mūsų draudimo bendrovė nori užpildyti kibernetinio saugumo klausimyną dėl poliso

Kibernetinio saugumo draudikai klausia desimt NIS2 priemoniu, o ne zymima

Draudiko bendrovės kibernetinio saugumo klausimynas paprastai atitinka tą pačią struktūrą kaip dešimt priemonių iš NIS2 direktyvos 21 straipsnio 2 dalies: rizikos analizė, incidentų valdymas, tęstinumas, grandinės saugumas, pažeidžiamumo valdymas, tikrinimas, žinių didinimas, šifravimas, prieigos politika ir MFA. Draudiko bendrovės naudoja šį skirstymą, nes jis tapo de facto standartu skiriant „pagrindinį tvarką Kibernetinio saugumo įstatymo todėl tai yra atskiras klausimas nei tai, ar draudimas apie tai klausia.

Kiekvienam iš tų dešimties punktų draudimas nori konkretaus atsakymo, o ne ketinimo. Kai rizikos analizė svarbu datiruota rizikos registras, nei politikos dokumentas be įgyvendinimo. Kai MFA dažnai sąrašas konkrečiai prašo el. pašto, VPN ir administratorių paskyrų atskirai — "taip" visam įmonei yra per grubiai. Jei priemonė trūksta, tada "dar neįdiegta, suplanuota [data]" yra naudingesnis atsakymas nei nešvarus "taip" arba tuščias laukas: draudikai dažniau nustato kainą remiantis skaidriais trūkumais nei remiantis puikiai užpildytu sąrašu, kuris pasirodius žalai negalioja.

Pagrindimas: NIS2 21 straipsnio 2 dalis ir ISO 27001 Priedas A

Dešimt priemonių, nurodytų NIS2 21 straipsnio 2 dalyje, sudaro pagrindą, kuriame beveik kiekvienas kibernetinės saugos draudikis grindžia savo klausimyną, o jei jau turite ISO/IEC 27001 sertifikatą, tose pačiose kategorijose atpažįstate ir tos normos A priedą — su ta išlyga, kad ISO sertifikas nepriklausomas įgyvendinimo auditas, o drauda pati nieko nekontroliuoja ir pasitiki savideklaracija sąraše.