Vaš odjemalec pošilja vprašalnik o varnosti — kaj sedaj?
Sami niste izpolnjujete zahteve, vendar jih boste kljub temu morali izpolniti. Zakaj se to dogaja in kaj je dober odgovor.
Zakaj prejemete ta seznam
Vaš naročnik je predmet Direktive NIS2 in ima dolžnost skrbnosti. Eden od desetih ukrepov v okviru te dolžnosti se izrecno nanaša na verigo: oceniti mora varnost svojih dobaviteljev in ponudnikov storitev, kolikor to vpliva na njegove lastne sisteme.
Ne more to preskočiti. Njegov lastni nadzorni organ ga lahko vprašati in njegov upravni odbor osebno nosi odgovornost. Od tod vprašalnik in od tod pritisk.
Kaj se pojavljja v večini primerov
Vprašanja se skoraj vedno nanašajo na enajst enakih tem, ker se naslanjajo na isto določilo. Imate politiko za varnost informacij, kako obravnavate incidents, kaj počnete za kontinuiteto in varnostne kopije, kako ocenjujete svoje lastne dobavitelje, kako pristopite k ranljivostim, merite učinkovitost, kako je s posodabljanjem in ozaveščanjem, šifrirate podatke, kdo ima dostop kam in uporabljate dvostopenjsko preverjanje.
Oblika se razlikuje — Excel-datoteka, Word-dokument, portal, kamor se sami prijavite — a vsebina ne. Prav zato je naslednjič bistveno manj dela.
Kaj je dober odgovor
Pošten in podprt. Delno urejeno, tu je politični dokument, to je načrtovano za tretje četrtletje: to je boljši odgovor kot pipa ob vsem. Vaš naročnik ne ocenjuje, ali ste popolni, ampak ali naklanja tveganju in ali veste, kje stojite.
Česar ne smete storiti, je izumiti. Odgovor, ki pri pregledu ne drži, vas stane pogodbe in odnosa. Kaj ne obstaja, navedite kot še neurejeno, z datumom.
Pogosta vprašanja
Ali moram to izpolniti?
Zakonsko ne, sami nimate dolžnosti. Poslovno je drugače: brez odgovora izgubite pogodbo ali podaljšanje.
Sme moj naročnik to vse vprašati?
Da. Za razliko od vprašalnikov o trajnosti pri NIS2 ni zakonske omejitve za to, kaj naročnik sme vprašati. Vendar mora biti v sorazmerju s tveganjem, ki ga predstavljate zanj.
Od vsakega naročnika dobim drugačen seznam.
Res je, in to je pravi problem. Teme so enake, oblika se razlikuje. Edina izvedljiva pot je, da enkrat sestavite dossier in iz njega črpate odgovore.
To je razlaga, ne nasvet o vaši lastni situaciji. secria.eu ne ocenjuje vaše organizacije in ne daje zagotovil.