nu știu răspunsul la o întrebare, pot răspunde cu nu

"Nu" este un răspuns despre o măsură, nu despre un fapt necunoscut

Completarea cu "Nu" atunci când nu știi răspunsul nu este soluția corectă. "Nu" este un răspuns valabil la întrebarea dacă există o măsură — de exemplu că nu există o obligație MFA sau nicio procedură stabilită pentru incidente. Dar nu este un răspuns valabil la întrebarea dacă știi ceva. Acestea sunt două lucruri diferite, și o chestionar nu face de obicei această distincție în mod explicit.

Cel mai înțelept este să verifici mai întâi dacă răspunsul este cunoscut undeva în organizație, doar nu la tine. O întrebare despre cerințele de securitate pentru propriii furnizori poate de exemplu să fie la achiziții, și o întrebare despre autentificare multifactor la IT. Doar dacă răspunsul nu este cu adevărat stabilit nicăieri, nu există de fapt o măsură de confirmat — și atunci "Nu" este cel puțin corect, în loc de o ghicire care mai târziu se dovedește a fi greșită.

Cele zece măsuri ale articolului 21 cer un fapt, nu o estimare

Chestionarele care rezultă din NIS2 se bazează pe cele zece măsuri ale articolului 21 alineatul 2 din Directiva (UE) 2022/2555. Fiecare măsură — de la managementul riscului la politica de acces — este o întrebare da/nu despre o practică existentă, nu despre o estimare. Același lucru este valabil și pentru măsurile de control din Anexa A a ISO/IEC 27001, la care se referă numeroase formate ale clienților. Un răspuns care nu are o sursă în dosarul lanțului nu va fi prezentat ca "da" de sistemul nostru: rămâne deschis până când există un fapt în spate. De aceea și o întrebare cum ar fi dacă întreprinderea se încadrează sub Directiva NIS2 în afara măsurilor substantive este tratată — este un alt tip de fapt, cu un alt tip de dovadă.