Моят застраховател иска списък с въпроси относно кибербезопасността, как го попълнявам

Списъкът на застрахователя обхваща често десетте мерки на NIS2

Анкетата на застраховател е обикновено по-широка от формат на клиент, който сам попада под Закона за киберсигурност, но обхваща същите теми. Застрахователите използват своя собствена анкета, защото премия и покритие зависят от риска, и тези въпроси се основават тежко на десетте мерки от член 21 параграф 2 на NIS2: анализ на риска, управление на инциденти, непрекъснатост, верига, уязвимости, тестване, осведоменост, криптография, политика за достъп и MFA. Ако разпознаеш този модел, можеш отговорите, които вече са в файла на веригата, обикновено да преизползваш един-към-един, дори и ако застрахователят използва други думи от предишния списък.

Два въпроса се срещат при застрахователите по-често отколкото при обикновени анкети на клиенти: дали е упражняван инцидентният отговор (не само дали има процедура за инциденти на сигурност, но дали е и тестирана) и дали съществува конкретен план за възстановяване с време на възстановяване освен общия въпрос върху резервни копия и аварийно снабдяване. Ако нямаш това упражнение или конкретния план, тогава "не" е правилният отговор — застраховател пита за практиката, а не за намерението. Ако липсва ISO 27001 сертификат, това не е проблем само по себе си: много застрахователи приемат и отделните мерки без сертификация.

Откъде идват десетте мерки

Разделението на десетте мерки се съдържа в член 21, параграф 2 на Директива (EU) 2022/2555 и може да се намери и в приложение A на ISO/IEC 27001, което разработва същите мерки за контрол в повече детайли. Застрахователите често формулират своите собствени въпроси по-свободно, отколкото текстът на директивата, но основната структура е същите десетте теми — поради това попълването е по-бързо, ако знаеш коя въпрос към коя мярка принадлежи.