segurador pede lista de questões de segurança para seguro cibernético o que devo fazer

Seguradores colocam as mesmas dez medidas, mas querem prova

Um segurador cibernético coloca questões que se sobrepõem amplamente com o artigo 21.º, n.º 2 da NIS2: resposta a incidentes, cópias de segurança, MFA, política de correção, gestão de fornecedores. A diferença com um questionário NIS2 de um cliente é que o segurador quer prova concreta, não intenção de política. Onde um parceiro de cadeia fica satisfeito com "sim, temos um procedimento", o segurador frequentemente quer saber se existe um procedimento para o tratamento de incidentes de segurança incluindo tempo de recuperação, e se autenticação multifator é obrigatório para todos os acessos externos ou apenas para contas de administrador. É nessa diferença de granularidade que surge a maioria das dúvidas: uma resposta que é suficiente num questionário é demasiado genérica noutro.

Se uma medida existe mas não é consistente em toda a parte — por exemplo MFA no ambiente na nuvem mas não na VPN — a resposta comum é "parcialmente" com uma breve explicação, não um "sim" que pode colocar a cobertura em discussão posteriormente. Para as questões sobre cópias de segurança e medidas de emergência e sobre requisitos de segurança para fornecedoras próprias aplica-se o mesmo: o segurador frequentemente avalia retrospetivamente, numa reclamação, se a resposta estava correta. Um certificado ISO 27001 acelera este processo significativamente, porque o certificado as medidas do Anexo A já são verificadas independentemente — sem certificado deve fornecer a prova por cada questão.

Por que é que os seguradores colocam questões ligeiramente mais abrangentes do que as dez medidas da NIS2

As dez medidas do artigo 21.º, n.º 2 da NIS2 formam o núcleo de praticamente todos os questionários de segurança, incluindo os de seguradores cibernéticos, mas os seguradores frequentemente complementam isto com questões que são específicas para a avaliação de risco numa reclamação — como o âmbito da MFA ou o tempo de recuperação após um incidente. A norma ISO/IEC 27001 Anexo A apresenta por medida os controlos de gestão com os quais pode fundamentar uma resposta, o que é particularmente relevante porque os seguradores mais frequentemente solicitam provas do que outros clientes.