igal kliendil on erinev turvakysimustik, peab ma alati otsast alustama

Iga loend on sama kümne meetme erinev järjekord

Ei, enamasti pole vaja uuesti alustada — küsimused erinevad sõnastuse poolest, kuid hõlmavad peaaegu igal kliendil samu aluseks olevaid punkte. Üks pank küsib "intsidentide reageerimise protseduurist", teine "kuidas käsitletakse turbeolukorde", ja kolmas "küberohtude tuvastamisest ja teatamisest". See on kolm korda turvalisusincidendi käsitlemise menetlusestkolm korda sama vastus samast dossieest. Sama kehtib juurdepääsu, varukoopiate, haavatavuse hallimine ja tarneahela turvalisuse kohta tarnijate juures: peaaegu iga küsitlus taandub NIS2 artikli 21 lõike 2 kümne meetme alamhulgale, isegi kui klient ise NIS2-le ei viita.

Töö ei seisne seega vastuste pidevalt uuesti sõnastamises, vaid selles, et tuvastada, milline küsimus mis aluseks olevasse punkti kuulub. Küsimus "paroolide haldamise ja kaheteguri autentimise" kohta on lihtsalt mitmefaktoriga autentimine teisiti sõnastatud. Küsimus "tarnija riskide" või "kolmandapoole riskide" kohta on tarnimisele seatud nõuded omaenda tarnijatele. Kui see dossier on kord olemas, on iga järgmine loend peamata sobitamine ja kinnitamine, mitte uuesti kirjutamine.

Mille aluseks see on: artikkel 21 lõige 2 ja lisaks A

NIS2 direktiivi artikkel 21 lõige 2 (2022/2555) nimetab kümmet meetmete kategooriat — riskianalüüs, intsidentide käsitlemine, äritegevuse järjepidevus, tarneahela turvalisus, haavatavused käsitlevad poliitika, krüptograafia, juurdepääsupoliitika, MFA, teadlikkus ja meetmete testimine. Peaaegu iga panga, kindlustusseltsii või suurkliendi turbeküsitlus on (osa) samade kümne punkti enda tõlge, mida sageli täiendatakse küsimustega, mis on ISO/IEC 27001 lisast A sõna-sõnalt võetud. See selgitab, miks sõnastus muutub, kuid sisu ei muutu: need on kaks püsivat raamistikku, mitte tuhat eraldi klandisoovi.