Avete appena completato il primo questionario sulla sicurezza di un cliente. Ore passate a cercare chi è responsabile del firewall, quale politica sulle password applicate effettivamente, e se esiste o meno una procedura di backup documentata. Poi, tre mesi dopo, arriva un secondo cliente con un questionario simile, e sembra che stiate ricominciando da zero. Non è necessario: la differenza tra il primo e il secondo questionario non sta in quanto velocemente digitate, ma nel fatto che la prima volta abbiate registrato qualcosa che potete rileggere.
I questionari sulla sicurezza di diversi clienti si sovrappongono molto. Un'azienda di installazione che fornisce a un gestore di rete energetica e a una struttura sanitaria riceve domande identiche per l'ottanta per cento: c'è un responsabile della sicurezza informatica, come gestite l'accesso ai sistemi, cosa fate in caso di incidente, con che frequenza testate i backup. La formulazione differisce per cliente, ma la domanda di fondo no. Chi la prima volta mette la risposta solo in un'email a quel cliente, deve ricercarla di nuovo la seconda volta. Chi la registra come parte di un fascicolo, la copia e adatta la formulazione.
Cosa cambia veramente la seconda volta
Il nucleo di ogni questionario — quali misure esistono, chi è il proprietario, quale documento di prova vi si collega — cambia poco da un cliente all'altro. Quello che differisce invece è la forma della domanda: un cliente chiede 'controllo degli accessi', un altro 'identity and access management', e un terzo vuole una risposta sì/no dove il primo ha chiesto una spiegazione di tre frasi. Questo è esattamente il punto che non deve richiedere molto tempo se le informazioni di base sono già in ordine. Riscrivete la formulazione, non il contenuto.
C'è un'importante eccezione: se tra il primo e il secondo questionario qualcosa è cambiato nella vostra organizzazione — un nuovo fornitore, un diverso sistema di backup, un responsabile modificato — allora è il momento di aggiornare il fascicolo, non il questionario stesso. Un fascicolo che non sta al passo con la realtà comporterà di nuovo ritardi al terzo o quarto cliente, perché dovrete comunque verificare cosa è ancora valido e cosa no.
La differenza tra rispondere a un questionario e mantenere un fascicolo
Un questionario è un'istantanea per un cliente. Un fascicolo è una panoramica viva delle misure che la vostra organizzazione ha già adottato, indipendentemente da chi le chieda: quale stato ha ogni misura, quale documento di prova vi si collega, e chi all'interno dell'organizzazione ne è il proprietario. Nel momento in cui questa panoramica esiste, ogni questionario in arrivo è essenzialmente un'esportazione in un ordine diverso. leggere le dieci misure di diligenza per situazione fornisce un'immagine di quali elementi vi ricorrono solitamente, anche se la vostra organizzazione non cade direttamente sotto gli obblighi NIS2 ma è raggiunta da un cliente.
Questa distinzione è anche da dove viene il guadagno di tempo nelle organizzazioni che non sono esse stesse obbligate — il grande gruppo di fornitori MKB che sono raggiunti attraverso l'obbligo di diligenza del loro cliente. Non devono implementare una legge, ma devono dimostrare ripetutamente che i punti base sono in ordine. Chi la prima volta risponde come email separata, fa il medesimo lavoro con il secondo cliente. Chi la registra come fascicolo, vede il lavoro diminuire per ogni cliente aggiuntivo invece di rimanere uguale.
Dove sta il confine
Un dossier e le risposte preparate da esso non sostituiscono la valutazione dell'acquirente, e non garantiscono che un successivo questionario sulla sicurezza venga gestito senza domande aggiuntive — ogni acquirente valuta autonomamente ciò che è sufficiente per lui. Inoltre, un dossier non sostituisce un audit, un penetration test o una certificazione; questo rimane compito di parti specializzate. Quello che invece fa è tenere preparata la risposta ricorrente alla domanda «come è organizzato presso di voi», così da non doverla cercare da capo ogni volta.
Se la vostra organizzazione è coinvolta tramite un acquirente o cade direttamente sotto la Legge sulla cibersicurezza, è possibile verificarlo con poche domande tramite il controllo NIS2 che fornisce un'indicazione in pochi minuti. Questo controllo è gratuito e può essere completato senza account, così come le spiegazioni per argomento nella banca dati conoscitiva. Il dossier stesso, con lo stato di ogni misura, la documentazione di supporto e le risposte preparate per il successivo questionario sulla sicurezza, è incluso nell'abbonamento — puoi consultare qui cosa è esattamente incluso.
Chi vuole sapere da dove provengono le informazioni sulla piattaforma e come vengono gestite, lo legge in la pagina che spiega l'origine delle informazioni. Per la situazione specifica — quali domande può porre uno specifico acquirente e fino a che punto può spingersi — rimane consigliabile consultare un legale o l'autorità di vigilanza competente in caso di dubbio; il dossier prepara il terreno, non valuta al posto vostro.
Iniziate dalla domanda su dove si trova effettivamente la vostra organizzazione: il controllo NIS2 fornisce un'indicazione in pochi minuti, senza che abbiate bisogno di un account.