moj osiguratelj želi upitnik o kibernetičkoj sigurnosti, kako ga popunim

Popis osiguravatelja često pokriva deset mjera iz NIS2

Upitnik osiguravatelja obično je širi od standarda klijenta koji sam pada pod Zakon o kibernetskoj sigurnosti, ali pokriva iste teme. Osiguravatelji koriste svoj vlastiti upitnik jer premija i pokrivanje ovise o riziku, a ta pitanja uvelike se oslanjaju na deset mjera iz članka 21. stavka 2. NIS2: analiza rizika, rukovanje incidentima, kontinuitet, lanac, ranjivosti, testiranje, освьешћивање, kriptografija, politika pristupa i MFA. Ako prepoznaš taj uzorak, tada možeš odgovore koji su već u dosijeu lanca obično ponovno koristiti jedan-na-jedan, čak i ako osiguravatelj koristi druge riječi nego prethodni popis.

Dva pitanja koja se pojavljuju kod osiguravatelja češće nego kod običnih upitnika klijenta su: je li incident response vježbana (ne samo je li postoji postupak za sigurnosne incidente, već je li i testiran) i postoji li konkretan plan oporavka s vremenom oporavka osim opće mjere o sigurnosnim kopijama i nužnim resursima. Ako nemaš tu vježbu ili taj konkretan plan, tada je "ne" ispravan odgovor — osiguravatelj pita o praksi, ne o namjeri. Ako nedostaje ISO 27001 certifikat, to nije problem samo po sebi: mnogi osiguravatelji prihvaćaju i pojedine mjere bez certificiranja.

Odakle dolaze deset mjera

Podjela na deset mjera nalazi se u članku 21. stavka 2. Direktive (EU) 2022/2555 i nalazi se i u Prilogu A norme ISO/IEC 27001, koja detaljnije razrađuje iste upravljačke mjere. Osiguravatelji često formuliraju svoja pitanja labavije nego tekst direktive, ali osnovna struktura je ista deset tema — zato je popunjavanje brže ako znaš koja pitanja pripada kojih mjera.