apdrošinātājs vēlas aizpildīt jautājumnicku kiberdrošībai - kā es to sāku

Kiberdrošības polises jautājumniekus seko tiem pašiem desmit pasākumiem

Apdrošinātāja jautājumniekā gandrīz vienmēr aplūkots tāds pats saturs kā klienta NIS2 jautājumnieku — piekļuves kontrole, MFA, rezerves kopijas, plastķēšanas politika, incidentu reaģēšana. Tas nav nejaušība — apdrošinātāji tagad savu akceptēšanas jautājumus balsta galvenokārt uz desmit NIS2 direktīvas 21. panta 2. punkta pasākumu kategorijām un ISO/IEC 27001 Pielikuma A pārvaldības pasākumiem. Kurš šos divus ietvarus jau ir aizpildījis klientam, var atbildes gandrīz nemainītas pārņemt apdrošinātājam. Atšķirība ir tonī: klients jautā par politiku, apdrošinātājs bieži jautā nedaudz konkrētāk — piemēram, vai MFA ir obligāta visiem administratora kontiem, ne tikai "pieejama".

Tāpēc vispirms papildiniet ķēdes lietu par punktiem, kuros apdrošinātājs skaita dziļāk nekā parasti: daudzfaktoru autentifikācija uzņēmuma sistēmām, procedūru drošības incidentu gadījumā un rezerves kopiju un atkopšanas nodrošinājums. Apdrošinātāji regulāri jautā arī par iesaiņošanas procesu; šī atbilde ir: procesu ievainojamības jomā. Ja uzņēmumam nav ISO 27001 sertifikata, tas parasti nav pats par sevi problēma — apdrošinātāji parasti pieņem arī pasākumu aprakstu bez sertifikata, kamēr atbildes ir konkrētas un nesaka tikai "jā, mums ir politika".

Kāpēc šie divi ietvari pārklājas

Pārklāšanās ir pamatota, nevis nejauša: NIS2 21. panta 2. punkts nosaka desmit pasākumu kategorijas (riska analīzi, incidentu apstrādi, biznesa nepārtrauktību, piegādes ķēdes drošību, ievainojamības politiku, kriptogrāfiju, piekļuves kontroli, MFA, apmācību un efektivitātes pārbaudīšanu), un ISO/IEC 27001 Pielikums A izstrādā gandrīz tās pašas tēmas par novērtējamiem pārvaldības pasākumiem. Apdrošinātāji izmanto šos ietvarus kā objektīvu mēru, jo tie ir ārēji dokumentēti un pārbaudāmi — nevis tāpēc, ka apdrošinātājs pats ir Kiberdrošības likuma darbības jomā vai to prasa no klienta.