mano draudimo bendrovė nori kibernetinio saugumo klausimyno, kaip jį užpildyti

Draudimo bendrovės sąrašas dažnai apima dešimt NIS2 priemonių

Draudimo bendrovės klausimynas paprastai platesnis nei kliento formatas, kuris pats patenka į Kibernetinio saugumo įstatymą, tačiau apima tuos pačius dalykus. Draudimo bendrovės naudoja savo klausimyną, nes premija ir aprėptis priklauso nuo rizikos, o tie klausimai labai remiasi dešimiomis priemonėmis iš NIS2 21 straipsnio 2 dalies: rizikos analize, incidento tvarkymą, tęstinumu, tiekimo grandine, pažeidžiamumu, tikrinimą, žinomumą, kriptografiją, prieigos politiką ir MFA. Jei atpažįsti šį modelį, paprastai galima iš naujo panaudoti atsakymus, kurie jau yra grandinės byloje, net jei draudimo bendrovė naudoja kitus žodžius nei ankstesnis sąrašas.

Du klausimai draudimo bendrovėse pasitaiko dažniau nei įprastuose kliento klausimynuose: ar kibernetinio saugumo incidento atsakas buvo praktikuojamas (ne tik ar yra procedūra dėl saugumo incidentų, bet ar ji buvo išbandyta) ir ar yra konkretus atkūrimo planas su atkūrimo laiku šalia bendro klausimo apie atsarginės kopijos ir nepredvėlės priemonės. Jei neturite šio pratimo ar konkretaus plano, „ne sertifikavimas.

Iš kur kilę dešimt priemonių

Dešimties priemonių paskirstymas nurodytas Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje ir jį taip pat galima rasti ISO/IEC 27001 A priede, kuriame tos pačios kontrolės priemonės išsamiau nagrinėjamos. Draudikai dažnai formuluoja savo klausimus ne taip griežtai kaip direktyvos tekstas, tačiau pagrindinė struktūra yra tie patys dešimt tematų — todėl užpildymas vyksta greičiau, kai žinai, kuris klausimas priklauso kuriai priemonei.