draudimo bendrovė nori užpildyti klausimyną kibernetinio saugumo draudimui, kaip aš tai atliekam

Kibernetinio saugumo poliso klausimynai atitinka tas pačias dešimt priemonių

Draudiko klausimynas beveik visada apima tą patį plotą kaip kliento NIS2 klausimynas: prieigos valdymas, MFA, atsarginės kopijos, pataisų politika, incidentų atsakas. Tai nėra atsitiktinumas — draudikai savo priėmimo klausimus dabar iš esmės grindžia dešimis priemonių kategorijomis iš NIS2 direktyvos 21 straipsnio 2 dalies ir ISO/IEC 27001 Priedo A valdymo priemonėmis. Kas jau užpildė šiuos du rėmus kliento atžvilgiu, gali atsakymus beveik be pakeitimų persiimti draudikui. Skirtumas yra tono: klienatas klausia apie politiką, draudika dažnai klausia šiek tiek konkrečiau — pavyzdžiui, ar MFA yra privaloma visoms administratoriaus sąskaitoms, ne tik „esančioms".

Todėl pirmiausia užpildykite grandinės dokumentą punktuose, kur draudika eina giliau nei įprasta: daugiafaktorinis autentifikavimas verslo sistemoms, das Verfahren bei Sicherheitsvorfällen ir atsarginių kopijų ir atkūrimo priemonęDraudikai taip pat reguliariai klausima apie pataisų procesą; tas atsakymas yra po žaliavų valdymo procesu. Jei įmonė neturi ISO 27001 sertifikato, tai pati savyje paprastai nėra problema — draudikai paprastai priima ir priemonių aprašą be sertifikato, jei atsakymai yra konkretūs ir nesako tik "taip, turime politiką".

Kodėl šie du rėmai sutampa

Sutapimas yra turinio, o ne atsitiktinis: NIS2 21 straipsnio 2 dalis nurodo dešimt priemonių kategorijų (rizikos analizę, incidento tvarkymą, verslo tęstinumą, grandinės saugumą, žaliavų politiką, kriptografiją, prieigos valdymą, MFA, mokymą ir veiksmingumo testavimą), o ISO/IEC 27001 Priedo A beveik tuos pačius klausimus detalizuoja į testuojamą valdymo priemonę. Draudikai naudoja šiuos rėmus kaip objektyvų standartą, nes jie yra išoriškai dokumentuoti ir patikrinami — ne todėl, kad draudika pati patenka į Kibernetinio saugumo įstatymą arba tai reikalauja iš kliento.