Pravkar ste zaključili prvi varnostni vprašalnik stranke. Ure in ure iskanja, kdo je odgovoren za požarni zid, kakšna pravila za gesla pravzaprav veljajo v vaši organizaciji, in ali resnično obstaja postopek varnostnega kopiranja. Nato se tri mesece pozneje pojavi druga stranka s podobnim vprašalnikom, in občutek je, da spet začinjate od začetka. To ni nujno: razlika med prvo in drugo vprašalnikom ni v tem, kako hitro tipkate, ampak v tem, ali ste prvič kaj zabeleži, kar si lahko pozneje ponovno preberete.
Varnostni vprašalniki različnih naročnikov se v veliki meri prekrivajo. Podjetje za inštalacije, ki dobavlja operaterju energetske mreže in zdravstveni ustanovi, prejme vprašanja, ki so v osemdesetih odstotkih enaka: ali obstaja odgovorna oseba za varnost informacij, kako ravnate z dostopom do sistemov, kaj storite ob incidentu, kako pogosto testirate varnostne kopije. Besedilo se razlikuje glede na stranko, toda osnovno vprašanje je isto. Kdor odgovor prvič zapiše le v e-poštni sporočil tej eni stranki, ga mora drugič spet iskati. Kdor odgovor zabeleži kot del mape, ga kopira in prilagodi besedilo.
Kaj se drugič resnično spremeni
Jedro vsakega vprašalnika — katere ukrepe obstajajo, kdo je odgovoren, katero dokazilo je pripojeno — se med strankama malo spremeni. Kar pa se res razlikuje, je oblika vprašanja: en naročnik sprašuje po 'nadzoru dostopa', drugi po 'upravljanju identitete in dostopa', tretji pa želi odgovor da/ne, medtem ko je prvi zahteval razlago v treh stavkih. To je natanko tisti del, ki ne sme vzeti veliko časa, če so osnovni podatki že urejenost. Preoblikujete besedilo, ne vsebine.
Obstaja ena pomembna izjema: če se med prvo in drugo vprašalnikom nekaj v vaši organizaciji spremeni — novi dobavitelj, drug sistem varnostnih kopij, spremenjena odgovorna oseba — je to pravi čas za posodobitev mape, ne samega vprašalnika. Mapa, ki se ne ujema z dejanskim stanjem, pri tretji ali četrti stranki spet povzroči zamude, ker morate potem preverjati, kaj še velja in kaj ne.
Razlika med odgovarjanjem na vprašalnik in vzdrževanjem mape
Vprašalnik je trenutni posnetek za enega naročnika. Mapa je živi pregled ukrepov, ki jih je vaša organizacija že sprejela, ne glede na to, kdo jih sprašuje: kakšen je status vsakega ukrepa, kateri dokazni dokument ga spremlja in kdo v organizaciji je lastnik. Takoj ko ta pregled obstaja, je vsak vprašalnik, ki pride, v bistvu izvoz v drugačnem vrstnem redu. prebrali deset obveznostnih ukrepov po situaciji daje predstavo o tem, kateri deli se v njih navadno pojavljajo, tudi če vaša organizacija sama ne spada neposredno pod obveznosti NIS2, ampak je dosežena prek naročnika.
To razlikovanje je tudi vir časovne prihranke pri organizacijah, ki same niso zavezane — velika skupina malih in srednje velikih dobaviteljev, ki so doseženi prek obveznosti njihovega naročnika. Ni jim treba implementirati zakona, ampak morajo več krat dokazati, da so osnovne stvari v redu. Kdor to prvič odgovori kot ločeno e-pošto, opravi pri drugem naročniku enako količino dela. Kdor to zabelji kot mapo, vidi, da se delo za vsakega dodatnega naročnika zmanjša namesto da bi ostal enak.
Kjer je meja
Dosje in vnaprej pripravljeni odgovori ne nadomestijo presoje prejemnika in niso garancija, da bo naslednja vprašalnika obdelana brez dodatnih vprašanj — vsak prejemnik sam presodi, kaj je zanj zadostno. Dosje tudi ne nadomesti revizije, preizkusa penetracije ali certificiranja; to ostaja delo specializiranih strank. Kar pa ga naredi, je, da ima pripravljeno odgovor na pogosto ponavljajočo se vprašanje 'kako je to pri vas urejeno', tako da je ne bi vsakič znova moral iskati.
Ali je vaša organizacija gerjena prek prejemnika ali sama sodi pod Zakon o kibernetski varnosti, je mogoče videti s nekaj vprašanji prek preverke NIS2, ki v nekaj minutah daje nakaziloPreverjanje je brezplačno in ga je mogoče opraviti brez računa, tako kot razlage po posameznih temah v bazi znanja. Samo dosje s stanjem za vsak ukrep, dokazilo in vnaprej pripravljenimi odgovori za naslednjo vprašalnico je del naročnine — kaj točno vključuje, si lahko ogledaš tukaj.
Kdor želi vedeti, od kje prihajajo informacije na platformi in kako se vzdržujejo, to bere na strani, ki razlaga, od kje prihajajo informacijeZa lastno situacijo — katera vprašanja sme postaviti določeni prejemnik in kako daleč sme iti — ostaja priporočljivo, da se v primeru dvoma posvetujete z pravnikom ali pristojnim organom nadzora; dosje pripravlja, ne presoja pa v vaše име.
Začnite z vprašanjem, kje je vaša organizacija dejansko; preverjanje NIS2 za to v nekaj minutah daje nakazilo, brez da bi za to potrebovali račun.