Upitnik o kibernetskoj sigurnosti obično traži fiksni skup dokaza: politiku zaštite informacija, pregled tko ima pristup kojim sustavima, plan za slučaj problema i dokaz da to stvarno testirate. Konkretno, često se radi o dokumentu s politikom, analizi rizika, planu reagiranja na incidente, izvještaju nedavnog testa penetracije (kontrolirani pokušaj upada u vaše sustave kako bi se pronašle slabe točke), pregledu sigurnosnih kopija i postupaka oporavka te dokazu da su zaposlenici prošli obuku o svjesnosti.
Detalj koji je ključan kod ovog tipa upitnika nije sadržaj tih dokumenata već datum na njima. Politika zaštite informacija stara tri godine, izvještaj o penetracijskom testu bez jasnog datuma ovjeravanja ili pregled obuke koji ne pokazuje kada je bila posljednja sesija: to su upravo stvari na koje afnemer kritizira ili traži dopunu. Upitnik obično ne provjerava samo postoji li mjera već je li ona aktualna.
Zašto datum nosi takvu težinu
Upitnik o kibernetskoj sigurnosti pokušava dati snimak kako je dobavljač trenutno situiran, a ne kako je bio situiran prije dvije godine. Pentest koji je star dvije godine malo govori o sustavima koji su u međuvremenu ažurirani ili zamijenjeni. Dokument s politikom koji nije revidiran od reorganizacije možda više ne pokriva trenutnu situaciju. Afnemeri koji sami padaju pod nadzor, primjerice kroz pravila vezana uz mrežnu i informatičku sigurnost, često prosleđuju to očekivanje aktualnosti svojim vlastitim dobavljačima. To objašnjava zašto portal ponekad eksplicitno traži datum važenja pored samog dokumenta.
Za poduzeća koja padaju pod NIS2-direktivu ili koja posluju s organizacijom koja to čini, ti dokazi se često pojavljuju u fiksnom rasporedu mjera. Što ta direktiva točno traži i za koga, čitajte u bazi znanja; ovaj članak govori o samim dokumentima, a ne o dosegu pravila. bazi znanja s objašnjenjima po temama daje pregled toga.
Što obično trebate i što ne trebate dostaviti
Ne sve afnemere traže istu razinu detaljnosti. Veliki klijent s vlastitom odjelu za nabavu kibernetske sigurnosti ponekad traži puni izvještaj o penetracijskom testu; manji klijent je često zadovoljan s izvješćem ili izjavom da je testirano i kada. Ono što konkretno trebate podijeliti ovisi o portalu i upitniku tog specifičnog afnemera. Nije uobičajeno dijeliti izvorni kod, politiku lozinki u svim detaljima niti interne dijagrame mreže; te informacije obično nemaju mjesta na upitniku za dobavljače i pažljiva afnemer ih ni ne traži.
Jedno dossier, više upitnika
Problem s tim dokumentima nije što nedostaju već što su raspoređeni: politika kod IT-a, pregled obuke kod HR-a, izvještaj o penetracijskom testu kod eksterne strane koja je provela test. Kod sljedećeg upitnika ih ponovno tražite zajedno i ponovo provjeravate hoće li datumi biti točni. Centralno dossier lanca čuva te dokumente i njihov datum važenja na jednom mjestu, tako da pri novom upitniku vidite koja su odgovora još aktualna a koja trebaju ažuriranje. Supplia na temelju toga popunjava pitanja na listi vašeg klijenta; vi potvrđujete po odgovoru i sami predajete kod portala vašeg klijenta.
Trebate li dokumentima koji se često traže, brzo ćete vidjeti s pomoću besplatne provjere koja u nekoliko pitanja pokazuje gdje stojite. Kako se podaci u tom dossieru tretiraju i štite, čitajte na stranici o privatnosti i zaštiti podataka. I ako želite znati kako Supplia točno dobiva odgovore koje za vas ispunjava, to je objašnjeno na objašnjenje kako sustav funkcionira.
Za situaciju vašeg vlastitog poslovanja, s vašim vlastitim sustavima i rizicima, razgovor sa specijaliziranim stručnjakom za IT sigurnost ili pravnikom ostaje najpouzdavnije savjetovanje. Ovaj članak daje pregled onoga što se često pita, a ne ocjenu onoga što je u vašem slučaju potrebno ili dovoljno.
Želite li vidjeti koje dokumente u vašem vlastitom poslovanju već ispravno postoje i koji trebaju ažuriranje? Obavite besplatnu quick-scan analizu ili pregledajte teme u bazi znanja da vidite što je relevantno za vašu situaciju.