minden ügyfél más kérdőívet küld, hogyan tartom nyilván ezt

Egy ellátási lánc dosszié, tíz állandó építőelem

A megoldás nem az, hogy több formátumot tartunk fenn, hanem azt, hogy egy olyan alapvető struktúrát tartunk meg, amely minden formátum alatt azonos marad. Minden ügyfél másképpen csomagolja be a kérdéssorát — az egyik "supplier security assessment"-nak nevezi, a másik "third party risk questionnaire"-nak — de a tartalom szinte mindig visszavezethető a NIS2 21. cikk 2. bekezdés tíz intézkedésére, vagy az ISO/IEC 27001 A mellékletének ellenőrzési intézkedéseire, ha az ügyfél ezt a szabványt használja. Kockázatpolitika, incidensmegoldás, folytonosság, ellátási lánc biztonsága, sebezhetőség-kezelés: ez a tíz téma különféle fejlécek alatt, különféle sorrendben, különféle pontozással (igen/nem, 1-5, szövegdoboz) jelenik meg újra. Aki válaszait témánként írja le az ügyfélformátum helyett, csak fel kell ismernie, hogy mely fejléc mely témához tartozik — nem kell újra megfogalmaznia a választ.

A gyakorlatban ez azt jelenti, hogy per építőelem egyszer egy jó választ írsz, a bizonyítékokkal együtt, és akkor újra felhasználhatod azt a választ. Erre hozzáférési szabályzat és az üzleti eszközök kezelése gyakran egy szabályzati dokumentum és a jogosultságszerkezet képernyőképe szükséges; az a biztonsági intézkedések eljárási felülvizsgálata ez az utolsó belső auditjelentés. Amint ez a dosszie teljes lesz, egy új ügyfélkérdőív főleg felismerés és másolás, nem pedig új kutatás.

Miért a tíz intézmény a közös nevező

Az (EU) 2022/2555 irányelv 21. cikk (2) bekezdése tíz intézkedési kategóriát nevez meg, amelyeket egy entitásnak meg kell tennie — a kockázatelemzési politikától a kriptográfiáig az emberi viselkedésig — és ez a lista a gyakorlatban az alapja annak, hogy az ügyfélkérdőívek többsége hogyan épül fel, még akkor is, ha az ügyfél maga nem hivatkozik a NIS2-re. Az ISO/IEC 27001 Annex A nagyrészt ugyanazokat a témákat fedi le több részletességgel intézkedésenként, ami megmagyarázza, hogy az egyik keretrendszerre hivatkozó formátum könnyedén fordítható a másikra.