l'assicuratore vuole compilare la lista di controllo per l'assicurazione informatica come mi organizzo

I questionari delle polizze cyber seguono le stesse dieci misure

Il questionario di un assicuratore copre quasi sempre lo stesso ambito di un questionario NIS2 di un cliente: controllo degli accessi, MFA, backup, policy di patching, risposta agli incidenti. Non è una coincidenza — gli assicuratori basano ormai in larga misura le loro domande di accettazione sulle dieci misure dell'articolo 21, paragrafo 2, della direttiva NIS2, e sulle misure di controllo dell'Allegato A dello standard ISO/IEC 27001. Chi ha già compilato questi due framework per un cliente può trasferire le risposte praticamente invariate all'assicuratore. La differenza sta nel tono: un cliente chiede informazioni sulla policy, un assicuratore spesso scava un po' più a fondo — ad esempio se l'MFA è obbligatorio per tutti gli account amministratore, non solo "presente".

Per questo, compilate prima il fascicolo della catena di fornitura nei punti in cui l'assicuratore approfondisce più del solito: autenticazione a più fattori per i sistemi aziendali, la procedura in caso di incidenti di sicurezza e la struttura di backup e ripristino. Gli assicuratori chiedono regolarmente anche il processo di patching; la risposta si trova sotto il processo per le vulnerabilità. Se l'azienda non dispone di una certificazione ISO 27001, di norma questo non è un problema in sé — gli assicuratori generalmente accettano anche una descrizione delle misure senza certificazione, purché le risposte siano concrete e non dicano semplicemente "sì, abbiamo una policy".

Perché questi due framework si sovrappongono

La sovrapposizione è sostanziale, non casuale: l'articolo 21, paragrafo 2, NIS2 elenca dieci categorie di misure (analisi del rischio, gestione degli incidenti, continuità aziendale, sicurezza della catena di fornitura, policy sulle vulnerabilità, crittografia, controllo degli accessi, MFA, formazione e verifica dell'efficacia), e l'Allegato A dello standard ISO/IEC 27001 sviluppa praticamente gli stessi argomenti fino a trasformarli in misure di controllo verificabili. Gli assicuratori utilizzano questi framework come standard obiettivo perché sono documentati esternamente e controllabili — non perché l'assicuratore stesso rientri nell'ambito della Legge sulla cybersicurezza o lo richieda al cliente.