a biztosító kiberbiztonsági kérdőívet kér a kiberbiztosításhoz, mit tegyek

A biztosítók ugyanazokat a tíz intézkedést kérdezik, de bizonyítékot akarnak

Egy kibervédelmi biztosító olyan kérdéseket tesz fel, amelyek nagyrészt átfedésben vannak az NIS2 21. cikk (2) bekezdésével: incidenskezelés, biztonsági másolatok, MFA, javítási politika, szállítókezelés. Az ügyfél NIS2-kérdőívétől való különbség az, hogy a biztosító konkrét bizonyítékot akar, nem politikai szándékot. Ahol egy keretpartner megelégedett azzal, hogy "igen, van eljárásunk", a biztosító gyakran azt szeretné tudni, hogy van-e eljárás a biztonsági incidensek kezelésére beleértve a helyreállítási időt, és hogy többfaktoros hitelesítés kötelező-e az összes külső hozzáférésre vagy csak az adminisztrátori fiókokra. Ez a granularitáskülönbség az, ahol a legtöbb bizonytalanság felmerül: egy olyan válasz, amely az egyik kérdőívnél elegendő, a másiknál túl általános lehet.

Ha egy intézkedés létezik, de nem alkalmazható következetesen — például az MFA a felhőkörnyezetben van, de a VPN-en nincs —, az szokásos válasz az "részben" rövid magyarázattal, nem egy olyan "igen", amely később a fedezetet vitássá teheti. Az alábbi kérdésekre vonatkozóan: biztonsági mentések és katasztrófa-helyreállítás és a a saját szállítókra vonatkozó biztonsági követelmények ugyanez érvényes: a biztosító gyakran utólag, egy biztosítási eset során vizsgálja meg, hogy a válasz helyesen történt-e. Az ISO 27001-tanúsítvány jelentősen felgyorsítja ezt a folyamatot, mivel tanúsítvány az Annex A-intézkedéseket már függetlenül vizsgálja — tanúsítvány nélkül minden kérdéshez saját magadnak kell bizonyítékot szolgáltatnod.

Miért kérdeznek a biztosítók valamivel többet, mint az NIS2 tíz intézkedése

Az NIS2 21. cikk (2) bekezdésének tíz intézkedése szinte minden biztonsági kérdőív, a kibervédelmi biztosítások is beleértve, magját képezi, de a biztosítók ezt gyakran kiegészítik az igénybevétel-felmérésre vonatkozó kérdésekkel egy biztosítási eset során — például az MFA hatóköre vagy az incidenseket követő helyreállítási idő. Az ISO/IEC 27001 Annex A intézkedésenként megadja az ellenőrzési intézkedéseket, amelyekkel alátámaszthatod a válaszokat, ami azért releváns, mert a biztosítók gyakrabban kérnek bizonyítékokat, mint más felek.