Mans apdrošinātājs vēlas kiberdraudzības jautājumā, kā es to aizpildu

Apdrošinātāja saraksts bieži aptver desmit pasākumus no NIS2

Apdrošinātāja jautājumnieks parasti ir plašāks nekā klienta formāts, kurš pats ietilpst Kiberdrošības likuma darbības jomā, taču tas aptver tās pašas tēmas. Apdrošinātāji izmanto savus jautājumnikeus, jo prēmija un atlīdzība ir atkarīgas no riska, un šie jautājumi lielā mērā balstās uz desmit pasākumiem no NIS2 21. panta 2. punkta: riska analīze, incidentu pārvaldīšana, nepārtrauktība, piegādes ķēde, ievainojamības, pārbaude, izpratne, kriptogrāfija, piekļuves politika un MFA. Ja tu atpazīsti šo modeļi, vari bieži vien viens pret viens atkārtoti izmantot atbildes, kas jau atrodas ķēdes failā, pat ja apdrošinātājs izmanto citus vārdus nekā iepriekšējais saraksts.

Divi jautājumi apdrošinātājiem parādās biežāk nekā parastajās klientu jautājumnieku: vai ir trenēta incidentu reaģēšana (ne tikai vai ir procedūra drošības incidentiem, bet vai tā ir arī testēta) un vai pastāv konkrēts atjaunošanas plāns ar atjaunošanas laiku papildus vispārējam jautājumam par datu kopijas un avārijas nodrošinājums. Ja jums nav šīs vingrinājuma vai konkrētā plāna, tad "nē" ir pareizais atbildes — apdraudētājs jautā par praksi, nevis par nolūku. Ja trūkst ISO 27001 sertifikāta, tas pats par sevi nav problēma: daudzi apdraudētāji pieņem arī atsevišķus pasākumus bez sertifikācijas.

No kurienes nāk desmit pasākumi

Desmit pasākumu sadalījums ir noteikts Direktīvas (ES) 2022/2555 21. panta 2. punktā un ir atrodams arī ISO/IEC 27001 A pielikumā, kurā detalizēti izstrādāti tie paši kontroles pasākumi. Apdraudētāji bieži savus jautājumus formulē brīvāk nekā direktīvas tekstā, bet pamatstruktura ir tie paši desmit temati — tāpēc aizpildīšana ir ātrāka, ja zināt, kāds jautājums atbilst kādam pasākumam.