môj poisťovateľ chce zoznam otázok o kybernetickej bezpečnosti, ako ho vyplním

Zoznam poisťovne často pokrýva desať opatrení z NIS2

Zoznam otázok poisťovne je zvyčajne širší ako formát zákazníka, ktorý sám podlieha Zákonu o kybernetickej bezpečnosti, ale pokrýva rovnaké témy. Poisťovne používajú svoj vlastný zoznam otázok, pretože prémia a krytie závisia od rizika, a tieto otázky sa výrazne opierajú o desať opatrení z článku 21 bod 2 NIS2: analýza rizika, spracovanie incidentov, kontinuita, reťazec, zraniteľnosti, testovanie, informovanosť, kryptografia, politika prístupu a MFA. Ak si uvedomíš tento vzorec, potom môžeš odpovede, ktoré sú už v spise reťazca, zvyčajne používať jeden-na-jeden, aj keď poisťovňa používa iné slová ako predchádzajúci zoznam.

Dve otázky sa u poisťovní vyskytujú častejšie ako pri bežných zoznamoch otázok od zákazníkov: či bola incidentná odozva cvičená (nielen či existuje postup na bezpečnostné incidenty, ale aj či bola testovaná) a či existuje konkrétny plán obnovy s časom obnovy popri všeobecnej otázke o zálohách a núdzových opatreniach. Ak nemáš toto cvičenie alebo konkrétny plán, potom je "nie" správna odpoveď — poisťovňa sa pýta na prax, nie na úmysel. Ak chýba certifikát ISO 27001, to samo o sebe nie je problém: veľa poisťovní akceptuje aj jednotlivé opatrenia bez certifikácie.

Odkiaľ pochádzajú desať opatrení

Rozdelenie na desať opatrení sa nachádza v článku 21 bod 2 Smernice (EÚ) 2022/2555 a nachádza sa aj v prílohe A normy ISO/IEC 27001, ktorá podrobne spracováva rovnaké kontrolné opatrenia. Poisťovne si zvyčajne formulujú svoje otázky voľnejšie ako text smernice, ale základná štruktúra je rovnaká desať tém — preto je vyplnenie rýchlejšie, ak vieš, ktorá otázka patrí ku ktorému opatreniu.