Práve ste skončili s prvým bezpečnostným zoznamom zákazníka. Hodiny hľadania toho, kto je zodpovedný za firewall, aké heslo politika naozaj máte, a či existuje alebo neexistuje postup zálohovania na papieri. Potom o tri mesiace neskôr príde druhý zákazník s podobným zoznamom a zdá sa vám, že začínate znova od nuly. To nemusí byť tak: rozdiel medzi prvým a druhým bezpečnostným zoznamom nie je v tom, ako rýchlo píšete, ale v tom, či ste prvýkrát zaznamenali niečo, čo si môžete prečítať.
Bezpečnostné zoznamy rôznych odberateľov sa v značnej miere prekrývajú. Inštalačná spoločnosť, ktorá dodáva energetickému operátorovi siete a zdravotníckemu zariadeniu, dostáva otázky, ktoré sú v osemdesiatich percentách totožné: existuje zodpovedný za bezpečnosť informácií, ako zaobchádzate s prístupom do systémov, čo robíte v prípade incidentu, ako často testujete zálohy. Formulácia sa líši podľa zákazníka, ale základná otázka nie. Kto si prvýkrát poznamená odpoveď len v e-maile tomu jednému zákazníkovi, musí si ju druhýkrát znova vyhľadať. Kto si poznamená odpoveď ako súčasť dossier, skopíruje ju a upraví formuláciu.
Čo sa skutočne zmení po druhý raz
Jadrom každej kontrolného zoznamu — aké opatrenia existujú, kto je za ne zodpovedný, ktorý podkladový dokument k nim patrí — sa medzi jednotlivými klientmi veľmi nemení. To, čo sa však skutočne líši, je formulácia otázky: jeden zacquisition manager sa pýta na 'kontrolu prístupu', druhý na 'identity and access management' a tretí chce áno/nie odpoveď tam, kde prvý požadoval trojvetovú výklad. To je presne tá časť, ktorá nemusí vziať veľa času, ak sú základné informácie už v poriadku. Preformulujete len znenie, nie obsah.
Existuje jedna dôležitá výnimka: ak sa medzi prvým a druhým dotazníkom niečo v organizácii zmenilo – nový dodávateľ, iný zálohovací systém, zmenený zodpovedný pracovník – potom je to čas na aktualizáciu spisu, nie samotného dotazníka. Spis, ktorý nie je v súlade so skutočnosťou, spôsobí oneskorenie u tretieho alebo štvrtého zákazníka, pretože potom musíte skontrolovať, čo je stále správne a čo nie.
Rozdiel medzi zodpovedaním si na dotazník a vedením dokumentácie
Dotazník je momentálny snímok pre jedného obstarávateľa. Dokumentácia je živý prehľad opatrení, ktoré vaša organizácia už sama prijala, bez ohľadu na to, kto o ne pýta: aký je stav jednotlivých opatrení, ktorý dôkazný dokument k nemu patrí a kto v organizácii za neho zodpovedá. Len čo takýto prehľad existuje, každý prichádzajúci dotazník je v podstate export v inom poradí. prečítajte si desať opatrení na zaistenie riadneho fungovania podľa situácie poskytuje prehľad o tom, ktoré časti sa v nich zvyčajne nachádzajú, aj keď vaša organizácia sama nie je priamo zavázaná povinnosťami NIS2, ale dotkýva sa ju cez obstarávateľa.
Tento rozdiel je tiež zdrojom úspory času v organizáciách, ktoré samy nie sú povinné — veľkej skupine dodávateľov malých a stredných podnikov, ktorí sú postihnutí cez zaopatrenie svojho obstarávateľa. Nemusia zaviesť zákon, ale musia opakovane preukázať, že základné veci sú v poriadku. Ten, kto to prvýkrát odpovedá ako jednotlivý e-mail, vynaloží pri druhom obstarávateľovi rovnaké úsilie. Ten, kto to vedúcich ako dokumentáciu, vidí, že úsilie sa pri každom ďalšom obstarávateľovi znižuje namiesto toho, aby zostalo rovnaké.
Kde je hranica
Dossier a z neho pripravené odpovede neprevzatia hodnotenie kupujúceho a nie sú zárukou, že budúci dotazník bude vybavený bez dodatočných otázok — každý kupujúci si sám posuduje, čo je pre neho dostačujúce. Dossier taktiež nenahradí audit, penetračné testovanie alebo certifikáciu; to zostáva prácou špecializovaných strán. Čo to však robí, je že má pripravenú odpoveď na opakovanú otázku "ako máte toto u seba zorganizované", aby ste ju nemuseli zakaždým znova zisťovať.
To, či sa vaša organizácia dostane do dosiahu prostredníctvom kupujúceho alebo sama spadá pod Zákon o kybernetickej bezpečnosti, je možné zistiť pomocou niekoľkých otázok prostredníctvom NIS2 kontrola, ktorá v pár minútach poskytuje orientáciu. Túto kontrolu je možné prejsť bezplatne a bez účtu, rovnako ako vysvetlenia k jednotlivým témam v knowledge base. Samotný spis s stavom jednotlivých opatrení, podporným dokladom a pripravenými odpoveďami na ďalší zoznam otázok je súčasťou predplatného — čo presne k tomu patrí, je možné vidieť tu.
Kto chce vedieť, odkiaľ pochádza informácia na platforme a ako sa udržiava, číta si to na stránka, ktorá vysvetľuje, odkiaľ pochádzajú informáciePre vašu vlastnú situáciu — ktoré otázky si môže položiť konkrétny odborca a do akej miery — ostáva vhodné v prípade pochybností konzultovať právnika alebo príslušný dozorný orgán; dossier vás pripravuje, nie je to posúdenie za vás.
Začnite otázkou, kde sa vaša organizácia nachádza: kontrola NIS2 vám v niekoľkých minútach poskytne indikáciu, bez toho, aby ste potrebovali účet.