mano kibernetinio saugumo draudimo bendrovė siunčia išsamų klausimyną, ką turiu užpildyti

Kibernetinio saugumo draudikai klausia tų pačių dešimties priemonių kaip NIS2

Išsamioje kibernetinio saugumo draudiko saugumo klausimyne daugiausia sutampa su dešiomis priemonėmis, nurodytomis NIS2 direktyvos 21 straipsnio 2 dalyje: rizikos analize, saugos incidentų tvarkymu, verslo tęstinumu, tiekimo grandinės saugumu, pažeidžiamumo valdymu, šifravimo politika, prieigos kontrole ir daugiafaktiniu autentikavimu. Draudikai naudoja šią suskirstyti neparankia, nes jiems reikia pranešti pagal direktyvą, bet todėl, kad tai yra naudingas rizikos rodiklis draudos premijai ir aprėpčiai. Jei atpažinti šią suskirstytą klausimyne, tuomet didelę dalį galite remontuoti tik iš to, ką jau užfiksavote kitiems darbuotojams.

Čia darosi sunkiau: draudikai dažnai klausia šiek tiek konkrečiau nei klientas, kuris nori tik žinoti „ar turite incidento procedūrą―. Jie nori žinoti, pavyzdžiui, ar yra procedūra saugumo incidentams tvarkyti įskaitant pranešimo terminus ir eskalacijos kelius, arba klausia apie saugumo priemonių veiksmingumą — todėl ne tik dėl to, ar politika egzistuoja, bet ar ji kada nors buvo patikrinta. Jei neturite dokumento, atsakykite faktiškai: „dar neformalizuota― arba „kuriama― yra geriau nei taip, kurio negalite pagrįsti iš nuomos.

ISO 27001 kaip trumpesnis kelias per sąrašą

Jei turite ISO 27001 sertifikatą, jis vienu metu padengia didelę klausimyno dalį, nes A priedo priemonės beveik vienas prie vieno atitinka tai, ką draudikai tiria. Aiškiai paminėkite sertifikatą kur klausiama, ar įmonė ISO 27001-sertifikuota ir nurodykite pagrindinėms priemonėms atitinkamą audito ataskaitą, jei draudiko jei jos paprašo — tai dažnai sutaupo atskirą paaiškinimą kiekvienam klausimui.

Iš kur tai seka: straipsnis 21 2 dalies ir A priedo

Dešimt priemonių kategorijų yra Direktyvos (ES) 2022/2555 (NIS2) 21 straipsnio 2 dalyje; Nyderlandų transpozicija vyksta per Kibernetinio saugumo įstatymą, kuris įsigalioja 2026 m. rugpjūčio 15 d. Panašus valdymo priemonių suskirstymas yra ISO/IEC 27001 A priede. Draudikai nėra susieti su nė vienu iš jų — klausimynas yra jų rizikos instrumentas — bet tvarkymo pertvarkymo nuomonė yra ne atsitiktina: abi šaltiniai aprašo tai, kas praktikoje laikoma baziniu saugumu.