l'assicuratore chiede una lista di controllo sulla sicurezza informatica per l'assicurazione informatica cosa devo fare

Gli assicuratori pongono le stesse dieci misure, ma vogliono prove

Un assicuratore informatico pone domande che si sovrappongono in gran parte all'articolo 21 paragrafo 2 della NIS2: risposta agli incidenti, backup, MFA, politica di patching, gestione dei fornitori. La differenza rispetto a un questionario NIS2 di un cliente è che l'assicuratore vuole prove concrete, non intenzioni politiche. Dove un partner della catena si accontenta di "sì, abbiamo una procedura", l'assicuratore spesso vuole sapere se esiste una procedura per la gestione degli incidenti di sicurezza incluso il tempo di ripristino, e se autenticazione multifattore è obbligatorio per tutti gli accessi esterni o solo per gli account admin. Questa differenza di granularità è dove sorge la maggior parte dei dubbi: una risposta che è sufficiente per un questionario, è troppo vaga per l'altro.

Se una misura esiste ma non è coerentemente applicata ovunque — ad esempio MFA nell'ambiente cloud ma non sulla VPN — la risposta comune è "parzialmente" con una breve spiegazione, non un "sì" che potrebbe mettere in discussione la copertura in seguito. Per le domande su backup e piani di emergenza e su requisiti di sicurezza per i fornitori propri vale lo stesso: l'assicuratore spesso verifica successivamente, in caso di sinistro, se la risposta era corretta. Un certificato ISO 27001 accelera notevolmente questo processo, perché il certificato le misure dell'Annex A già consente di verificare in modo indipendente — senza certificato devi fornire da solo le prove per ogni domanda.

Perché gli assicuratori chiedono leggermente più delle dieci misure della NIS2

Le dieci misure dell'articolo 21 paragrafo 2 della NIS2 formano il nucleo di quasi ogni questionario sulla sicurezza, inclusi gli assicuratori informatici, ma gli assicuratori spesso lo completano con domande specifiche per la valutazione del rischio in caso di sinistro — come l'ambito di applicazione dell'MFA o il tempo di ripristino dopo un incidente. ISO/IEC 27001 Annex A specifica per ogni misura i controlli di gestione con cui puoi supportare una risposta, il che è particolarmente rilevante perché gli assicuratori chiedono più frequentemente prove rispetto ad altri interlocutori.