Küberturvalisuse küsimustik nõuab tavaliselt fikseeritud komplekti tõendeid: infobeveiliguspoliitika, ülevaade sellest, kellel on juurdepääs millisele süsteemile, plaan kriisiolukorras ning tõend selle tegelikust testimisest. Konkreetselt on tegemist sageli poliitikadokumendiga, riskianalüüsiga, intsidentide reageerimise plaaniga, värske penetratsioonitesti aruandega (kontrollitud katse teie süsteemidesse tungimiseks, nõrkade kohtade leidmiseks), varundamis- ja taastamisprotseduuride ülevaatega ning tõendiga, et töötajad on läbinud teadlikkuse koolituse.
Detailid, mis seda tüüpi küsimustike puhul kõige rohkem mängu tulevad, ei ole nende dokumentide sisu, vaid kuupäev nendel. Kolm aastat vana infobeveiliguspoliitika, penetratsioonitesti aruanne ilma selge vastuvõtmiskuupäevata või koolitusüleva, mis ei näita, millal viimane sessioon oli: need on täpselt asjad, mille peale ostja tagasi saadab või millel täiendamist nõuab. Küsimustik ise testib sageli mitte ainult seda, kas maatregel eksisteerib, vaid kas see on aktuaalne.
Miks kuupäev nii palju kaalu saab
Küberturvalisuse küsimustik püüab anda hetktõmmist sellest, kuidas tarnija praegu seisab, mitte sellest, kuidas ta kaks aastat tagasi seisis. Kaks aastat vana penetratsioonitest ütleb vähe süsteemide kohta, mis on vahepeal uuendatud või välja vahetatud. Poliitikadokument, mida ei ole üle vaadatud pärast reorganiseerimist, võib praegust olukorda enam ei katke. Ostjad, kes ise järelevalve all on, näiteks võrgu- ja infoturbe reeglite kaudu, annavad selle aktualiteedi ootuse sageli edasi ka oma tarnijatele. See seletab, miks portaal vahel eksplitsiidselt nõuab kehtivusaastat dokumendi enda kõrval.
Ettevõtete jaoks, kes kuuluvad NIS2-direktiivi alla, või kes teevad asju organisatsiooniuga, kes seda teeb, esinevad need tõendid sageli fikseeritud meetmete paigutuses. Mida see direktiiv täpselt nõuab ja kellele, leiate teadluspangast; see artikkel käsitleb dokumentide ennast, mitte reeglite ulatust. teadmusbaas koos selgitustega teemade kaupa annab sellest ülevaate.
Mida te tavaliselt pidanud esitama ja mitte pidanud esitama
Mitte iga ostja ei nõua sama sügavust. Suur klient omapoolse küberturvalisuse ostudepartamendiga nõuab mõnikord kogu penetratsioonitesti aruannet; väiksem klient on sageli juba rahul kokkuvõttega või avaldusega, et testitud on ja millal. Mida täpselt peate jagama, sõltub selle konkreetse ostja portaalist ja küsimustikust. Pole tavapärane jagada lähtekood, paroolipoliitikat üksikasjalikult või sisemisi võrgukeeme; seda informatsiooni tavaliselt ei kuulu tarnejate küsimustikku ja ettevaatlik ostja ei küsi selle järele ka.
Üks dossier, mitu küsimustikku
Raskus nende dokumentidega ei ole selles, et need puuduksid, vaid et nad on laiali: poliitika IT-l, koolitusüleva HR-l, penetratsioonitesti aruanne välisel partneril, kes testi tegi. Järgmise küsimustiku juures otsite need uuesti kokku ja kontrollite uuesti, kas kuupäevad veel sobivad. Keskne ketidossier hoidab neid dokumente ja nende kehtivuskuupäeva ühel kohal, nii et näete uue küsimustiku puhul, millised vastused on veel aktuaalsed ja millised vajaksid uuendamist. Supplia täidab selle põhjal küsimused oma kliendi loendis; te kinnitata igaühel vastuseid ja esitate ise oma kliendi portaali.
Kas teie ettevõte praegu dokumentidest puudust tunneb, mida sageli küsitakse, näete kiiresti tasuta kontrollga, mis paaril küsimusel näitab, kus te seisate. Kuidas andmeid sellises dossies käsitletakse ja kaitstakse, leiate lehe privaatsuse ja andmekaitse kohta. Ja kui soovite teada, kuidas Supplia täpselt vastuseid, mida see teie jaoks täidab, saab, on see selgitatud süsteemi toimimise selgitus.
Teie enda ettevõtte olukorra, teie enda süsteemide ja riskide puhul jääb spetsialiseeritud IT-turvalisuse eksperdiga või juristiga peetav vestlus usaldusväärsemaks nõuandeks. See artikkel annab ülevaate sellest, mida sageli küsitakse, mitte hinnangut selle kohta, mis teie konkreetsel juhul on vajalik või piisav.
Kas soovite näha, millised dokumentid teie enda ettevõttes juba korras on ja millised vajavad värskendust? Tehke tasuta kiirskann või vaadake teadlusbaasi teemasid läbi, et näha, mis teie olukorra jaoks asjakohane on.