L'errore più frequente
L'errore più comune in un questionario sulla sicurezza informatica non è compilare qualcosa di sbagliato, ma compilare qualcosa che non si può più provare. Una risposta come "facciamo backup" o "la politica delle password è stata implementata" viene spesso digitata a memoria, mentre il cliente in realtà chiede la situazione attuale: la misura è ancora valida ora e c'è un documento che lo conferma. Questa differenza tra ciò che pensate di fare e ciò che potete provare è il nucleo di quasi ogni rifiuto.
La soluzione non sta nel formulare meglio, ma in un ordine diverso: prima mettere in ordine i vostri documenti, solo allora rispondere. Chi procede al contrario, compila sulla base della memoria e corre il rischio che la risposta non corrisponda più alla realtà.
Perché questo accade più spesso di quanto pensiate
Un questionario sulla sicurezza informatica raramente arriva da solo. Una banca invia un formato, un grande cliente invia un altro formato e un assicuratore pone domande leggermente diverse — tutte più o meno su gli stessi argomenti. Le autorità di vigilanza e le organizzazioni di settore si riferiscono regolarmente alle dieci misure menzionate nella direttiva NIS2, come il controllo degli accessi, la risposta agli incidenti e la sicurezza della catena di approvvigionamento. Chi non prende questi dieci argomenti come punto di partenza fisso, risponde a ogni elenco da zero, ed è qui che nascono le incoerenze.
Errore 1: la stessa risposta, solo formulata diversamente
Poiché ogni portale utilizza un formato proprio, lo stesso fatto viene spesso scritto diversamente. In un elenco scrivete che l'accesso è "limitato ai dipendenti autorizzati", in un altro che esiste "un modello di ruoli". Entrambi possono essere veri, ma quando un cliente mette fianco a fianco le risposte — e questo accade sempre più spesso, anche automaticamente — le differenze spiccano. Non perché c'è qualcosa di sbagliato, ma perché sembra incoerente.
Errore 2: una misura sulla carta, non in pratica
Un documento di policy elaborato tre anni fa e mai aggiornato non è una prova che una misura sia ancora applicata ora. Le autorità di vigilanza e i clienti non guardano solo l'esistenza di un documento, ma anche la data e chi l'ha approvato. Compilare un questionario sulla base di un documento obsoleto è il secondo errore più comune.
Errore 3: documenti di prova scaduti che nessuno sostituisce
I certificati, i rapporti di penetration test e i certificati di assicurazione hanno una validità. Chi non li tiene traccia centralmente, spesso scopre solo al momento di compilare un nuovo elenco che un documento è scaduto. Questo richiede tempo e a volte l'intera presentazione deve aspettare finché non arriva un nuovo documento. leggete per argomento quali documenti di prova sono solitamente richiesti e quando mediamente scadono.
Errore 4: compilare la scope troppo ampia o troppo ristretta
Una domanda sulla "vostra organizzazione" a volte viene risposta come se riguardasse una sola sede, mentre il cliente intende l'intera persona giuridica — o viceversa. Questo sembra un dettaglio, ma determina se la risposta è sostanzialmente corretta. In caso di dubbio sulla portata di una domanda, è consigliabile verificare la definizione nello stesso questionario o sottoporre la domanda direttamente al cliente.
Come evitarlo nella pratica
La maggior parte di questi errori si verificano perché le stesse informazioni vengono conservate in più posti separatamente: in caselle di posta, in file Excel, nella testa di un dipendente. Una panoramica centrale delle misure e dei documenti di prova, con una data di ultimo controllo chiaramente indicata per ogni documento, evita la maggior parte degli errori di cui sopra. Questa panoramica non deve essere ricostruita per ogni elenco; viene integrata non appena qualcosa cambia.
Supplia.eu è stato costruito per supportare esattamente questa trasparenza: il sistema riconosce le domande in un elenco caricato e le completa dal vostro fascicolo della catena, dopodiché voi stessi confermete per ogni risposta se è corretta. Non effettuiamo valutazioni né spiegazioni — il controllo sostanziale e l'invio al portale del vostro cliente rimangono a vostro carico. Con poche domande vedete rapidamente dove si trova il vostro fascicolo in questo momento, e su la pagina sulla nostra metodologia è indicato esattamente da dove provengono le informazioni.
Ciò che questo non sostituisce
Questo articolo descrive modelli generali, non una valutazione delle vostre risposte o fascicolo specifici. Se una misura concreta soddisfa esattamente ciò che una banca, un assicuratore o un grande cliente richiede, dipende dalla formulazione della domanda di quella parte stessa. In caso di dubbi su una domanda specifica, è opportuno sottoporla all'acquirente, oppure consultare un avvocato per questioni legali. Su la pagina delle domande frequenti è disponibile una panoramica di ciò che facciamo e non facciamo.
Volete sapere se il vostro fascicolo evita già gli errori più comuni? Effettuate la scansione rapida gratuita o sfogliate gli argomenti nella knowledge base — entrambi sono accessibili senza impegno.