Ελέγχεται η αποτελεσματικότητα των μέτρων ασφαλείας περιοδικά;

Η αξιολόγηση αποτελεί μέρος του ίδιου του μέτρου, όχι ξεχωριστό πεδίο

Ναι, στις περισσότερες περιπτώσεις — αλλά όχι ως ανεξάρτητη ερώτηση, διότι το άρθρο 21 παράγραφος 2 NIS2 το διατυπώνει ως χαρακτηριστικό της πολιτικής και των διαδικασιών, όχι ως ξεχωριστή απαίτηση αξιολόγησης. Στο σημείο (α), την πολιτική για ανάλυση κινδύνου και την ασφάλεια των συστημάτων πληροφοριών, και στο σημείο (β), την αντιμετώπιση περιστατικών, η περιοδική αξιολόγηση αποτελεί μέρος του τι σημαίνει συνήθως «επαρκής» πολιτική. Όποιος μπορεί να αποδείξει ότι τα μέτρα εξετάζονται τακτικά — μετά από περιστατικό, μετά από δοκιμή διείσδυσης, μετά από εύρεμα ελέγχου — ικανοποιεί αυτό που ο πελάτης θέλει ουσιαστικά να δει με αυτήν την ερώτηση: ένα λειτουργικό σύστημα διαχείρισης, όχι στιγμιότυπο από ένα έγγραφο ρύθμισης.

Εάν η επιχείρηση ISO 27001-πιστοποιημένη είναι, αυτό είναι συνήθως το πιο εύκολο στοιχείο απόδειξης: το πρότυπο απαιτεί από μόνο του εσωτερικούς ελέγχους και αναθεώρηση διαχείρισης, και αυτά τα έγγραφα δείχνουν άμεσα ότι λαμβάνει χώρα αξιολόγηση. Χωρίς πιστοποίηση, το ίδιο μπορεί να τεκμηριωθεί με ένα έκθεση δοκιμής διείσδυσης, ένα αποτέλεσμα εσωτερικής αξιολόγησης, ή πρακτικά όπου τα μέτρα ασφαλείας έχουν συζητηθεί και προσαρμοστεί. Αν λείπει όλη αυτή η απόδειξη, τότε ένα «όχι» ή «σε ανάπτυξη» είναι πιο ειλικρινής απάντηση από ένα ναι χωρίς έγγραφο πίσω — ιδιαίτερα επειδή αυτή η ερώτηση συχνά τίθεται μαζί με εκείνη σχετικά με πολιτική για ανάλυση κινδύνου, και η ασυνέπεια μεταξύ των δύο απαντήσεων γίνεται αισθητή σε έναν πελάτη που διαβάζει και τις δύο.

Όπου βρίσκεται αυτό στην Οδηγία: άρθρο 21 παράγραφος 2

Το άρθρο 21 παράγραφος 2 NIS2 αναφέρει δέκα κατηγορίες μέτρων που πρέπει να είναι «κατάλληλα και ανάλογα», και η εξήγηση της ευθυγράμμισης αναλογικότητας με μια συνεχιζόμενη διαδικασία αξιολόγησης κινδύνου — όχι σε μια εφάπαξ ρύθμιση. Μια ρητή ξεχωριστή υποχρέωση για «περιοδική αξιολόγηση αποτελεσματικότητας» ως ξεχωριστό άρθρο δεν υπάρχει· προκύπτει από τον συνδυασμό του σημείου (α) πολιτική ανάλυσης κινδύνου και του σημείου (β) αντιμετώπιση περιστατικών, όπου τα μαθήματα από περιστατικά και περιοδική αξιολόγηση κινδύνου οδηγούν λογικά σε αναθεώρηση μέτρων. Για το ακριβές κείμενο, ο αυθεντικός κανονισμός είναι ο τόπος αναφοράς.