vakuutusyhtiöni haluaa kybersecurity-kyselyn, kuinka vastaan

Vakuutusyhtiön lista kattaa usein NIS2:n kymmenen toimenpidettä

Vakuutusyhtiön kysely on yleensä laajempi kuin asiakkaan oma muoto, joka kuuluu Kyberturvallisuuslain piiriin, mutta se kattaa kuitenkin samat aiheet. Vakuutusyhtiöt käyttävät omaa kyselyään, koska vakuutusmaksu ja vakuutusturva riippuvat riskistä, ja nämä kysymykset noudattavat tiukasti NIS2:n 21 artiklan 2 kohdan kymmeniä toimenpiteitä: riskianalyysi, poikkeamien käsittely, jatkuvuus, ketju, haavoittuvuudet, testaus, tietoisuus, salaus, pääsynvalvonta ja monivaiheinen tunnistautuminen. Jos tunnistat kyseisen mallin, voit yleensä käyttää uudelleen vastauksia, jotka ovat jo ketjutiedostossa, myös silloin kun vakuutusyhtiö käyttää eri termejä kuin edellinen lista.

Kaksi kysymystä esiintyvät vakuutusyhtiöillä useammin kuin tavallisissa asiakaskyselyn listoissa: onko poikkeamavasteen hallintaa harjoiteltu (ei vain sitä, onko turvallisuuspoikkeamille olemassa menettely, vaan onko sitä myös testattu) ja onko olemassa konkreettinen palautumissuunnitelma palautumisajalla yleisen kysymyksen lisäksi varmuuskopiot ja poikkeama-järjestelyt. Jos sinulla ei ole kyseistä harjoitusta tai konkreettista suunnitelmaa, "ei" on oikea vastaus — vakuutusyhtiö kysyy käytännöstä, ei aikomuksesta. Jos ISO 27001 -sertifikaatti puuttuu, se ei sinänsä ole ongelma: monet vakuutusyhtiöt hyväksyvät myös yksittäisiä toimenpiteitä ilman sertifiointia.

Mistä kymmenen toimenpidettä tulevat

Kymmenen toimenpiteen jako on esitetty direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa ja se löytyy myös ISO/IEC 27001 -standardin liitteestä A, jossa samat hallintotoimenpiteet on käsitelty yksityiskohtaisemmin. Vakuutusyhtiöt muotoilevat omat kysymyksensä usein vapaammin kuin direktiivin teksti, mutta taustalla oleva rakenne on sama kymmenen aihealuetta — siksi täyttäminen on nopeampaa, kun tiedät, mihin toimenpiteeseen kukin kysymys liittyy.