draudimo bendrovė prašo saugumo klausimyno kibernetinio saugumo draudimui, ką man daryti

Draudimo bendrovės užduoda tas pačias dešimt priemonių, tačiau nori įrodymų

Kibernetinio saugumo draudimo bendrovė užduoda klausimus, kurie daugiausia sutampa su NIS2 21 straipsnio 2 dalimi: incidento reagavimas, atsarginės kopijos, MFA, plitimo politika, tiekėjų valdymas. Skirtumas nuo kliento NIS2 klausimyno yra tas, kad draudimo bendrovė nori konkretaus įrodymo, o ne politikos ketinimo. Ten, kur grandinės partneris patenkintas atsakymu "taip, turime procedūrą", draudimo bendrovė dažnai nori žinoti, ar yra procedūra saugumo incidentams tvarkyti įskaitant atkūrimo laiką, ir ar daugiaaspektė autentifikacija privalomas visoms išorinėms prieigoms ar tik administratoriaus paskyrose. Šis granuliavimo skirtumas yra vieta, kur atsiranda daugiausia abejonių: atsakymas, kuris tinka viename klausimyne, gali būti per bendras kitame.

Jei priemonė yra, bet nenuosekliai taikoma visur — pavyzdžiui, MFA naudojama debesų aplinkoje, bet ne VPN — įprastas atsakymas yra "iš dalies" su trumpu paaiškinimu, o ne "taip", dėl kurio padengimas vėliau gali būti ginčijamas. Dėl klausimų apie atsarginės kopijos ir nepredvėlės priemonės ir apie saugumo reikalavimus savoms tiekėjams galioja tas pats: draudimo įmonė dažnai vėliau, pateikus ieškinį, patikrina, ar atsakymas buvo teisingas. ISO 27001 sertifikaras šį procesą žymiai paspartina, nes sertifikatas Priedo A priemonės jau buvo nepriklausomai patikrintos — be sertifikato kiekvienam klausimui turite pateikti įrodymą patys.

Kodėl draudimo įmonės užduoda šiek tiek daugiau klausimų nei dešimt NIS2 priemonių

Dešimt priemonių, nurodytų NIS2 21 straipsnio 2 dalyje, yra beveik kiekvieno saugumo klausimyno pagrindas, įskaitant kibernetinio draudimo įmokas, tačiau draudimo įmonės dažnai tai papildo klausimais, kurie yra specifiniai ieškinių rizikos vertinimui — pavyzdžiui, MFA apimtis arba incidento atsigavimo laikas. ISO/IEC 27001 Priede A pateikiamos kiekvienos priemonės kontrolės priemonės, kuriomis galite pagrįsti atsakymą, o tai ypač svarbu, nes draudimo įmonės dažniau prašo įrodymų nei kiti atsakingieji asmenys.