Você acabou de concluir o primeiro questionário de segurança de um cliente. Horas procurando por quem é responsável pelo firewall, qual política de senha você realmente segue e se existe ou não um procedimento de backup documentado. Depois, três meses depois, vem um segundo cliente com uma lista semelhante e parece que você está começando do zero novamente. Isso não precisa ser assim: a diferença entre o primeiro e o segundo questionário não está em quão rápido você digita, mas em se você registrou algo na primeira vez que possa reler.
Questionários de segurança de diferentes contratantes se sobrepõem fortemente. Uma empresa de instalação que fornece para um gerenciador de rede de energia e uma instituição de saúde recebe perguntas que são oitenta por cento idênticas: existe um responsável pela segurança da informação, como você gerencia o acesso aos sistemas, o que você faz em caso de incidente, com que frequência você testa backups. A formulação difere por cliente, mas a pergunta subjacente não. Quem coloca a resposta apenas em um e-mail para esse cliente precisa procurá-la novamente na segunda vez. Quem registra a resposta como parte de um dossiê copia-a e adapta a formulação.
O que realmente muda na segunda vez
O núcleo de cada questionário — quais medidas existem, quem é o proprietário, qual documento de comprovação está associado — muda pouco entre um cliente e outro. O que difere é a forma da pergunta: um contratante pergunta sobre 'controle de acesso', outro sobre 'identity and access management', e um terceiro quer uma resposta sim/não onde o primeiro solicitou uma explicação de três frases. Essa é precisamente a parte que não precisa custar muito tempo se as informações subjacentes já estiverem em ordem. Você reformula a expressão, não o conteúdo.
Há uma exceção importante: se algo em sua organização mudou entre o primeiro e o segundo questionário — um novo fornecedor, um sistema de backup diferente, um responsável alterado — esse é o momento de atualizar o dossiê, não o questionário em si. Um dossiê que não acompanha a realidade causará atraso novamente com o terceiro ou quarto cliente, porque você precisará verificar o que ainda está correto e o que não está.
A diferença entre responder um questionário e manter um dossiê
Um questionário é uma captura de momento para um contratante. Um dossiê é uma visão geral viva das medidas que sua organização já adotou, independentemente de quem pergunta: qual é o status de cada medida, qual documento de comprovação está associado e quem dentro da organização é proprietário. Assim que essa visão geral existe, cada questionário que chega é essencialmente uma exportação em uma ordem diferente. revisar as dez medidas de gestão de risco por situação fornece uma compreensão de quais partes geralmente aparecem nelas, mesmo que sua organização não esteja diretamente sujeita aos requisitos da NIS2, mas seja afetada por um contratante.
Essa distinção também é de onde vem a economia de tempo nas organizações que não são obrigadas — o grande grupo de fornecedores de PME afetados pelo dever de gestão de risco de seu contratante. Eles não precisam implementar uma lei, mas precisam demonstrar repetidamente que os aspectos básicos estão em ordem. Quem responde isso pela primeira vez como um e-mail isolado faz o mesmo trabalho com o segundo contratante. Quem o registra como dossiê vê o trabalho diminuir em vez de permanecer igual para cada contratante adicional.
Onde está o limite
Um dossiê e as respostas preparadas a partir dele não substituem a avaliação do cliente, e não garantem que um próximo questionário de segurança seja processado sem perguntas adicionais — cada cliente avalia por si próprio o que é suficiente para ele. Um dossiê também não substitui uma auditoria, teste de penetração ou certificação; isso continua sendo trabalho de partes especializadas. O que ele faz é manter preparada a resposta repetida 'como está isso organizado em sua empresa', para que você não precise descobrir de novo cada vez.
Se sua organização é afetada por um cliente ou se está sujeita à Lei de Segurança Cibernética, pode ser visto com poucas perguntas via a verificação NIS2 que fornece uma indicação em alguns minutos. Essa verificação é gratuita e pode ser realizada sem conta, assim como a explicação por tema no banco de conhecimento. O dossiê em si, com o status de cada medida, o comprovante e as respostas preparadas para o próximo questionário, faz parte da assinatura — o que exatamente está incluído pode ser visto aqui.
Quem deseja saber de onde as informações na plataforma vêm e como são mantidas, leia isso em a página que explica de onde as informações vêm. Para sua situação específica — quais perguntas um cliente específico pode fazer e até que ponto pode ir — é recomendável consultar um advogado ou a autoridade supervisora competente em caso de dúvida; o dossiê prepara, não avalia em seu nome.
Comece pela pergunta de onde sua organização realmente está: a verificação NIS2 fornece uma indicação para isso em alguns minutos, sem que você precise de uma conta.