Un chestionar de securitate cibernetică solicită de obicei un set fix de documente justificative: o politică de securitate a informațiilor, o privire de ansamblu asupra cine are acces la ce sisteme, un plan pentru situații de criză și dovada că testați cu adevărat acest plan. În practică, se referă adesea la un document de politică, o analiză a riscurilor, un plan de răspuns la incidente, un raport dintr-o testare de penetrare recentă (o încercare controlată de a pătrunde în sistemele dvs., pentru a identifica punctele slabe), o privire de ansamblu asupra copiilor de rezervă și procedurilor de recuperare, și dovada că angajații au urmat o formare de sensibilizare.
Detaliul care joacă cel mai mult rol în acest tip de chestionar nu este conținutul acelor documente, ci data acestora. O politică de securitate a informațiilor veche de trei ani, un raport de testare de penetrare fără o dată de aprobare clară sau un rezumat al formării care nu arată când a fost ultima sesiune: acestea sunt exact lucrurile pe care un client le critică sau pentru care solicită completări. Chestionarul în sine testează adesea nu doar dacă o măsură există, ci dacă aceasta este actuală.
De ce data primește atât de mult accent
Un chestionar de securitate cibernetică încearcă să ofere o imagine de moment a modului în care un furnizor se situează acum, nu cum era situat cu doi ani în urmă. O testare de penetrare care are doi ani nu spune mult despre sistemele care au fost între timp actualizate sau înlocuite. Un document de politică care nu a fost revizuit de la o reorganizare poate să nu acopere situația actuală. Clienții care se află sub supraveghere, de exemplu prin regulile privind securitatea rețelelor și a informațiilor, transmit adesea această așteptare de actualitate propriilor furnizori. Aceasta explică de ce un portal cere uneori în mod explicit o dată de valabilitate alături de documentul în sine.
Pentru companiile care se încadrează în directiva NIS2, sau care fac afaceri cu o organizație care o face, aceste documente justificative apar adesea într-o formatare fixă de măsuri. Ce cere exact acea directivă și pentru cine, puteți citi în banca de cunoștințe; acest articol se referă la documentele în sine, nu la domeniul de aplicare al regulilor. banca de cunoștințe cu explicații pe fiecare subiect oferă un rezumat al acesteia.
Ce trebuie de obicei să furnizați și ce nu
Nu fiecare client solicită aceeași nivel de detaliu. Un client mare cu propriul departament de achiziții pentru securitate cibernetică cere uneori raportul complet de testare de penetrare; un client mai mic este adesea deja mulțumit cu un rezumat sau o declarație că s-a testat și când. Ceea ce trebuie concret să distribuiți depinde de portalul și chestionarul respectivului client specific. Nu este obișnuit să partajați codul sursă, politica parolei în detaliu, sau schemele de rețea interne; acele informații de obicei nu au loc într-un chestionar al furnizorului și un client atent nici nu cere acestea.
Un dosar, mai multe chestionare
Dificultatea cu aceste documente nu este că lipsesc, ci că sunt dispersate: politica la IT, rezumatul formării la HR, raportul de testare de penetrare la terța parte care a efectuat testul. La următorul chestionar, le căutați din nou împreună și verificați din nou dacă datele sunt încă corecte. Un dosar central al lanțului ține aceste documente și data lor de valabilitate într-un singur loc, astfel încât atunci când apare un nou chestionar vedeți care răspunsuri sunt încă actuale și care au nevoie de o actualizare. Supplia completează pe această bază întrebările din lista clientului dvs.; confirmați fiecare răspuns și depuneți personal la portalul clientului dvs.
Dacă compania dvs. are în prezent documente lipsă care sunt solicitate frecvent, o vedeți rapid cu verificarea gratuită care în câteva întrebări vă arată unde vă situați. Cum sunt tratate și protejate datele dintr-un asemenea dosar, puteți citi pe pagina privind confidențialitatea și protecția datelor. Și dacă doriți să aflați cum exact Supplia obține răspunsurile pe care vi le completează, aceasta este explicat pe explicația despre cum funcționează sistemul.
Pentru situația propriei dumneavoastră companii, cu propriile dumneavoastră sisteme și riscuri, o conversație cu un specialist IT în securitate sau un jurist rămâne cel mai de încredere sfat. Acest articol oferă o prezentare generală a ceea ce se cere adesea, nu o evaluare a ceea ce este necesar sau suficient în cazul dumneavoastră.
Doriți să vedeți care sunt documentele din propria dumneavoastră companie deja în ordine și care au nevoie de actualizare? Efectuați scannarea rapidă gratuită sau răsfoiți subiectele din baza de cunoștințe pentru a vedea ce este relevant pentru situația dumneavoastră.