pojišťovna chce vyplnit seznam otázek pro pojištění kybernetických rizik, jak se do toho pustím

Dotazníky kybernetické pojistky se řídí stejnými deseti opatřeními

Dotazník pojišťovny se téměř vždy zabývá stejným tématem jako dotazník NIS2 od zákazníka: řízení přístupu, MFA, zálohování, zásady oprav, reakce na incidenty. To není náhoda — pojišťovny své otázky týkající se přijetí v současné době do značné míry zakládají na deseti opatřeních podle čl. 21 odst. 2 směrnice NIS2 a na opatřeních řízení přílohy A normy ISO/IEC 27001. Kdo už tyto dva rámce vyplnil pro zákazníka, může odpovědi téměř beze změny převzít pro pojišťovnu. Rozdíl spočívá v tónu: zákazník se ptá na politiku, pojišťovna se často ptá konkrétněji — například zda je MFA povinné pro všechny účty správců, ne jen "existující".

Proto nejprve doplňte soubor řetězce v bodech, kde pojišťovna jde hlouběji než obvykle: vícefaktorová autentizace pro firemní systémy, postupu při bezpečnostních incidentech a zálohování a obnovu. Pojišťovny se také pravidelně ptají na proces patching; tato odpověď je uvedena pod postup řešení zranitelností. Pokud podnik nemá certifikaci ISO 27001, obvykle to není samo o sobě problém — pojišťovny obvykle přijímají také popis opatření bez certifikátu, pokud jsou odpovědi konkrétní a neříkají jen "ano, máme politiku".

Proč se tyto dva rámce překrývají

Překrytí je věcné, ne náhodné: čl. 21 odst. 2 NIS2 uveduje deset kategorií opatření (analýza rizik, řešení incidentů, kontinuita podniku, bezpečnost řetězce, politika zranitelností, kryptografie, řízení přístupu, MFA, školení a testování účinnosti) a příloha A normy ISO/IEC 27001 rozpracovává téměř stejná témata na ověřitelná opatření řízení. Pojišťovny používají tyto rámce jako objektivní měřítko, protože jsou externě zdokumentovány a kontrolovatelné — ne proto, že by pojišťovna sama spadala pod Zákon o kybernetické bezpečnosti nebo aby to vyžadovala od zákazníka.