katram klientam ir atšķirīga drošības anketa, vai man katru reizi jāsāk no jauna

Katrs saraksts ir atšķirīga to pašu desmit pasākumu secība

Nē, vairumā gadījumu nav jāsāk no jauna — jautājumi atšķiras formulējumā, bet aptver gandrīz katra klienta vienos un tajos pašos pamatpunktus. Viena banka vaicā par "incidentu reagēšanas procedūru", otra par "kā tiek apstrādāti drošības incidenti", un trešā par "kiberincidentu atklāšanu un ziņošanu". Tas ir trīs reizes drošības incidentu risināšanas procedūrutrīs reizes viens un tas pats atbildes dossiers. Tas pats attiecas uz piekļuvi, dublējumkopiām, ievainojamības pārvaldību un piegādātāju ķēdes drošību: gandrīz katrs jautājumu saraksts reducējas uz to pašu desmit pasākumu apakškopu no Direktīvas NIS2 21. panta 2. punkta, pat ja klients pats uz NIS2 neatsaucas.

Darbs tādējādi nav atbildu pastāvīgā pārsarmatošanā, bet gan tā, lai atpazītu, kurš jautājums pieder kuriem pamatpunktiem. Jautājums par "paroles politiku un divu faktoru autentifikāciju" ir vienkārši vairāku faktoru autentifikācija citiem vārdiem. Jautājums par "piegādātāju risku" vai "trešās puses risku" ir drošības prasības saviem piegādātājiem. Tiklīdz tas dossiers vienreiz pastāv, katrs nākamais saraksts galvenokārt ir saskaņošana un apstiprinājums, nevis pārsarmatošana.

Uz ko tas atgriežas: Direktīvas NIS2 21. panta 2. punkts un A pielikums

Direktīvas par tīkla un informācijas sistēmu drošību (NIS2-direktīva) (2022/2555) 21. panta 2. punkts nosaka desmit pasākumu kategorijas — risku analīzi, incidentu apstrādi, biznesa nepārtrauktību, piegādātāju ķēdes drošību, ievainojamības politiku, kriptogrāfiju, piekļuves politiku, MFA, izpratni un pasākumu testēšanu. Gandrīz katrs drošības jautājumu saraksts no bankas, apdrošinātāja vai liela klienta ir viņu paša tulkojums (daļa no) tiem pašiem desmit punktiem, bieži papildināts ar jautājumiem, kas burtiski nāk no ISO/IEC 27001 A pielikuma. Tas izskaidro, kāpēc formulējums mainās, bet pamatā tas neatšķiras: tas ir divi fiksēti karkasi, nevis tūkstošu atsevišķu klientu vēlmes.