minu kindlustusmehitaja soovib küberjulgeoleku küsimustikku, kuidas ma selle täidan

Kindlustusfirma küsimustik katab sageli kümmekond NIS2 meetodit

Kindlustusfirma küsimustik on tavaliselt laiem kui kliendi vorming, kes ise kuulub Küberneetika seaduse reguleeritavate alla, kuid katab siiski samade teemade. Kindlustusfirmad kasutavad oma küsimustikku, sest preemia ja kindlustuskaitse sõltuvad riskist, ja need küsimused tuginevad tugevalt kümnele meetodile artikli 21 lõike 2 alusel NIS2: riskianalüüs, intsidendi käsitlemine, järjepidevus, tarneahel, haavatavused, kontrollimine, teadlikkus, krüptograafia, juurdepääsupoliitika ja MFA. Kui tunnustad seda mustrit, saad tavaliselt ketendossiis olevaid vastuseid üks-ühele taaskasutada, isegi kui kindlustusfirma kasutab muud sõnastust kui eelmine nimekiri.

Kaks küsimust esinevad kindlustusfirmadel sagedamini kui tavalistel klientküsimustikutel: kas intsidendi reageerimist on harjutatud (mitte ainult kas protseduur turvaintsidentidejaoks on olemas, vaid kas seda ka testitud on) ja kas konkreetne taastamisplaan koos taastamisajaga on olemas üldise küsimuse kõrval varukoopiate ja hädaabinõuetekohta. Kui teil seda harjutust või konkreetset plaani pole, siis "ei" on õige vastus — kindlustusfirma küsib praktikast, mitte kavatsusest. Kui ISO 27001-sertifikaat puudub, siis see pole omaette probleem: paljud kindlustusfirmad aktsepteerivad ka üksikuid meetmeid ilma sertifitseerimiseta.

Kust pärinevad kümmekond meetodit

Jaotus kümneks meetodiks on määruses Euroopa Parlamendi ja Nõukogu direktiivi (EL) 2022/2555 artikli 21 lõikes 2 ja on leitav ka ISO/IEC 27001 lisas A, kus samad kontrollimeetmed on detailsemalt välja töötatud. Kindlustusfirmad formuleerivad oma küsimusi sageli lõdvemalt kui direktiivi tekst, kuid aluseks olev struktuur on samad kümmekond teemat — seetõttu on täitmine kiirem, kui teate, milline küsimus millisele meetodile vastab.