Un questionario sulla sicurezza informatica di solito richiede una serie fissa di documenti probatori: una politica di sicurezza delle informazioni, un elenco di chi ha accesso a quali sistemi, un piano per il caso in cui qualcosa vada male e la prova che lo testate effettivamente. Nello specifico, si tratta spesso di un documento politico, un'analisi dei rischi, un piano di risposta agli incidenti, un rapporto di un penetration test recente (un tentativo controllato di irruzione nei vostri sistemi per trovare punti deboli), un elenco di backup e procedure di ripristino e la prova che i dipendenti hanno seguito una formazione sulla consapevolezza.
Il dettaglio più rilevante in questo tipo di questionario non è il contenuto di questi documenti ma la data su di essi. Una politica di sicurezza delle informazioni di tre anni fa, un rapporto di penetration test senza una chiara data di accettazione o un elenco di formazione che non mostra quando è stata l'ultima sessione: questi sono precisamente i punti su cui un cliente ripone obiezioni o chiede integrazioni. Il questionario stesso spesso non verifica solo se una misura esiste, ma se è attuale.
Perché la data ha così tanto peso
Un questionario sulla sicurezza informatica cerca di fornire un'istantanea di come un fornitore si trova adesso, non di come si trovava due anni fa. Un penetration test di due anni fa dice poco sui sistemi che nel frattempo sono stati aggiornati o sostituiti. Un documento politico che non è stato revisionato da una riorganizzazione potrebbe non coprire più la situazione attuale. I clienti che ricadono essi stessi sotto vigilanza, ad esempio attraverso regole sulla sicurezza delle reti e delle informazioni, spesso trasmettono questa aspettativa di attualità ai loro stessi fornitori. Questo spiega perché un portale a volte chiede esplicitamente una data di validità insieme al documento stesso.
Per le aziende che rientrano nella direttiva NIS2 o che fanno affari con un'organizzazione che lo fa, questi documenti probatori ricorrono spesso in un layout fisso di misure. Ciò che esattamente la direttiva richiede e per chi si legge nella banca dati della conoscenza; questo articolo riguarda i documenti stessi, non l'ambito di applicazione delle norme. nella knowledge base con spiegazioni per argomento fornisce una panoramica al riguardo.
Cosa di solito dovete e non dovete fornire
Non tutti i clienti richiedono lo stesso livello di dettaglio. Un grande cliente con un proprio reparto acquisti per la sicurezza informatica a volte chiede il rapporto di penetration test completo; un cliente più piccolo è spesso già soddisfatto di un riassunto o di una dichiarazione che è stato testato e quando. Quello che dovete condividere concretamente dipende dal portale e dal questionario di quello specifico cliente. Non è consueto condividere il codice sorgente, la politica delle password nei dettagli o gli schemi di rete interni; tali informazioni di solito non hanno luogo in un questionario del fornitore e un cliente attento non lo richiede nemmeno.
Un dossier, più questionari
La difficoltà con questi documenti non è che manchino, ma che siano dispersi: la politica presso IT, l'elenco della formazione presso HR, il rapporto di penetration test presso la parte esterna che ha condotto il test. Al prossimo questionario li cercherete di nuovo insieme e controllerete nuovamente se le date sono ancora corrette. Un dossier della catena centrale mantiene questi documenti e la loro data di validità in un unico posto, in modo che in un nuovo questionario vediate quali risposte sono ancora attuali e quali necessitano di un aggiornamento. Supplia compila sulla base di ciò le domande nell'elenco del vostro cliente; voi confermateogni risposta e presentate voi stessi nel portale del vostro cliente.
Se la vostra azienda attualmente manca documenti che vengono spesso richiesti, lo vedete subito con il controllo gratuito che in poche domande mostra dove vi trovate. Come i dati in un tale dossier vengono trattati e protetti si legge su la pagina sulla privacy e la protezione dei dati. E se vuole sapere come Supplia ottiene esattamente le risposte che compila per lei, è spiegato in la spiegazione di come funziona il sistema.
Per la situazione della sua azienda, con i suoi sistemi e rischi propri, una conversazione con uno specialista IT di sicurezza o un avvocato rimane il consiglio più affidabile. Questo articolo fornisce una panoramica di ciò che viene spesso chiesto, non una valutazione di ciò che nel suo caso è necessario o sufficiente.
Vuole vedere quali documenti della sua azienda sono già in ordine e quali hanno bisogno di un aggiornamento? Effettui la scansione rapida gratuita o sfoglia gli argomenti nella banca delle conoscenze per vedere cosa è rilevante per la sua situazione.