δεν γνωρίζω την απάντηση σε μια ερώτηση, μπορώ να απαντήσω όχι

Το "Όχι" είναι απάντηση σχετικά με ένα μέτρο, όχι σχετικά με ένα άγνωστο γεγονός

Η συμπλήρωση "Όχι" όταν δεν γνωρίζεις την απάντηση δεν είναι η σωστή λύση. Το "Όχι" είναι μια έγκυρη απάντηση στο ερώτημα εάν υπάρχει ένα μέτρο — για παράδειγμα ότι δεν υπάρχει υποχρέωση MFA ή καμία τεκμηριωμένη διαδικασία για περιστατικά. Αλλά δεν είναι έγκυρη απάντηση στο ερώτημα εάν γνωρίζεις κάτι. Αυτά είναι δύο διαφορετικά πράγματα, και ένα ερωτηματολόγιο συνήθως δεν κάνει αυτή τη διάκριση ρητά.

Το πιο συνετό είναι να ελέγξεις πρώτα εάν η απάντηση είναι γνωστή κάπου αλλού στον οργανισμό, αλλά όχι σε σένα. Ένα ερώτημα σχετικά με απαιτήσεις ασφάλειας για δικούς προμηθευτές μπορεί για παράδειγμα να ανήκει στις αγορές, και ένα ερώτημα σχετικά με η πολυπλέκτορη ταυτοποίηση στην IT. Μόνο εάν η απάντηση δεν είναι πραγματικά τεκμηριωμένη πουθενά, τότε δεν υπάρχει στην πραγματικότητα ένα μέτρο για να επιβεβαιώσεις — και τότε το "Όχι" είναι τουλάχιστον σωστό, αντί για μια εικασία που αργότερα αποδεικνύεται ότι δεν είναι σωστή.

Τα δέκα μέτρα του άρθρου 21 ζητούν ένα γεγονός, όχι μια εκτίμηση

Τα ερωτηματολόγια που προκύπτουν από τη NIS2 βασίζονται στα δέκα μέτρα του άρθρου 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555. Κάθε μέτρο — από τη διαχείριση κινδύνων έως την πολιτική πρόσβασης — είναι ένα ναι/όχι ερώτημα σχετικά με μια υπάρχουσα πρακτική, όχι σχετικά με μια εκτίμηση. Το ίδιο ισχύει και για τα μέτρα ελέγχου του Παραρτήματος Α του ISO/IEC 27001, στα οποία αναφέρονται πολλές μορφές πελατών. Μια απάντηση που δεν έχει πηγή στο αρχείο της αλυσίδας τιμών δεν παρουσιάζεται ως "Ναι" στο σύστημά μας: παραμένει ανοιχτή έως ότου υπάρχει ένα γεγονός πίσω της. Αυτός είναι επίσης ο λόγος που ένα ερώτημα όπως εάν ο οργανισμός εμπίπτει αυτοτελώς στην Οδηγία NIS2 αντιμετωπίζεται ξεχωριστά από τα ουσιαστικά μέτρα — είναι ένα διαφορετικό είδος γεγονότος, με ένα διαφορετικό είδος απόδειξης.