi a valóságot, a harmadik vagy negyedik ügyfélnél újra késlekedéshez vezet, mert akkor még mindig ellenőriznie kell, hogy mi még igaz és mi nem.
A kérdőív megválaszolása és egy dokumentációs mappa fenntartása közötti különbség
A kérdőív egy pillanatfelvétel egyetlen megrendelő számára. A dokumentációs mappa a szervezet által már megtett intézkedések élő áttekintése, függetlenül attól, hogy ki kérdez rá: milyen állapotú az egyes intézkedés, milyen bizonyíték tartozik hozzá, és ki a szervezeten belül a felelős. Amint ez az áttekintés létezik, minden beérkező kérdőív lényegében egy export más sorrendben. az adott helyzetre vonatkozó tíz gondossági követelmény szerinti intézkedés végigolvasása képet ad arról, hogy mely összetevők jelennek meg leggyakrabban, még akkor is, ha szervezete közvetlenül nem tartozik a NIS2-kötelezettségek alá, hanem egy megrendelőn keresztül érinti.
Ez a megkülönböztetés az is, ahonnan származik az időmegtakarítás azoknál a szervezeteknél, amelyek nem tartoznak az alá — a nagy csoport: az olyan kkv-szállítók, akiket megrendelőjük gondossági kötelezettsége keresztül érint. Nem kell törvényt végrehajtaniuk, de ismételten igazolniuk kell, hogy az alapvető dolgok rendben vannak. Aki ezt az első alkalommal különálló e-mailként válaszolja meg, a második megrendelőnél ugyanannyi munkát végez. Aki dokumentációs mappaként rögzíti, látja, hogy az extra megrendelőnként végzett munka csökken ahelyett, hogy ugyanaz maradna.
Hol van a határ
Az elkészített dossier és a belőle előkészített válaszok nem helyettesítik az értékelő elbírálását, és nem garantálják, hogy a következő kérdőív további kérdések nélkül lesz feldolgozva — minden értékelő maga dönti el, hogy számára mit tekint megfelelőnek. A dossier nem helyettesít auditot, penetrációs tesztet vagy tanúsítást sem; azok továbbra is specializált felek feladata maradnak. Ami viszont megtesz, az hogy az ismételt kérdés — 'hogyan van ezt rendezve az Önöknél' — előkészítve van, így azt nem kell minden alkalommal újból felkutatnia.
Hogy szervezete egy értékelő által érinti-e vagy közvetlenül a Cyberbeveiligingswet hatálya alá esik, néhány kérdéssel megtudható a az NIS2-ellenőrzésből, amely néhány perc alatt eligazítást nyújt. Az ellenőrzés ingyenes és regisztrációs account nélkül végezhető el, csakúgy, mint a tudásbázisban szereplő tárgyankénti magyarázat. Maga a dosszié, amely tartalmazza az egyes intézkedések állapotát, a bizonyítékot és az előkészített válaszokat a következő kérdőívhez, az előfizetés részét képezi — pontosan mi tartozik ehhez, itt tekinthető meg.
Aki szeretné tudni, hogy a platform információi honnan származnak és hogyan kerülnek nyilvántartásba, az itt olvashatja az információ forrásáról szóló oldalA saját helyzet tekintetében — mely kérdéseket tehet fel egy konkrét felhasználó és meddig mehet — kétség esetén mindig ajánlott egy jogászhoz vagy a hatáskörrel rendelkező felügyeleti szervhez fordulni; az adatfájl előkészítést végez, nem helyettesíti önöket az értékelésben.
Kezdje azzal, hogy megállapítsa, hol áll szervezete: a NIS2-ellenőrzés néhány perc alatt adhat erre választ, és ehhez nincs szükség fiókra.