vakuutusyhtiö haluaa täyttää kyselylomakkeen kybervakuutusta varten, kuinka aloitan

Kyberturvaturvavakuutuksen kyselylomakkeet noudattavat samoja kymmeneä toimenpidettä

Vakuutusyhtiön kyselylomake kattaa lähes aina saman alueen kuin asiakkaan NIS2-kyselylomake: pääsynvalvonta, MFA, varmuuskopiot, korjaustenhallintakäytäntö, poikkeamien reagointi. Tämä ei ole sattuma — vakuutusyhtiöt perustavat hyväksymiskysymyksensä nykyään suurelta osin NIS2-direktiivin 21 artiklan 2 kohdan kymmeneen toimenpidekategoriaan ja ISO/IEC 27001:n Annex A -hallintakäytäntöihin. Jokainen, joka on jo täyttänyt nämä kaksi kehystä asiakkaalle, voi kopioida vastaukset lähes muuttamattomina vakuutusyhtiölle. Ero on sävyssä: asiakas kysyy käytännöstä, vakuutusyhtiö kysyy usein hieman tarkemmin — esimerkiksi siitä, onko MFA pakollinen kaikille järjestelmänvalvojan tileille, ei vain "käytössä".

Täytä siksi ensin ketjutiedosto seuraavissa kohdissa, joissa vakuutusyhtiö kysyy tavallista syvemmälle: monivaiheinen todennus yrityksen järjestelmille, turvallisuuspoikkeamien käsittelymenettelystä ja varmuuskopio- ja palautuspalvelut. Vakuutusyhtiöt kysyvät myös säännöllisesti korjaustenhallintaprosessista; vastaus löytyy kohdasta haavoittuvuuksien hallintaprosessi. Jos yrityksellä ei ole ISO 27001 -sertifikaattia, se ei sinänsä yleensä ole ongelma — vakuutusyhtiöt hyväksyvät tyypillisesti myös hallintakäytäntöjen kuvauksen ilman sertifikaattia, kunhan vastaukset ovat konkreettisia eivätkä sano vain "kyllä, meillä on käytäntö".

Miksi nämä kaksi kehystä päällekkäin

Päällekkäisyys on sisällöllistä, ei sattuma: NIS2:n 21 artiklan 2 kohta mainitsee kymmenen toimenpidekategoriaa (riskianalyysi, poikkeamien käsittely, liiketoiminnan jatkuvuus, ketjuturvallisuus, haavoittuvuuksien käytäntö, salakirjoitus, pääsynvalvonta, MFA, koulutus ja tehokkuuden testaus), ja ISO/IEC 27001:n Annex A kehittää lähes samat teemat tarkistettaviksi hallintakäytännöiksi. Vakuutusyhtiöt käyttävät näitä kehyksiä objektiivisena mittapuuna, koska ne ovat ulkoisesti dokumentoituja ja tarkistettavissa — ei siksi, että vakuutusyhtiö itse kuuluisi kyberturvallisuuslain soveltamisalaan tai vaatii sitä asiakkaalta.