Dotazník kybernetické bezpečnosti obvykle požaduje pevně stanovenou sadu dokladů: zásady bezpečnosti informací, přehled toho, kdo má přístup k jakým systémům, plán na případ, kdy se něco pokazí, a důkaz, že to skutečně testujete. Konkrétně se často jedná o politický dokument, analýzu rizik, plán reakce na incidenty, zprávu o nedávném penetračním testu (kontrolovaný pokus proniknout do vašich systémů, aby se našly slabá místa), přehled záloh a postupů obnovy a důkaz, že zaměstnanci absolvovali školení věnované bezpečnostnímu povědomí.
Detail, který v tomto typu dotazníku hraje největší roli, není obsah těchto dokumentů, ale datum na nich. Zásady bezpečnosti informací staré tři roky, zpráva o penetračním testu bez jasného data schválení nebo přehled školení, který neukazuje, kdy byla poslední relace: to jsou přesně ty věci, na které si nákupčí stěžuje nebo o které žádá doplnění. Dotazník sám často neprověřuje pouze to, zda určitá opatření existují, ale zda jsou aktuální.
Proč má datum tolik váhy
Dotazník kybernetické bezpečnosti se pokouší poskytnout snímek situace, jak se má dodavatel právě teď, ne jak se měl před dvěma lety. Pentest starý dva roky říká málo o systémech, které mezitím byly aktualizovány nebo nahrazeny. Politický dokument, který nebyl přehodnocen od reorganizace, nemusí pokrývat současnou situaci. Nákupčí, kteří sami podléhají dohledu, například prostřednictvím pravidel týkajících se bezpečnosti sítě a informací, často tuto očekávání aktuality prosazují u svých vlastních dodavatelů. To vysvětluje, proč portál někdy explicitně požaduje datum platnosti vedle samotného dokumentu.
Pro společnosti podléhající směrnici NIS2 nebo obchodující s organizací, která to dělá, se tyto doklady Often objevují v pevné struktuře opatření. Co přesně tato směrnice požaduje a pro koho, si přečtěte ve vědomostní bázi; tento článek se zabývá samotnými doklady, ne rozsahem platnosti pravidel. znalostní bázi s vysvětlením pro jednotlivá témata nabízí přehled.
Co obvykle musíte a nemusíte dodat
Ne každý nákupčí požaduje stejnou míru podrobnosti. Velký zákazník s vlastním nákupním oddělením pro kybernetickou bezpečnost někdy požaduje úplnou zprávu o penetračním testu; menší zákazník je často již spokojený se shrnutím nebo prohlášením, že bylo testování provedeno a kdy. Co konkrétně musíte sdílet, závisí na portálu a dotazníku daného konkrétního nákupčího. Není obvyklé sdílet zdrojový kód, politiku hesel do podrobností nebo interní schémata sítě; tyto informace obvykle nepatří do dotazníku dodavatele a pečlivý nákupčí o ně ani nežádá.
Jeden dossier, více dotazníků
Problém s těmito dokumenty není v tom, že chybějí, ale v tom, že jsou rozptýleny: politika u IT, přehled školení u HR, zpráva o penetračním testu u externí strany, která test provedla. Při příštím dotazníku si je zase sháníte, a znovu kontrolujete, zda jsou data stále správná. Centrální dossier supply chain udržuje tyto dokumenty a jejich datum platnosti na jednom místě, takže když budete mít nový dotazník, vidíte, která odpověď jsou stále aktuální a které potřebují aktualizaci. Supplia na základě toho vyplní otázky v seznamu vašeho zákazníka; vy potvrdíte odpověď za odpovědí a sami ji odešlete na portál vašeho zákazníka.
Zda vašemu podniku právě teď chybějí dokumenty, které se Often požadují, vidíte rychle s bezplatnou kontrolou, která vám v několika otázkách ukáže, kde stojíte. Jak se data v takového dossier uchází a chrání, si přečtěte na stránce o ochraně soukromí a ochraně údajů. A pokud chcete vědět, jak Supplia přesně získává odpovědi, které za vás vyplňuje, je to vysvětleno na vysvětlení, jak systém funguje.
Pro situaci ve vašem vlastním podniku s vašimi vlastními systémy a riziky zůstává rozhovor se specializovaným IT bezpečnostním expertem nebo právníkem nejspolehlivějším poradenstvím. Tento článek poskytuje přehled toho, co se často ptá, nikoli posouzení toho, co je v případě vašeho podniku nutné nebo dostatečné.
Chcete vidět, které dokumenty jsou ve vašem vlastním podniku již v pořádku a které potřebují aktualizaci? Proveďte bezplatnou rychlou kontrolu nebo procházejte témata v databázi znalostí, abyste viděli, co je pro vaši situaci relevantní.