Poisťovňa chce vyplniť dotazník na kybernetické poistenie, ako sa do toho pustím

Dotazníky na kyberpoisť nasledujú rovnakých desať opatrení

Dotazník poisťovne pokrýva takmer vždy rovnaké oblasti ako dotazník NIS2 od zákazníka: kontrola prístupu, MFA, zálohy, politika opráv, reagovanie na incidenty. To nie je náhoda — poisťovne teraz svoje akceptačné otázky do značnej miery zakladajú na desiatich opatreniach podľa článku 21 odsek 2 smernice NIS2 a na kontrolných opatreniach Prílohy A normy ISO/IEC 27001. Kto tieto dva rámce už vyplnil pre zákazníka, môže odpovede takmer bez zmien prevziať pre poisťovňu. Rozdiel spočíva v tóne: zákazník sa pýta na politiku, poisťovňa sa často pýta o niečo konkrétnejšie — napríklad či je MFA povinné pre všetky účty správcov, nie len "prítomné".

Preto najskôr doplňte reťazové spisy v bodoch, kde poisťovňa ide hlbšie, ako je obvyklé: viacfaktorová autentifikácia pre podnikové systémy, postupu pri bezpečnostných incidentoch a zálohovacia a obnovovacia služba. Poisťovne sa tiež pravidelne pýtajú na proces opráv; táto odpoveď je v časti proces na riešenie zraniteľností. Ak podnik nemá certifikáciu ISO 27001, zvyčajne to nie je samo o sebe problém — poisťovne zvyčajne akceptujú aj popis opatrení bez certifikácie, pokiaľ sú odpovede konkrétne a nehovoria len "áno, máme politiku".

Prečo sa tieto dva rámce prekrývajú

Prekrytie je obsahové, nie náhodné: článok 21 odsek 2 NIS2 uvádza desať kategórií opatrení (analýza rizík, spracovanie incidentov, kontinuita podniku, bezpečnosť reťazca, politika zraniteľností, kryptografia, kontrola prístupu, MFA, školenie a testovanie účinnosti) a Príloha A normy ISO/IEC 27001 vypracováva takmer rovnaké témy do overiteľných kontrolných opatrení. Poisťovne používajú tieto rámce ako objektívny štandard, pretože sú externe zdokumentované a overiteľné — nie preto, že by samotná poisťovňa podliehala zákonu o kybernetickej bezpečnosti alebo by to vyžadovala od zákazníka.