Jūs tikko pabeidzāt pirmā klienta drošības jautājumu sarakstu. Stundas pavadījāt meklējot, kas ir atbildīgs par ugunsmūri, kādu paroles politiku jūs faktiski ievērojat, un vai jums tiešām ir varēšanas kopēšanas procedūra pierakstā. Pēc trim mēnešiem nāk otrais klients ar līdzīgu sarakstu, un šķiet, ka viss jāsāk no sākuma. Tas nav nepieciešams: atšķirība starp pirmo un otro jautājumu sarakstu nav tā, cik ātri jūs rakstāt, bet gan tajā, vai pirmajā reizē jūs kaut ko reģistrējāt, ko varējāt pārlasīt.
Dažādu piegādātāju drošības jautājumu saraksti ievērojami pārklājas. Instalācijas uzņēmums, kas piegādā energoresursu tīkla operatoram un veselības aprūpes iestādei, saņem jautājumus, kas uz astoņdesmit procentiem ir identiski: vai ir informācijas drošības atbildīgais, kā jūs pārvaldāt piekļuvi sistēmām, ko jūs darāt incidenta gadījumā, cik bieži jūs pārbaudāt varēšanas kopēšanu. Formulējums katram klientam atšķiras, bet pamatjautājums ne. Kas atbildi pirmo reizi raksta tikai e-pastā tam vienam klientam, otro reizi to atkal meklē. Kas atbildi reģistrē kā dosseja, to nokopē un pielāgo formulējumu.
Ko otrā reize faktiski mainās
Katra jautājumu saraksta kodols — kādas pasākumi ir, kas ir atbildīgais, kāds pierādījums tam atbilst — mainās maz no viena klienta uz otru. Tas, kas atšķiras, ir jautājuma forma: viens piegādātājs jautā par piekļuves kontroli, otrs par identitātes un piekļuves pārvaldību, trešais vēlas jā/nē atbildi, kur pirmais bija prasījis trīs rindu skaidrojumu. Tas ir precīzi tas aspekts, kas prasa maz laika, ja pamatinformācija jau ir kārtībā. Jūs pārformulējat redakciju, nevis saturu.
Ir viena svarīga izņēmuma situācija: ja starp pirmo un otro jautājumu sarakstu jūsu organizācijā kaut kas mainījies — jauns piegādātājs, cita varēšanas kopēšanas sistēma, mainīts atbildīgais — tad tas ir brīdis, kad jāatjaunina dosseja, nevis pats jautājumu saraksts. Dosseja, kas nesokas ar realitāti, trešajam vai ceturtajam klientam atkal izraisīs aizkavēšanos, jo jums joprojām jāpārbauda, kas vēl ir pareizi un kas nav.
Atšķirība starp jautājumu saraksta atbildēšanu un dosseja uzturēšanu
Jautājumu saraksts ir viena mirkļa uzskaite vienam piegādātājam. Dosseja ir vīvs mazvērtības pārskats par pasākumiem, ko jūsu organizācija jau ir veikusi, neatkarīgi no tā, kas par tiem jautā: kāds ir katra pasākuma statuss, kāds pierādījums tam atbilst, un kas organizācijā ir atbildīgais. Tiklīdz šis pārskats eksistē, jebkurš saņemtais jautājumu saraksts pēc būtības ir pārvietošana citā secībā. desmit aprūpes pienākuma pasākumus uz katru situāciju pārlasīt dod priekšstatu par tiem komponentiem, kas parasti tajā tiek atkārtoti, arī ja jūsu organizācija pati nav tieši pakļauta NIS2 prasībām, bet to saskaras caur piegādātāju.
Šis atšķirums ir arī vieta, no kuras rodas laika ietaupījums organizācijām, kas pašas nav pakļautas — lielai MKB-piegādātāju grupai, kuriem to saskaras caur aprūpes pienākumu. Viņiem nav jāpieņem likums, bet viņiem nepieciešams atkārtoti pierādīt, ka pamatjautājumi ir kārtībā. Ja tas pirmajā reizē tiek atbildēts kā atsevišķs e-pasts, otrais piegādātājs prasa tik pat daudz darba. Ja tas tiek reģistrēts kā dosseja, darbs par katru papildu piegādātāju samazinās, nevis paliek nemainīgs.
Kur robežošanas punkts atrodas
Dosnjers un no tā sagatavotie atbildes neuzņemas pieprasītāja novērtējumu, un tie nav garantija, ka nākamajā jautājumnieku formā netiks uzdoti papildu jautājumi — katrs pieprasītājs patstāvīgi novērtē, kas viņam ir pietiekams. Tāpat dosnjers neatstāj revīziju, draudzīguma testēšanu vai sertifikāciju; tas paliek specializēto pušu darbs. Tas, ko dosnjers dara, ir turēt gatavu repetoties jautājumu "kā jums to ir sakārtots" lai jums to katru reizi no jauna neatrisinātu.
Vai jūsu organizācija tiek ietekmēta caur pieprasītāju vai pati ietilpst Cybersecurity likumā, to var redzēt ar dažiem jautājumiem caur NIS2 pārbaudi, kas dažu minūšu laikā sniedz norādi. Šī pārbaude ir bezmaksas un bez konta to var pabeigt, tāpat kā skaidrojumi par katru tēmu zināšanu bankā. Pats dosnjers, ar statusa norādi katrai pasākumam, pierādījuma dokumentu un sagatavotām atbildēm nākamajam jautājumnieku formam, ir daļa no abonēšanas — to, kas tur precīzi ietilpst, var skatīt šeit.
Kurš vēlas zināt, no kurienes platforma informācija nāk un kā tā tiek uzturēta, to lasa lapā, kas skaidro, no kurienes informācija nāk. Paša situācijai — kādi jautājumi konkrēts pieprasītājs drīkst uzdot un cik tālu tas var iet — joprojām ir ieteicams, ja rodas šaubas, konsultēties ar juristu vai attiecīgo uzraudzības iestādi; dosnjers sagatavo, bet ne patstāvīgi novērtē.
Sāciet ar jautājumu, kur patiesībā atrodas jūsu organizācija: NIS2 pārbaude dažu minūšu laikā sniedz norādi, bez tam, ka jums būtu nepieciešams konts.