biztosítóm kiberbiztonsági kérdőívet szeretne, hogyan töltsem ki

A biztosítói lista gyakran lefedi a NIS2 tíz intézkedését

A biztosító kérdőíve általában szélesebb körű, mint a saját maga a Kiberbevédelmi törvény hatálya alá tartozó ügyfél formátuma, de ugyanazokat a témákat fedi le. A biztosítók saját kérdőívet használnak, mert a díj és a fedezet a kockázattól függ, és ezek a kérdések nagyban támaszkodnak a NIS2 21. cikk 2. bekezdésének tíz intézkedésére: kockázatelemzés, incidenskezelés, üzletmenet-folytonosság, lánc, sebezhetőségek, tesztelés, tudatosság, kriptográfia, hozzáférési politika és MFA. Ha felismered ezt a mintát, akkor a ketendossziérben már szereplő válaszokat általában egy az egyhez újra fel tudod használni, még akkor is, ha a biztosító más szavakat használ, mint az előző lista.

Két kérdés fordul elő gyakrabban a biztosítóknál, mint a közönséges ügyfélkérdőívekben: hogy az incidensválaszolást gyakorolták-e (nem csak hogy van-e eljárás a biztonsági incidensekrevonatkozóan, hanem azt is tesztelték-e) és hogy van-e konkrét helyreállítási terv helyreállítási idővel az általános kérdés mellett biztonsági mentések és katasztrófa-helyreállítás. Ha nem rendelkezel ezzel az gyakorlattal vagy konkrét tervvel, akkor a "nem" a helyes válasz — egy biztosító a gyakorlatot kérdezi, nem a szándékot. Ha hiányzik az ISO 27001-tanúsítvány, az önmagában nem jelent problémát: sok biztosító a önálló intézkedéseket tanúsítványok nélkül is elfogadja tanúsítás.

A tíz intézkedés eredete

A tíz intézkedésre történő felosztás az (EU) 2022/2555 irányelv 21. cikk (2) bekezdésében található, és az ISO/IEC 27001 A mellékletében is megtalálható, amely ugyanezeket a védelmi intézkedéseket részletesebben kidolgozza. A biztosítók saját kérdéseiket gyakran lazábban fogalmazzák meg, mint az irányelv szövege, de az alapul szolgáló szerkezet ugyanez a tíz téma — ezért a kitöltés gyorsabb, ha tudod, hogy melyik kérdés melyik intézkedéshez tartozik.