κάθε πελάτης στέλνει διαφορετικό ερωτηματολόγιο πώς παραμένω ενημερωμένος

Ένα δοσσιέ αλυσίδας, δέκα σταθερά δομικά στοιχεία

Η λύση δεν είναι η διατήρηση περισσότερων προτύπων, αλλά η διατήρηση μιας μόνο υποκείμενης δομής που παραμένει ίδια κάτω από κάθε πρότυπο. Κάθε πελάτης συσκευάζει τη λίστα ερωτήσεών του διαφορετικά — ο ένας την ονομάζει «supplier security assessment», ο άλλος «third party risk questionnaire» — αλλά το περιεχόμενο σχεδόν πάντα ανάγεται στα δέκα μέτρα του άρθρου 21 παράγραφος 2 NIS2, ή στα μέτρα ελέγχου του Παραρτήματος A του ISO/IEC 27001 αν ο πελάτης χρησιμοποιεί αυτό το πρότυπο ως ραφία. Πολιτική διαχείρισης κινδύνου, ανταπόκριση σε περιστατικά, συνέχεια λειτουργίας, ασφάλεια της αλυσίδας, διαχείριση ευπαθειών: αυτά τα δέκα θέματα επανεμφανίζονται κάτω από διαφορετικές επικεφαλίδες, σε διαφορετική σειρά, με διαφορετική βαθμολογία (ναι/όχι, 1-5, πεδίο κειμένου). Όποιος καταγράφει τις απαντήσεις του ανά θέμα αντί να τις καταγράφει ανά πρότυπο πελάτη, στη νέα λίστα χρειάζεται μόνο να αναγνωρίσει ποια επικεφαλίδα αντιστοιχεί σε ποιο θέμα — όχι να διαμορφώσει ξανά την απάντηση.

Στην πράξη, αυτό σημαίνει ότι για κάθε δομικό στοιχείο γράφετε μία καλή απάντηση, με το αποδεικτικό στοιχείο, και επαναχρησιμοποιείτε αυτή την απάντηση. Για την πολιτική πρόσβασης και τη διαχείριση των περιουσιακών στοιχείων της επιχείρησης είναι συχνά ένα έγγραφο πολιτικής συν ένα στιγμιότυπο της δομής δικαιωμάτων· για την επαλήθευση διαδικασίας των μέτρων ασφαλείας είναι η τελευταία εσωτερική έκθεση ελέγχου. Μόλις το δοσσιέ είναι ολοκληρωμένο, μια νέα λίστα ερωτήσεων πελάτη είναι κυρίως αναγνώρισης και αντιγραφής, όχι ξανά ανακάλυψης.

Γιατί τα δέκα μέτρα είναι ο κοινός παρονομαστής

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει δέκα κατηγορίες μέτρων που πρέπει να λάβει μια οντότητα — από την πολιτική ανάλυσης κινδύνου μέχρι την κρυπτογραφία μέχρι τη ανθρώπινη συμπεριφορά — και αυτή η λίστα είναι στην πράξη η βάση στην οποία έχουν χτιστεί οι περισσότερες λίστες αγοράς ερωτήσεων των πελατών, ακόμα κι αν ο πελάτης δεν κάνει παραπομπή στο NIS2. Το ISO/IEC 27001 Annex A καλύπτει σε μεγάλο βαθμό τα ίδια θέματα με περισσότερη λεπτομέρεια ανά μέτρο, που εξηγεί γιατί ένα πρότυπο που παραπέμπει στο ένα πλαίσιο μεταφράζεται χωρίς ιδιαίτερη προσπάθεια στο άλλο.