šio saugumo klausimyno užpildymas mane ilgai užima

Jei tie patys dešimt temų, tik kitame formate

Tai beveik visada atsiranda dėl vieno dalyko: kiekvienas klientas paverčia tuos pačius dešimt 2 straipsnio 2 dalies NIS2 priemonių į savo žodžius ir savo tvarką. Vienas portalas klausia "ar turite incidento atsakymo procesą", kitas "aprašykite savo procedūrą dėl saugumo incidentų" — tai tas pats klausimas kaip ar yra procedūra saugumo incidentams spręsti?. Be vieno centralizuoto failų katalogo, jūs tą atsakymą ieškote dešimt kartų per metus, dešimtyje skirtingų formuluočių.

Laikas nėra klausimų atsakymo metu, jis yra patikrinimo paieškos metu. Koks politikos dokumentas, kuri versija, koks sertifikatas — to ieškojimas ir atsakymo perrašymas pagal tos konkrečios kliento formatą, tai yra visa diena. Klausimai apie daugiaaspektė autentifikacija, apie prieigos politika ir turto valdymas ir apie saugumo reikalavimus savo tiekėjams pasirodo beveik kiekvienoje sąraše, tik kitaip suskirstyti. Kas padarys vieną kartą saugumo reikalavimams pagal klausimų tipą nustatyti, kas yra faktinis atsakymas ir kur yra įrodymas, po to jums reikia tik atpažinti, kurie iš dešimties temų yra klausiami — ir tai yra kelių minučių darbas, o ne diena.

Susiję su tais pačiais dešimtimi priemonių

2022/2555 direktyvos 21 straipsnio 2 dalyje minimos dešimt priemonių, kurioms beveik kiekvienas saugumo klausimynas — nesvarbu, ar jis iš banko, draudimo bendrovės ar didelio kliento — tiesiogiai ar netiesiogiai griebiasi: nuo rizikos valdymo ir incidento sprendimo iki kriptografijos ir prieigos valdymo. Kas taiko ISO/IEC 27001, atpažins tas pačias temas A priede esančiose kontrolės priemonėse, o tai paaiškina, kodėl klausimynas apie "informacijos saugumą" ir apie "NIS2 atitiktį" didžiąja dalimi klausia tų pačių faktų. Nyderlandų Kibernetinio saugumo įstatymas, kuris šią direktyvą iš dalies paverčia, keičiasi nuo 2026 rugpjūčio 15 d., nekeičia tos pagrindinės struktūros — klausimai, kuriuos dabar klientai jau užduoda, todėl išlieka iš esmės tais pačiais klausimais po tos datos.