apdrošinātājs pieprasa drošības anketu kibervērtības apdrošināšanai, ko man jādara

Apdrošinātāji uzdod vienādus desmit pasākumus, bet vēlas pierādījumus

Kiberdrošības apdrošinātājs uzdod jautājumus, kas lielākoties pārklājas ar NIS2 21. panta 2. punktu: incidentu reagēšana, dublējumi, MFA, ielāpošanas politika, piegādātāju pārvaldība. Atšķirība no klients NIS2 jautājumnieka ir tā, ka apdrošinātājs vēlas konkrētus pierādījumus, nevis politikas nolūku. Kad ķēdes partneris ir apmierināts ar "jā, mums ir procedūra", apdrošinātājs bieži vēlas zināt, vai ir procedūra drošības incidentu apstrādei ieskaitant atjaunošanas laiku, un vai vairāku faktoru autentifikācija ir obligāts visai ārējai piekļuvei vai tikai administratora kontiem. Šis granularitātes atšķirums ir vieta, kur rodas lielāka daļa šaubu: atbilde, kas derētu vienam jautājumnikam, var būt pārāk vispārīga citam.

Ja pasākums pastāv, bet nav konsekventi piemērots visur — piemēram, MFA ir mākonī, bet ne uz VPN — parasto atbildi ir "daļēji" ar īsu paskaidrojumu, nevis "jā", kas vēlāk var apšaubīt segumu. Jautājumiem par datu kopijas un avārijas nodrošinājums un par drošības prasības attiecībā uz pašu piegādātājiem ir tas pats: apdrošinātājs bieži vērtē retroaktīvi, iesnieguma gadījumā, vai atbilde bija pareiza. ISO 27001 sertifikāts būtiski paātrina šo procesu, jo sertifikāts Annex A pasākumi jau neatkarīgi tiek pārbaudīti — bez sertifikata jāsniedz pierādījumi par katru jautājumu.

Kāpēc apdrošinātāji uzdod nedaudz vairāk jautājumu nekā desmit NIS2 pasākumi

Desmit pasākumi no NIS2 21. panta 2. punkta veido gandrīz katra drošības jautājumnika kodolu, ieskaitant kiberdrošības apdrošinātājus, bet apdrošinātāji to bieži papildina ar jautājumiem, kas ir specifiski risika novērtēšanai iesnieguma gadījumā — piemēram, MFA darbības joma vai atjaunošanas laiks pēc incidenta. ISO/IEC 27001 Annex A sniedz katram pasākumam kontroles pasākumus, ar kuriem jūs varat pamatot atbildi, kas ir īpaši svarīgi, jo apdrošinātāji biežāk pieprasa pierādījumu dokumentus nekā citi saņēmēji.