minden ügyfélnek más a kiberbiztonsági kérdőíve, mindig elölről kell kezdenem

Minden lista más sorrendben tartalmazza ugyanezen tíz intézkedést

Nem, a legtöbb esetben nem kell elölről kezdeni — a kérdések szóhasználatban különböznek, de szinte minden ügyfélnél ugyanazokat az alapvető pontokat fedik le. Az egyik bank az "incident response procedure" után kérdez, a másik azt, hogy "hogyan kezelik a biztonsági incidenseket", a harmadik pedig a "kiberincidensek detektálása és bejelentése" után. Ez három kérdés, biztonsági incidensek kezelésének eljárásáhozhárom kérdés, ugyanaz a válasz ugyanabból a dossziéból. Ugyanez vonatkozik a hozzáférésre, a biztonsági mentésekre, a sebezhetőségi menedzsmentre és a beszállítói lánc biztonságára: szinte minden kérdőív a NIS2 21. cikk 2. bekezdésből származó tíz intézkedés egy részhalmazára redukálódik, még akkor is, ha az ügyfél maga nem hivatkozik a NIS2-re.

A munka tehát nem az abban áll, hogy újra és újra megfogalmazzuk a válaszokat, hanem abban, hogy felismerjük, mely kérdés mely alapvető ponthoz tartozik. A "jelszókezelési szabály és kétfaktoros hitelesítés" kérdése egyszerűen többfaktoros hitelesítés más szavakkal megfogalmazva. A "beszállítói kockázat" vagy "harmadik fél kockázata" kérdése pedig biztonsági követelmények a saját szállítókkal szemben. Amint ez a dosszie létezik, minden következő lista főként illesztés és megerősítés, nem pedig újraírás.

Ennek alapja: a NIS2 21. cikk 2. bekezdése és az A melléklet

A NIS2-irányelv (2022/2555) 21. cikkének 2. bekezdése tíz intézkedési kategóriát nevez meg — kockázatelemzés, incidenskezelés, üzletmenet-folytonosság, lánc biztonság, sebezhetőségi politika, kriptográfia, hozzáférési szabály, MFA, tudatosság és intézkedések tesztelése. Szinte minden bank, biztosító vagy nagyvállalati ügyfél biztonsági kérdőíve az ugyanezen tíz pont egy saját fordítása (egy része), amelyet gyakran az ISO/IEC 27001 A mellékletéből szó szerint származó kérdésekkel egészítenek ki. Ez magyarázza, miért változik a szóhasználat, de az alapvető tartalom nem: ez két rögzített keret, nem ezer egyedi ügyfélkívánság.