застраховател иска да попълни въпросник за киберсигурност как да го направя

Въпросниците за киберполица следват едни и същи десет мерки

Въпросникът на застрахователят покрива почти винаги същата сфера като въпросник за NIS2 на клиент: контрол на достъпа, MFA, резервни копия, политика за обновявания, реагиране на инциденти. Това не е случайност — застрахователите основават вече своите въпроси за приемане главно на десетте мерки на член 21 параграф 2 на Директива NIS2, и на управляващите мерки на Приложение A на ISO/IEC 27001. Който вече е попълнил тези две рамки за клиент, може практически без изменения да преведе отговорите за застрахователя. Разликата е в тона: клиент попита за политика, застрахователят често прави малко по-конкретни уточнения — например дали MFA е задължителен за всички админ сметки, не само "налице".

Попълнете затова първо веригата документ по точките, където застрахователят е по-задълбочен от обичайното: многофакторната аутентификация за корпоративни системи, процедурата при инциденти с киберсигурност и резервното копие и средството за възстановяване. Застрахователите също редовно попитват за процеса на обновяване; този отговор стои под процесът за уязвимости. Ако предприятието няма сертификат ISO 27001, това само по себе си обикновено не е проблем — застрахователите обикновено приемат и описание на мерките без сертификат, стига отговорите да са конкретни и да не казват само "да, имаме политика".

Защо тези две рамки се припокриват

Припокриването е по съдържание, не случайно: член 21 параграф 2 NIS2 посочва десет категории мерки (анализ на риска, управление на инциденти, приемственост на дейностите, сигурност на веригата, политика за уязвимости, криптография, контрол на достъпа, MFA, обучение, и проверка на ефективността), и Приложение A на ISO/IEC 27001 разработва практически същите теми до проверяеми управляващи мерки. Застрахователите използват тези рамки като обективна мярка, защото са външно документирани и проверяеми — не защото самият застрахователь попада под Закона за киберсигурност или изисква това на клиента.