Kyberturvallisuuskysely pyytää yleensä kiinteää todistusaineistokokonaisuutta: tietoturvallisuuskäytäntöä, luetteloa siitä, kuka pääsee mihin järjestelmään, suunnitelmaa vahingontapauksessa ja todisteet siitä, että testaat sen myös käytännössä. Käytännössä kyse on usein käytäntöasiakirjasta, riskianalyysistä, häiriötapauksiin vastaamisesta, viimeaikaisesta penetraatiotestiraportin (valvottu yritys murtautua järjestelmääsi heikkouksien löytämiseksi), varmuuskopiointi- ja palautusmenettelyn yleiskatsauksesta ja todistuksesta siitä, että työntekijät ovat käyneet tietoisuuskoulutuksen.
Tämän tyyppisen kyselyn yksityiskohta, joka vaikuttaa eniten, ei ole näiden asiakirjojen sisältö vaan niiden päivämäärä. Kolme vuotta vanha tietoturvallisuuskäytäntö, penetraatiotestiraportti ilman selkeää vastaanottoviikon tai koulutustehtävien luettelo, joka ei näytä, milloin viimeinen istunto oli: nämä ovat juuri asioita, joissa ostaja moittii tai pyytää täydennystä. Kysely itse usein testaa paitsi sitä, että toimenpide on olemassa, myös sitä, että se on voimassa.
Miksi päivämäärillä on niin suuri paino
Kyberturvallisuuskysely yrittää antaa tilannekuvan siitä, miten toimittaja voi nyt, ei siitä, miten se oli kaksi vuotta sitten. Kaksi vuotta vanha penetraatiotesti kertoo vähän järjestelmistä, joita on sen jälkeen päivitetty tai korvattu. Käytäntöasiakirja, jota ei ole tarkistettu uudelleen reorganisaation jälkeen, ei ehkä kata nykyistä tilannetta. Ostajat, jotka itse valvonnan alaisena, esimerkiksi verkon ja tietoturvan sääntöjen kautta, välittävät näitä ajankohtaisuuden odotuksia usein omille toimittajilleen. Tämä selittää, miksi portaali joskus pyytää nimenomaan voimassaolopäivämäärää itse asiakirjan rinnalla.
Yrityksille, jotka kuuluvat NIS2-direktiivin piiriin tai tekevät liiketoimintaa organisaation kanssa, joka kuuluu siihen, nämä todistusaineistot esiintyvät usein kiinteässä toimenpiteiden järjestelyssa. Mitä direktiivi tarkalleen ottaen vaatii ja kenelle, luet tietovarastosta; tämä artikkeli käsittelee itse asiakirjoja, ei sääntöjen soveltamisalaa. tietopankista, jossa on selitys aiheittain antaa siitä yleiskatsauksen.
Mitä sinun yleensä täytyy toimittaa ja mitä ei
Jokainen ostaja ei pyydä samaa syvyyttä. Suuri asiakas, jolla on oma kyberturvallisuuden hankintaosasto, pyytää joskus koko penetraatiotestiraportin; pienempi asiakas on usein jo tyytyväinen yhteenvetoon tai ilmoitukseen siitä, että testaus on suoritettu ja milloin. Mitä sinun on konkreettisesti jaettava, riippuu portaalista ja kyseisen ostajan kyselystä. Lähdekoodin, salasanakäytännön yksityiskohtaisen tai sisäisten verkkokaavioiden jakaminen ei ole tavallista; nämä tiedot eivät kuulu yleensä toimittajakyselyyn ja huolellinen ostaja ei myöskään sitä pyydä.
Yksi dossier, useita kyselyjä
Näiden asiakirjojen kanssa vaikea ei ole, että ne puuttuvat, vaan että ne ovat hajallaan: käytäntö IT-osastolla, koulutustehtävä HR-osastolla, penetraatiotestiraportti ulkoisella osapuolella, joka testi suoritti. Seuraavassa kyselyssä etsit ne jälleen yhteen ja tarkistat uudelleen, ovatko päivämäärät edelleen oikein. Keskeinen ketjudossier pitää nämä asiakirjat ja niiden voimassaolopäivämäärät yhdessä paikassa, jotta näet uudessa kyselyssä, mitkä vastaukset ovat edelleen ajankohtaisia ja mitä on päivitettävä. Supplia täyttää näiden perusteella kysymykset asiakkaasi luetteloon; vahvistat vastauksen kerrallaan ja toimitat itse asiakkaasi portaaliin.
Näet nopeasti, jos yrityksesi puuttuu asiakirjoja, joita usein pyydetään, käyttämällä ilmaisen tarkistuksen avulla, joka näyttää muutamalla kysymyksellä, missä olet. Kuinka tässä dossierin tiedot käsitellään ja suojataan, luet sivulla tietosuoja ja tietosuojaa. Ja jos haluat tietää, miten Supplia tarkalleen ottaen saa vastaukset, jotka se täyttää puolestasi, se on selitetty kohdassa selitys siitä, miten järjestelmä toimii.
Oman yrityksesi tilanteessa omien järjestelmiesi ja riskiesi osalta luotettavin neuvonta on keskustelu erikoistuneen IT-turvallisuusasiantuntijan tai oikeustieteilijän kanssa. Tämä artikkeli antaa yleiskatsauksen siitä, mitä usein kysytään, eikä siinä arvioida, mikä on tarpeellista tai riittävää sinun tapauksessasi.
Haluatko nähdä, mitkä dokumentit yrityksessäsi ovat jo kunnossa ja mitkä tarvitsevat päivityksen? Tee ilmainen pika-arvio tai selaa tietovaraston aiheita nähdäksesi, mikä on relevanttia tilanteellesi.