Kodėl jūs gaunate šį klausimyną
Jei jūsų įmonė tiekia ką nors organizacijai, kuriai taikoma NIS2 direktyva — esminei ar svarbiai subjektui, pavyzdžiui, energetikos įmonėms, ligoninėms, didelėms transporto įmonėms ar skaitmeninei infrastruktūrai — tas pirkėjas turi įvertinti savo tiekėjus. Direktyva to pirkėjo reikalauja, kad jis sudarytų tiekimo grandinės rizikos žemėlapį, ne tik savo pačios sistemas. Tai aprašyta vadinamojoje atsakomybės pareigoje, nurodytoje Direktyvos 21 straipsnyje. Klausimynas, kuris jums atėjo, yra praktinis to rezultatas: jūsų pirkėjas turi sugebėti įrodyti, kad žino, kas yra jo tiekėjai ir kaip jie elgiasi su kibernetine sauga.
Svarbu suprasti: tai, kad gaunate klausimyną, nenutraukia automatiškai to, kad jūs patys priklausytumėte NIS2 direktyvai. Dauguma įmonių, kurios gauna tokius klausimynus, yra vadinamosios tiekimo grandinės suinteresuotos šalys — jos pačios nepavaldi įstatymui, bet per pirkėją jį vis dėlto suinteresuotos. Ar tai jūsų organizacijos atveju tiesa ir kokia būtent suinteresuotoji šalis tą būtų, galite patikrinti naudodami trumpą patikrą, kuri jūsų padėtį suveda į žemėlapį.
Kas dažniausiai nurodoma
Šiuo metu sklindantys klausimynai labai skiriasi pagal sudarytoją — iš įstatymo nėra nustatyto privalomo formato. Vis dėlto tam tikros temos iš esmės visada iškyla. Klausimai apie tai, kas jūsų organizacijoje atsakingas už informacinę saugą, ar turite incidento tvarkos politiką, kaip reguliuojate prieigą prie sistemų, ar darbuotojai gauna mokymus ir ar jūs patys nustatote reikalavimus savo tiekėjams. Kai kurie klausimynai taip pat klausia sertifikavimų, ankstesnių incidentų ar to, kaip jūs elgiatės su atnaujinimais ir išrašų planais.
Pagrindinė mintis visada ta pati: pirkėjas bando gauti vaizdą apie rizikas, kurios per jūsų teikimą gali jam atsirasti. Tai nėra nepasitikėjimas jūsų įmone konkrečiai, bet pareiga, kurią pats pirkėjas turi įvykdyti. Jei norite suprasti, kurios dešimt priemonių tam yra pagrindas, tą paaiškinimą rasite temų apžvalgą pagal situaciją.
Ką reikia pasakyti geru atsakymu
Geras atsakymas į saugumo klausimyną ne būtinai yra atsakymas, kuriame visapusiškai žymite 'taip'. Priežiūros institucijos ir pirkėjai paprastai žiūri į nuoseklumą: ar jūsų atsakymai atitinka tai, ką jūs iš tikrųjų darote, ir ar galite tai pagrįsti? Neaiškus arba per optimistinis užpildymas ilgainiui keliasi daugiau klausimų nei sąžiningas atsakymas, kuriame nurodomas tobulinimo taškas su laiko graiku.
Pagal kiekvieną klausimą padeda turėti tris dalykus aiškai: kokia yra dabartinė padėtis, kas jūsų organizacijoje tai gali patvirtinti ir kokį įrodymą tai lydi — politikos dokumentą, ekrano nuotrauką su parametru, mokymo apžvalgą. Įmonės, kurioms nereikia iš naujo ieškoti šių trijų taškų pagal kiekvieną klausimą, bet jie jau yra užfiksuoti nuolatiniame sąraše, paprastai gali klausimyną užpildyti per valandą, o ne per kelias dienas. Tai yra tiksliai tai, kam skirtas dossier su statusu, įrodymu ir savininku pagal priemonę.
Ką jums nereikia daryti
Svarbu žinoti, kad šio klausimyno užpildymas ir siuntimas lieka jūsų nuosava atsakomybe — paslauga gali padėti parengti ir strukturuoti atsakymus, bet niekada neturėtų jūsų vardu pateikti pirkėjui ar priežiūros institucijai. Taip pat auditas, penetracinės bandymos testas arba sertifikavimas yra kas nors kita nei klausimyno užpildymas; tai lieka specializuotų šalių darbas, jei pirkėjas konkrečiai to prašo.
Jei abejojate, ar klausimai, kuriuos gaunate, yra protingi jūsų dydžio ir vaidmens atžvilgiu, tai yra pokalbis, kurį geriausia vedti tiesiogiai su pirkėju, jei reikalo, su juristo pagalba, jei reikalavimai nurodomi sutartyje. Secria aprašo, ką sako direktyva ir nacionalinis įstatymas, bet nevertina atskirų sutarčių.
Toliau žvelkite
Jei norite pirmiausia sužinoti, iš kur šis informacija gaunama ir kaip jis yra palaikomas, skaitykite puslapyje apie platformos darbo metodą. Jei dar neturite nuotraukos apie savo padėtį tiekimo grandinėje, pradėkite nuo nemokamos patikros — ji per kelis klausimus suteikia rodiklį ir loginį tolesnį žingsnį, nereikalaudama paskyros.