a biztosító kiberbiztosításhoz kérdőívet akar kitölteni, hogyan kezdjek hozzá

A kiberbiztonsági kötvényre vonatkozó kérdőívek ugyanazokat a tíz intézkedést követik

A biztosító kérdőíve szinte mindig ugyanazt a területet fedi le, mint egy ügyfél NIS2-kérdőíve: hozzáférés-kezelés, MFA, biztonsági másolatok, javítási politika, incidensmegválaszolás. Ez nem véletlen — a biztosítók elfogadási kérdéseiket mára nagyrészt a NIS2-irányelv 21. cikk (2) bekezdésének tíz intézkedésére, valamint az ISO/IEC 27001 A melléklet felügyeleti intézkedéseire alapozzák. Aki ezt a két keretrendszert már egy ügyfélnél kitöltötte, az válaszokat szinte változatlanul átveheti a biztosítónak. A különbség a hangnemben van: az ügyfél politikára kérdez, a biztosító gyakran egy kicsit specifikusabban kérdez rá — például hogy az MFA kötelező-e az összes rendszergazdai fiókra, nem csak "jelen van".

Ezért először egészítse ki a láncdossziert azokra a pontokra, ahol a biztosító a szokásosnál mélyebbre megy: többtényezős hitelesítés vállalati rendszerekhez, biztonsági incidensek kezeléséről szóló eljárásról és a biztonsági mentés és helyreállítási intézmények. A biztosítók rendszeresen érdeklődnek a javítási folyamatról is; ez a válasz a a sebezhetőségek kezelésére vonatkozó eljárás alatt található. Ha a vállalkozásnak nincs ISO 27001-tanúsítványa, az önmagában általában nem jelent problémát — a biztosítók általában elfogadnak a tanúsítvány nélküli intézkedésekre vonatkozó leírást is, feltéve, hogy a válaszok konkrétak és nem csak "igen, van irányelvünk".

Miért van átfedés e két keretrendszer között

Az átfedés tartalmi jellegű, nem véletlen: a NIS2 21. cikk (2) bekezdése tíz intézkedési kategóriát sorol fel (kockázatelemzés, incidenskezelés, üzletmenet-folytonosság, lánc biztonsága, sebezhetőségi politika, kriptografia, hozzáférés-kezelés, MFA, képzés és hatékonyság tesztelése), az ISO/IEC 27001 A melléklete pedig szinte ugyanezeket a témákat fejti ki ellenőrizhető felügyeleti intézkedésekké. A biztosítók ezeket a keretrendszereket objektív mérceként használják, mivel azok külső dokumentáltak és ellenőrizhetők — nem azért, mert a biztosító maga a Kiberbiztonsági törvény alá tartozik, vagy ezt az ügyféltől megköveteli.