ogni cliente invia una diversa lista di domande come continuo a tenere traccia di questo

Un fascicolo di catena, dieci componenti fissi

La soluzione non è mantenere più formati, ma conservare una struttura sottostante che rimane la stessa sotto ogni formato. Ogni cliente confeziona il suo questionario diversamente — uno lo chiama "supplier security assessment", un altro "third party risk questionnaire" — ma il contenuto ricade quasi sempre sulle dieci misure dell'articolo 21 paragrafo 2 NIS2, oppure sulle misure di controllo dell'Allegato A di ISO/IEC 27001 se il cliente utilizza quello standard come struttura di riferimento. Politica sui rischi, risposta agli incidenti, continuità, sicurezza della catena, gestione delle vulnerabilità: questi dieci argomenti ricorrono sotto intestazioni diverse, in ordine diverso, con punteggi diversi (sì/no, 1-5, casella di testo). Chi registra le proprie risposte per argomento invece che per formato cliente, con una nuova lista deve solo riconoscere quale intestazione corrisponde a quale argomento — non deve riformulare la risposta.

In pratica, ciò significa che per ogni componente scrivi una buona risposta una sola volta, con il documento di prova allegato, e poi riutilizzi quella risposta. Per la politica di accesso e la gestione dei beni aziendali è spesso un documento di politica più una schermata della struttura dei diritti; per la verifica della procedura delle misure di sicurezza è l'ultima relazione di audit interno. Una volta completato quel fascicolo, una nuova lista di domande del cliente è principalmente riconoscere e copiare, non riscoprire.

Perché le dieci misure sono il denominatore comune

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 elenca dieci categorie di misure che un'entità deve adottare — dall'analisi dei rischi alla crittografia al comportamento umano — e in pratica questo elenco è la base su cui sono costruiti la maggior parte dei questionari di acquisto dei clienti, anche se il cliente stesso non fa riferimento a NIS2. ISO/IEC 27001 Allegato A copre in gran parte gli stessi argomenti con maggiori dettagli per misura, il che spiega perché un formato che fa riferimento a un framework può essere facilmente tradotto all'altro.