Bezpečnostný dotazník zvyčajne požaduje pevnú sadu dôkazov: politiku informačnej bezpečnosti, prehľad toho, kto má prístup ku ktorým systémom, plán pre prípad, že by sa niečo pokazilo, a dôkaz, že to aj naozaj testujete. Konkrétne ide často o strategický dokument, analýzu rizík, plán reagovania na incidenty, správu z nedávneho testu penetrácie (kontrolovaný pokus preniknúť do vašich systémov, aby sa zistili slabé miesta), prehľad záloh a postupov obnovy a dôkaz, že zamestnanci absolvovali školenie o bezpečnosti.
Detail, ktorý hrá v tomto type dotazníka najviac úlohu, nie je obsah týchto dokumentov, ale dátum na nich. Politika informačnej bezpečnosti staršia tri roky, správa z penetračného testu bez jasného dátuma odsúhlasenia alebo prehľad školení, ktorý neukazuje, kedy bola posledná relácia: to sú presne veci, na ktoré si odberateľ všíma nedostatky alebo ktoré ich žiada doplniť. Samotný dotazník často testuje nielen to, či určité opatrenie existuje, ale aj to, či je aktuálne.
Prečo dostáva dátum taký veľký dôraz
Bezpečnostný dotazník sa pokúša poskytnúť snímok súčasného stavu dodávateľa, nie toho, ako sa mal pred dvoma rokmi. Test penetrácie, ktorý je starý dva roky, hovorí veľa o systémoch, ktoré boli medzičasom aktualizované alebo vymenené. Strategický dokument, ktorý nebol revidovaný od reorganizácie, možno už nepokrýva súčasný stav. Odberatelia, ktorí sami podliehajú dohľadu, napríklad na základe pravidiel týkajúcich sa bezpečnosti siete a informácií, často túto očakávanie aktuality prenášajú na svojich vlastných dodávateľov. To vysvetľuje, prečo portál niekedy explicitne požaduje dátum platnosti vedľa samotného dokumentu.
Pre podniky, ktoré patria do rozsahu NIS2, alebo ktoré sa zaoberajú s organizáciou, ktorá to robí, sa tieto dôkazy často objavujú v pevnej štruktúre opatrení. Čo presne táto smernica požaduje a pre koho, čítajte v databáze vedomostí; tento článok je o samotných dokumentoch, nie o rozsahu aplikácie pravidiel. vedomostnej základni s vysvetlením pre každú tému poskytuje prehľad.
Čo väčšinou musíte a nemusíte dodať
Nie každý odberateľ požaduje rovnakú hĺbku. Veľký klient s vlastným oddelením nákupu pre bezpečnosť niekedy požaduje kompletný penetračný test; menší klient je často spokojný so zhrnutím alebo vyhlásením, že test prebehol a kedy. Čo presne musíte zdieľať, závisí od portálu a dotazníka daného konkrétneho odberateľa. Nie je zvykom zdieľať zdrojový kód, podrobné zásady hesiel alebo interné schémy siete; tieto informácie zvyčajne nepatria do dotazníka dodávateľa a starostlivý odberateľ ich ani nepožaduje.
Jedno dossier, viacero dotazníkov
Ťažkosť s týmito dokumentami nie je v tom, že chýbajú, ale v tom, že sú rozptýlené: politika pri IT, prehľad školení v HR, správa z penetračného testu u externej strany, ktorá test vykonala. Pri ďalšom dotazníku ich opäť zbierame dokopy a znovu si overujeme, či sú dátumy stále správne. Centrálne reťazové dossier drží tieto dokumenty a ich dátum platnosti na jednom mieste, aby ste pri novom dotazníku videli, ktoré odpovede sú stále aktuálne a ktoré je potrebné aktualizovať. Supplia na základe toho vyplní otázky v zozname vášho klienta; vy potvrdíte každú odpoveď a sami si ju podáte na portáli svojho klienta.
Či vášmu podniku v súčasnosti chýbajú dokumenty, ktoré sú často požadované, vidíte rýchlo s bezplatnou kontrolou, ktorá vám v niekoľkých otázkach ukáže, na čom ste stoja. Ako sa údaje v takomto dossieri spracúvajú a chránia, čítajte na stránke o ochrane osobných údajov a bezpečnosti údajov. A ak chcete vedieť, ako Supplia presne získava odpovede, ktoré za vás vyplní, nájdete to vysvetlené v vysvetlenie o tom, ako systém funguje.
Pre situáciu vo vašej vlastnej spoločnosti so vašimi vlastnými systémami a rizikami zostáva rozhovor so špecializovaným IT bezpečnostným odborníkom alebo právnikom najspoľahlivejším poradenstvom. Tento článok poskytuje prehľad toho, čo sa často pýta, nie posúdenie toho, čo je v prípadne potrebné alebo dostatočné.
Chcete vidieť, ktoré dokumenty vo vašej vlastnej spoločnosti sú už v poriadku a ktoré potrebujú aktualizáciu? Vykonajte bezplatnú rýchlu kontrolu alebo si prelistujte témy v knowledge base, aby ste videli, čo je relevantné pre vašu situáciu.