kindlustusfirma soovib cyberkindlustuse küsimustikku täita, kuidas ma seda käsitlema peaksin

Küberpoliisi küsimustikud järgivad samu kümmet meetme

Kindlustaja küsimustik hõlmab peaaegu alati sama ala nagu kliendi NIS2-küsimustik: juurdepääsukontroll, MFA, varukoopiad, paigaldamispoliitika, intsidentide reageerimine. See ei ole juhus — kindlustajad põhinevad oma vastuvõtmisküsimusi vahepeal suuresti NIS2-direktiivi artikli 21 lõike 2 kümnele meetmele ja ISO/IEC 27001 lisa A juhtimisvahendite peale. Kes need kaks raamistikku juba kliendi jaoks täitnud on, saab vastuseid kindlusustajale peaaegu muutumatult üle võtta. Erinevus on toonus: klient küsib poliitika kohta, kindlustaja küsib sageli veidi konkreetsemalt — näiteks kas MFA on kohustuslik kõigi administraatoritõendite jaoks, mitte ainult "olemas".

Täitke seetõttu esmalt ketidossee selliste punktide juures, kus kindlustaja tavalisest sügavamale läheb: mitmeastmeline autentimine ettevõtte süsteemidele, turvalisusintsident ja varukoopiamis- ja taastamisteenuse. Kindlustajad küsivad ka regulaarselt paigaldamisprotsessi kohta; see vastus asub jaotises haavatavuste protsess. Kui organisatsioonil ei ole ISO 27001 sertifikaati, siis see üksi tavaliselt probleemi ei ole — kindlustajad aktsepteerivad tavaliselt ka juhtimisvahendite kirjeldust ilma sertifikaadita, kuni vastused on konkreetsed ja ei ütle ainult "jah, meil on poliitika".

Miks need kaks raamistikku kattuvad

Kattuvus on sisuliselt, mitte juhuslikult: NIS2 artikli 21 lõige 2 nimetab kümmet meetmete kategooriat (riskianalüüs, juhtumite käsitlemine, äritegevuse järjepidevus, ahela turvalisus, haavatavuste poliitika, krüptograafia, juurdepääsukontroll, MFA, väljaõpe ja tõhususe testimine) ja ISO/IEC 27001 lisa A töötab praktiliselt samad teemad välja testatavateks juhtimisvahendites. Kindlustajad kasutavad neid raamistikke objektiivse mõõdustikuna, kuna need on väliselt dokumenteeritud ja kontrollivad — mitte seetõttu, et kindlustaja ise kuulub küberturvalisuse seaduse alla või seda kliendilt nõuab.