katrs klients sūta citu jautājumnicku - kā es to visu seku

Viens piegādes ķēdes fails, desmit fiksēti bloki

Risinājums ir ne vairāk formātu uzturēšana, bet vienas pamatstruktūras uzturēšana, kas paliek tāda pati zem katra formāta. Katrs klients savu jautājumaino iepakota atšķirīgi — viens to sauc par "supplier security assessment", otrs par "third party risk questionnaire" — bet saturs gandrīz vienmēr atgriežas pie desmit pasākumiem no Direktīvas (ES) 2022/2555 21. panta 2. punkta, vai pie A pielikuma vadības pasākumiem no ISO/IEC 27001, ja klients šo standartu izmanto par pamatu. Riska politika, incidentu reaģēšana, nepārtrauktība, piegādes ķēdes drošība, neaizsargātību pārvaldība: tie desmit temati parādās zem mainīgiem virsrakstiem, mainīgā secībā, ar mainīgu punktu sistēmu (jā/nē, 1-5, teksta lauks). Tas, kurš savu atbildi reģistrē katram blokam nevis katram klienra formātam, pie jauna jautājumaino tikai jāatpazīst, kuram tematam atbilst kāds virsraksts — atbildi nav jāpārrediģē.

Praksē tas nozīmē, ka katram blokim tu vienu reizi raksti labu atbildi ar pierādījumu, un tad šo atbildi atkārtoti izmanto. Priekš piekļuves politiku un uzņēmuma līdzekļu pārvaldi bieži vien ir politikas dokuments plus ekrānuzņēmums no atļauju struktūras; priekš drošības pasākumu procedūras pārbaudes tas ir jaunākais iekšējais audita atskaite. Tiklīdz šis fails ir pabeigts, jauns klienra jautājumains ir galvenokārt atpazīšana un kopēšana, nevis atkārtota izpēte.

Kāpēc desmit pasākumi ir kopīgais saucējs

Direktīvas (ES) 2022/2555 21. panta 2. punkts nosaka desmit pasākumu kategorijas, ko entītija ir jāņem — sākot ar riska analīzes politiku līdz kriptogrāfijai un cilvēka uzvedībai — un šis saraksts praksē ir pamats, uz kura lielāko daļu klienru iepirkuma jautājumaino ir uzbūvēti, pat ja klients pats neatsaucas uz NIS2. ISO/IEC 27001 A pielikums lielā mērā aptver tos pašus tēmas ar vairāk detaļu katram pasākumam, kas skaidro, kāpēc formāts, kas atsaucas uz vienu sistēmu, bez lielām grūtībām ir tulkojams uz otru.