ubezpieczyciel chce wypełnić listę pytań do ubezpieczenia cyber, jak się do tego zabrać

Listy pytań dotyczące polisy cybernetycznej opierają się na tych samych dziesięciu środkach

Lista pytań ubezpieczyciela obejmuje prawie zawsze ten sam zakres co lista pytań NIS2 od klienta: kontrola dostępu, MFA, kopie zapasowe, polityka łatania, reagowanie na incydenty. To nie przypadek — ubezpieczyciele obecnie opierają swoje pytania dotyczące akceptacji w dużej mierze na dziesięciu środkach z artykułu 21 ust. 2 dyrektywy NIS2 oraz na środkach kontroli Załącznika A normy ISO/IEC 27001. Kto już wypełnił te dwa ramy dla klienta, może prawie bez zmian przejąć odpowiedzi dla ubezpieczyciela. Różnica polega na tonie: klient pyta o politykę, ubezpieczyciel często pyta nieco bardziej szczegółowo — na przykład czy MFA jest obowiązkowe dla wszystkich kont administratora, a nie tylko "obecne".

W związku z tym najpierw uzupełnij plik łańcuchowy w kwestiach, w których ubezpieczyciel idzie głębiej niż zwykle: uwierzytelnianie wieloskładnikowe dla systemów biznesowych, procedury postępowania w przypadku incydentów bezpieczeństwa i urządzenie do tworzenia kopii zapasowych i przywracaniaUbezpieczyciele również regularnie pytają o proces łatania; ta odpowiedź znajduje się w sekcji proces obsługi podatnościJeśli przedsiębiorstwo nie posiada certyfikatu ISO 27001, zwykle nie stanowi to problemu — ubezpieczyciele zazwyczaj akceptują również opis środków bez certyfikatu, o ile odpowiedzi są konkretne i nie tylko mówią "tak, mamy politykę".

Dlaczego te dwie ramy się nakładają

Nakładanie się jest merytoryczne, a nie przypadkowe: artykuł 21 ust. 2 NIS2 wymienia dziesięć kategorii środków (analiza ryzyka, obsługa incydentów, ciągłość biznesowa, bezpieczeństwo łańcucha dostaw, polityka podatności, kryptografia, kontrola dostępu, MFA, szkolenie i testowanie skuteczności), a Załącznik A ISO/IEC 27001 opracowuje prawie te same tematy na rzecz podlegających weryfikacji środków kontroli. Ubezpieczyciele używają tych ram jako obiektywnego standardu, ponieważ są one dokumentowane na zewnątrz i poddawane kontroli — nie dlatego, że ubezpieczyciel sam podlega Ustawie o cyberbezpieczeństwie lub wymaga tego od klienta.