Tocmai ați finalizat primul chestionar de securitate al unui client. Ore petrecute căutând cine este responsabil de firewall, ce politică de parolă aplicați de fapt, și dacă există sau nu o procedură de backup pe hârtie. Apoi, trei luni mai târziu, vine al doilea client cu o listă asemănătoare, și vă simțiți ca și cum ați începe din nou de la zero. Nu trebuie să fie așa: diferența dintre primul și al doilea chestionar nu stă în viteza cu care tastați, ci în faptul că ați consemnat ceva la prima aplicare pe care îl puteți relciti.
Chestionarele de securitate de la diferiți clienți se suprapun puternic. Un installer care furnizează atât unui operator de rețea de energie, cât și unei instituții de sănătate, primește întrebări care sunt identice în optzeci la sută: este cineva responsabil de securitatea informațiilor, cum gestionați accesul la sisteme, ce faceți în caz de incident, cât de des testați backup-urile. Formularea diferă de la client la client, dar întrebarea fundamentală nu. Cine pune răspunsul prima dată doar într-un email către acel singur client, trebuie să-l caute din nou a doua oară. Cine consemnează răspunsul ca parte a unui dosar, îl copiază și adaptează formularea.
Ce se schimbă de fapt a doua oară
Nucleul oricărui chestionar — ce măsuri sunt în loc, cine este proprietar, ce dovadă o însoțește — se schimbă puțin între un client și altul. Ceea ce diferă este forma întrebării: un client întreabă despre 'controlul accesului', altul despre 'identity and access management', iar al treilea vrea un răspuns da/nu acolo unde primul a cerut o explicație de trei propoziții. Asta este exact partea care nu trebuie să coste mult timp dacă informațiile subiacente sunt deja în ordine. Reformulați forma, nu conținutul.
Există o singură excepție importantă: dacă între primul și al doilea chestionar s-a schimbat ceva în organizația dumneavoastră — un furnizor nou, un alt sistem de backup, un responsabil schimbat — acela este momentul să actualizați dosarul, nu chestionarul în sine. Un dosar care nu evoluează cu realitatea va cauza din nou întârzieri la al treilea sau al patrulea client, pentru că atunci va trebui să verificați din nou ce se mai potrivește și ce nu.
Diferența dintre a răspunde la un chestionar și a menține un dosar
Un chestionar este o fotografie a unui moment pentru un singur client. Un dosar este o imagine de ansamblu vie a măsurilor pe care organizația dumneavoastră le-a deja luat, indiferent de cine le solicită: care este starea fiecărei măsuri, ce document justificativ o însoțește și cine din organizație este responsabil de ea. Odată ce această imagine de ansamblu există, fiecare chestionar care sosește este în esență o exportare într-o ordine diferită. citiți cele zece măsuri de îngrijire în cadrul situației respective oferă o imagine a părților componente care apar de obicei în ea, chiar dacă organizația dumneavoastră nu se încadrează direct în obligațiile NIS2 ci este afectată prin intermediul unui client.
Această distincție este și sursa economiei de timp la organizațiile care nu sunt ele însele obligate — grupul mare de furnizori de IMM care sunt afectați prin obligația de îngrijire a clientului lor. Ei nu trebuie să implementeze o lege, dar trebuie să demonstreze în mod repetat că lucrurile de bază sunt în ordine. Cine răspunde la prima oară ca un e-mail separat, face aceeași muncă la al doilea client. Cine o notează ca dosar, vede munca pentru fiecare client suplimentar că scade în loc să rămână la fel.
Unde se află limita
Un dosar și răspunsurile pregătite din acesta nu preiau evaluarea cumpărătorului și nu sunt o garanție că un chestionar următor va fi rezolvat fără întrebări suplimentare — fiecare cumpărător evaluează singur ceea ce este suficient pentru el. De asemenea, un dosar nu înlocuiește un audit, test de penetrare sau certificare; aceasta rămâne munca unor părți specializate. Ceea ce face este să țină pregătit răspunsul la întrebarea repetată 'cum este aranjat acest lucru la dumneavoastră', astfel încât să nu trebuiască să o redescoperiți de fiecare dată.
Indiferent dacă organizația dumneavoastră este afectată printr-un cumpărător sau se încadrează ea însăși sub Legea securității cibernetice, se poate vedea cu câteva întrebări prin verificarea NIS2 care oferă o indicație în câteva minute. Această verificare este gratuită și poate fi parcursă fără cont, la fel ca și explicația pe fiecare subiect din baza de cunoștințe. Dosarul în sine, cu statutul pe fiecare măsură, dovada și răspunsurile pregătite pentru următorul chestionar, face parte din abonament — ce se regăsește exact acolo poate fi văzut aici.
Cine dorește să știe de unde provine informația de pe platformă și cum este menținută, citește aceasta pe pagina care explică de unde provine informația Pentru situația proprie — ce întrebări poate pune un cumpărător specific și cât de departe poate merge — rămâne recomandabil să consultați un avocat sau autoritatea competentă de supraveghere în caz de îndoială; dosarul pregătește, nu evaluează în locul dumneavoastră.
Începeți cu întrebarea unde se situează de fapt organizația dumneavoastră: verificarea NIS2 oferă o indicație pentru aceasta în câteva minute, fără a avea nevoie de un cont.