pojišťovna požaduje seznam kybernetických bezpečnostních otázek pro pojištění kybernetických rizik, co mám dělat

Pojišťovny se ptají na stejných deset opatření, ale chtějí důkazy

Pojišťovna kybernetického pojištění položí otázky, které se z velké části překrývají s článkem 21 odstavcem 2 NIS2: řešení incidentů, zálohy, MFA, zásady oprav, správa dodavatelů. Rozdíl oproti dotazníku NIS2 od zákazníka je v tom, že pojišťovna chce konkrétní důkazy, ne záměr politiky. Tam, kde partner v řetězci zůstane spokojený s "ano, máme proceduru", pojišťovna často chce vědět, zda existuje postup pro řešení bezpečnostních incidentů včetně doby obnovy, a zda vícefaktorové ověřování je povinné pro všechny externí přístupy nebo pouze pro účty správců. Tento rozdíl v granularitě je tam, kde vzniká většina pochybností: odpověď, která postačuje v jednom dotazníku, je v jiném příliš obecná.

Je-li opatření přítomno, ale není konzistentně všude uplatňováno — například MFA v cloudovém prostředí, ale ne ve VPN — je obvyklou odpovědí "částečně" s krátkým vysvětlením, ne "ano", které by mohlo později vést k diskusi o rozsahu pokrytí. Pro otázky týkající se zálohování a nouzové opatření a bezpečnostní požadavky na vlastní dodavatele platí totéž: pojišťovna často ověřuje zpětně při pojistném nároku, zda byla odpověď správná. Certifikát ISO 27001 tento proces výrazně urychluje, protože je certifikát opatření přílohy A již nechává nezávisle ověřit — bez certifikátu musíte poskytnout důkaz na každou otázku sám.

Proč si pojišťovny kladou o něco více otázek než deset opatření NIS2

Deset opatření čl. 21 odst. 2 směrnice NIS2 tvoří jádro prakticky každého seznamu bezpečnostních otázek, včetně kybernetických pojišťoven, ale pojišťovny jej často doplňují otázkami, které jsou specifické pro posouzení rizika při pojistném nároku — jako je rozsah MFA nebo doba obnovení po incidentu. ISO/IEC 27001 příloha A uvádí pro každé opatření kontrolní mechanismy, kterými si můžete odpověď podpořit, což je zvláště relevantní, protože pojišťovny si žádají důkazy podstatně více než ostatní příjemci.