Zavarovalnica vprašuje seznam vprašanj o varnosti za zavarovanje pred kibernetskimi grožnjami, kaj moram storiti

Zavarovalnice postavljajo enajst enakih ukrepov, vendar želijo dokaze

Zavarovalec kibernetske zavarovalnice postavlja vprašanja, ki se v veliki meri ujemajo z členom 21 odstavkom 2 direktive NIS2: odziv na nezgode, varnostne kopije, MFA, politika popravkov, upravljanje dobaviteljev. Razlika s strani NIS2-vprašalnika odjemalca je v tem, da zavarovalec želi konkretne dokaze, ne namere politike. Kjer je partnerja v verigi zadovoljen z »da, imamo postopek«, želi zavarovalec pogosto vedeti, ali obstaja postopek za obravnavo varnostnih incidentov vključno s časom obnovitve, in ali večfaktorska avtentifikacija je obvezna za vso zunanjo dostopo ali samo za skrbniške račune. Ta razlika pri granularnosti je tista, ki povzroča največ dvomov: odgovor, ki je zadostna pri enem vprašalniku, je pri drugem premalo podrobljen.

Če je ukrepek prisoten vendar ni dosledno izvajan povsod — na primer MFA v oblačnem okolju vendar ne v VPN — je pogost odgovor »delno« s kratko razlago, ne »da«, ki bi lahko kasneje sprli zavarovanje. Za vprašanja o varnostnih kopijah in nujnih ukrepih in o varnostni pogoji za lastne dobavitelje velja enako: zavarovalec pogosto preverja naknadno, ob škodi, ali je odgovor pravo. Certifikat ISO 27001 ta proces bistveno pospeši, ker je potrdilo Prilog A ukrepe že neodvisno preverja — brez certifikata moraš za vsako vprašanje sam dostaviti dokaze.

Zakaj zavarovalce vprašajo nekoliko več kot deset ukrepov NIS2

Deset ukrepov člena 21 odstavka 2 direktive NIS2 predstavlja jedro skoraj vsakega vprašalnika o varnosti, tudi zavarovalcev kibernetske zavarovalnice, vendar zavarovalci to pogosto dopolnijo z vprašanji, ki so specifična za oceno tveganja ob škodi — kot je obseg MFA ali čas obnovitve po incidentu. ISO/IEC 27001 Prilog A podaja za vsak ukrep varnostne ukrepe, s katerimi lahko podpreš odgovor, kar je še posebej pomembno, ker zavarovalci pogosteje kot drugi odjemalci zahtevajo dokaze.