Ali se učinkovitost varnostnih ukrepov periodično preverja?

Preverka je del samega ukrepa, ne ločeno polje

Ja, v večini primerov — vendar ne kot samostojno vprašanje, saj člen 21 odstavek 2 NIS2 to oblikuje kot lastnost politike in postopkov, ne kot samostojno preverjalno zahtevo. Pri točki (a), politiki za analizo tveganja in varnost informacijskih sistemov, in pri točki (b), obravnavanju incidentov, je periodično ocenjevanje del tega, kar »ustrezna« politika običajno pomeni. Kdor lahko dokaže, da se ukrepi redno pregledam — po incidentu, po penttestu, po ugotovitvi revizije — izpolnjuje to, kar naročnik z vprašanjem dejansko želi videti: delujoči sistem upravljanja, ne več trenutnega posnetka iz enega dokumenta nastanitve.

Če je podjetje ISO 27001-certificirano , je to običajno najlažje dokazilo: standarden sam zahteva notranje revizije in pregled upravljanja, in ti dokumenti neposredno kažejo, da se preverjanje pojavljuje. Brez certifikata je mogoče isto dokazati s poročilom o pentestu, poročilom notranje evalvacije ali zapisniki, v katerih so varnostni ukrepi obravnavani in prilagojeni. Če takem dokazil manjka, je »ne« ali »v razvoju« iskrenejši odgovor kot »ja« brez podpornega dokumenta — še posebej ker je to vprašanje pogosto postavljeno skupaj s tem o politiki za analizo tveganja, in nedoslednost med obema odgovoroma je opazna pri naročniku, ki bere oba.

Kjer je to v direktivi: člen 21(2)

Člen 21 odstavek 2 NIS2 navaja deset kategorij ukrepov, ki morajo biti »ustrezni in sorazmerni«, in izjava k direktivi sorazmernost povezuje s stalnim procesom ocenjevanja tveganja — ne z enkratnim nastankom. Eksplicitne ločene obveznosti za »periodično preverjanje učinkovitosti« kot ločen člen sta se ne pojavljata; sledita iz kombinacije točke (a) politike analize tveganja in točke (b) obravnavanja incidentov, pri čemer lekcije iz incidentov in periodična ocenjevanja tveganja logično vodijo do revizije ukrepov. Za natančno besedilo je pristna direktiva mesto, na katerega se lahko sklicujemo.