igal kliendil on erinev küsimustik, kuidas ma seda jälgin

Üks ketikaust, kümme fikseeritud elementi

Lahendus ei ole veel rohkem formaate hoida, vaid üks alus-struktuur hoida, mis jääb iga vormingu puhul samaks. Iga klient pakub oma küsimustikku erinevalt — üks nimetab seda "supplier security assessment", teine "third party risk questionnaire" — kuid sisu langeb peaaegu alati tagasi kümnele meetmele artikli 21 lõige 2 NIS2-st, või ISO/IEC 27001 lisa A juhtmeetmetele, kui klient kasutab seda standardit kapstokina. Riskipoliitika, intsidentide lahendamine, järjepidevus, ketikindlus, haavatavuse haldus: need kümme teemat ilmnevad erinevate pealkirjade all, erinevates järjekordades, erineva hindamisega (jah/ei, 1-5, tekstikast). Kes oma vastused teema kaupa kirja paneb, mitte kliendivormi kaupa, peab uue küsimustiku puhul vaid tuvastama, milline pealkiri millisesse teemasse kuulub — mitte vastust uuesti sõnastama.

Praktikas tähendab see, et sa kirjutad iga elemendi kohta ühe korraga hea vastuse, tõenditega kaasas, ja seda vastust taaskasutad. Jaoks juurdepääsupoliitikat ja IT-varade haldust on see sageli poliitikadokument pluss kuvatõmmis õiguste struktuurist; jaoks turvameetmete protseduurikontroll on see viimane sisemiste auditite aruanne. Kui see kaust on täidetud, on uus kliendiküsimustik peamiselt tuvastamine ja kopeerimine, mitte uuesti väljafigureerimine.

Miks on kümme meetmet ühisosa

Direktiivi (EL) 2022/2555 artikli 21 lõige 2 loetleb kümme meetmete kategooriat, mida ühinguasutus peab võtma — riskianalüüsi poliitikast kuni krüptograafiani kuni inimlikule käitumiseni — ja see loend on praktikas alus, millele on ehitatud enamik kliendiostude küsimustikke, isegi kui klient ise ei viita NIS2-le. ISO/IEC 27001 Lisa A katab suuresti samad teemad rohkem detailidega iga meetme kohta, mis selgitab, miks vorming, mis viitab ühele raamistikule, on muude raskusteta tõlgitav teisele.