Kwestionariusz cyberbezpieczeństwa zwykle wymaga stałego zestawu dowodów: polityki bezpieczeństwa informacji, przeglądu osób mających dostęp do poszczególnych systemów, planu na wypadek niepowodzenia oraz dowodu, że rzeczywiście go Pan/Pani testuje. Konkretnie chodzi często o dokument polityki, analizę ryzyka, plan reagowania na incydenty, raport z niedawnego testu penetracyjnego (kontrolowana próba włamania się do Pana/Pani systemów w celu znalezienia słabych punktów), przegląd kopii zapasowych i procedur przywracania oraz dowód, że pracownicy przeszli szkolenie z zakresu świadomości.
Szczegół, który przy tego rodzaju kwestionariuszu gra największą rolę, to nie zawartość tych dokumentów, ale data na nich. Polityka bezpieczeństwa informacji sprzed trzech lat, raport z testu penetracyjnego bez wyraźnej daty przejęcia lub przegląd szkoleń, który nie pokazuje, kiedy odbyła się ostatnia sesja: to dokładnie rzeczy, na które odbiorca zwraca uwagę negatywnie lub o które prosi uzupełnienie. Sam kwestionariusz często ocenia nie tylko, czy dana miara istnieje, ale czy jest aktualna.
Dlaczego data ma takie znaczenie
Kwestionariusz cyberbezpieczeństwa stara się dać obraz bieżący tego, jak radzisz sobie jako dostawca, a nie jak radziłeś sobie dwa lata temu. Test penetracyjny sprzed dwóch lat mówi mało o systemach, które w międzyczasie zostały zaktualizowane lub zastąpione. Dokument polityki, który nie był przeglądany od reorganizacji, może już nie obejmować obecnej sytuacji. Odbiorcy, którzy sami podlegają nadzorowi, na przykład poprzez przepisy dotyczące bezpieczeństwa sieci i informacji, często przekazują to oczekiwanie aktualności swoim własnym dostawcom. To wyjaśnia, dlaczego portal czasami wyraźnie prosi o datę ważności obok samego dokumentu.
W przypadku firm podlegających dyrektywie NIS2 lub prowadzących interesy z organizacją, która jej podlega, te dokumenty dowodowe często pojawiają się w stałej strukturze środków. Informacje na temat dokładnie tego, co wymaga ta dyrektywa i dla kogo, znajdują się w bazie wiedzy; niniejszy artykuł dotyczy samych dokumentów, a nie zakresu przepisów. bazie wiedzy z wyjaśnieniami dla każdego tematu stanowi przegląd.
Co zwykle musisz, a czego nie musisz dostarczać
Nie każdy odbiorca wymaga takiego samego zakresu. Duży klient z własnym działem zakupów do spraw cyberbezpieczeństwa czasami prosi o pełny raport z testu penetracyjnego; mniejszy klient jest często już zadowolony ze streszczenia lub oświadczenia, że testy były przeprowadzane i kiedy. To, co konkretnie musisz udostępnić, zależy od portalu i kwestionariusza tego konkretnego odbiorcy. Nie jest zwyczajowo dzielić się kodem źródłowym, szczegółową polityką haseł ani wewnętrznymi schematami sieciowymi; informacje te zwykle nie powinny znaleźć się w kwestionariuszu dostawcy, a ostrożny odbiorca też tego nie prosi.
Jedno dossier, wiele kwestionariuszy
Trudność z tymi dokumentami nie polega na tym, że ich brakuje, ale że są rozrzucone: polityka w dziale IT, przegląd szkoleń w dziale HR, raport z testu penetracyjnego u zewnętrznej firmy, która przeprowadziła test. Przy następnym kwestionariuszu zbierasz je ponownie i sprawdzasz, czy daty się zgadzają. Centralne dossier łańcuchowe przechowuje te dokumenty i ich datę ważności w jednym miejscu, dzięki czemu przy nowym kwestionariuszu widzisz, które odpowiedzi są jeszcze aktualne, a które wymagają aktualizacji. Supplia na tej podstawie wypełnia pytania z listy Pana/Pani klienta; Pan/Pani potwierdza każdą odpowiedź, a następnie składa je osobiście w portalu klienta.
To, czy Twoja firma obecnie brakuje dokumentów, które są często wymagane, szybko zobaczysz za pomocą bezpłatnego czeku, który w kilka pytań pokazuje, gdzie stoisz. Jak dane w takim dossier są traktowane i zabezpieczane, przeczytaj na stronie dotyczącej prywatności i ochrony danych. A jeśli chcesz wiedzieć, jak dokładnie Supplia uzyskuje odpowiedzi, które dla Ciebie wypełnia, wyjaśnienie znajduje się na wyjaśnienie dotyczące działania systemu.
W przypadku Twojej firmy, z Twoimi własnymi systemami i zagrożeniami, rozmowa ze specjalistą IT ds. bezpieczeństwa lub prawnikiem pozostaje najbardziej wiarygodną poradą. Artykuł ten zawiera przegląd tego, co jest często pytane, a nie ocenę tego, co jest niezbędne lub wystarczające w Twoim przypadku.
Chcesz zobaczyć, które dokumenty w Twojej firmie są już w porządku, a które wymagają aktualizacji? Przeprowadź bezpłatny szybki przescan lub przejrzyj tematy w bazie wiedzy, aby dowiedzieć się, co jest istotne dla Twojej sytuacji.