moj zavarovalec želi vprašalnik o ciber varnosti, kako ga izpolnim

Seznam zavarovalnice pogosto pokriva deset ukrepov iz NIS2

Vprašalnik zavarovalnice je običajno širši kot format stranke, ki sama sodi pod Zakon o kibernetski varnosti, vendar pokriva ista področja. Zavarovalnice uporabljajo svoj vprašalnik, ker sta premija in pokritje odvisna od tveganja, in vprašanja se naslanjajo na deset ukrepov iz člena 21 odstavka 2 NIS2: analizo tveganja, obravnavo incidentov, poslovni kontinuitet, verigo dobave, ranljivosti, preverjanje, ozaveščenost, kriptografijo, politiko dostopa in MFA. Če prepoznaš ta vzorec, lahko odgovore, ki so že v verižnem dosjeju, običajno ponovno uporabiš one-to-one, tudi če zavarovalnica uporablja drugačne besede kot prejšnji seznam.

Dve vprašanji se pri zavarovalnicah pojavljata pogosteje kot pri navadnih vprašalnikih strank: ali je bila incidentna odzivnost testirana (ne le ali obstaja postopek za varnostne incidente, temveč ali je bil tudi testiran) in ali obstaja konkreten načrt obnovitve s časom obnovitve poleg splošnega vprašanja o varnostnih kopijah in nujnih ukrepih. Če nimajo tega testiranja ali tega konkretnega načrta, je "ne" pravi odgovor — zavarovalnica se sprašuje po praksi, ne po nameri. Če manjka certifikat ISO 27001, to ni problem samo po sebi: številne zavarovalnice sprejmejo tudi posamezne ukrepe brez certificiranja.

Od kje izvirajo deset ukrepov

Razdelitev na deset ukrepov je navedena v členu 21 odstavka 2 Direktive (EU) 2022/2555 in jo je mogoče najti tudi v Dodatku A standarda ISO/IEC 27001, ki podrobneje obravnava iste varnostne ukrepe. Zavarovalnice pogosto formulirajo svoja vprašanja bolj ohlapno kot besedilo direktive, vendar je osnovna struktura ista — deset tem — zato je izpolnjevanje hitrejše, če veš, kateri vprašanju pripada kateri ukrep.