asigurătorul cere listă de întrebări de securitate pentru asigurarea cibernetică ce trebuie să fac

Asiguratorii întreabă aceleași zece măsuri, dar doresc dovezi

Un asigurător de asigurare cibernetică pune întrebări care se suprapun în mare măsură cu articolul 21 alineatul 2 al NIS2: răspuns la incidente, copii de rezervă, MFA, politică de remediere, gestionarea furnizorilor. Diferența cu un chestionar NIS2 de la un client este că asiguratorul dorește dovezi concrete, nu intenție de politică. Acolo unde un partener din lanț este mulțumit cu "da, avem o procedură", asiguratorul dorește adesea să știe dacă există o procedură pentru tratarea incidentelor de securitate inclusiv timp de restabilire, și dacă autentificare multifactor este obligatoriu pentru toate accesele externe sau doar pentru conturi de administrator. Această diferență de granularitate este aceea care creează cea mai mare parte a îndoielilor: un răspuns care este suficient la un chestionar, este prea general la altul.

Dacă o măsură există, dar nu în mod consecvent peste tot — de exemplu MFA pe mediul cloud, dar nu pe VPN — răspunsul obișnuit este "parțial" cu o scurtă explicație, nu un "da" care poate pune mai târziu acoperirea în discuție. Pentru întrebările privind copii de rezervă și măsuri de urgență și despre cerințele de securitate pentru propriii furnizori se aplică același lucru: asiguratorul testează adesea ulterior, în caz de revendicare, dacă răspunsul era corect. Un certificat ISO 27001 accelerează semnificativ acest proces, deoarece certificatul măsurile Annex A sunt deja testate independent — fără certificat trebuie să furnizezi dovezi tu însuți pentru fiecare întrebare.

De ce asiguratorii pun întrebări ușor mai multe decât cele zece măsuri NIS2

Cele zece măsuri din articolul 21 alineatul 2 al NIS2 formează nucleul aproape al fiecărui chestionar de securitate, inclusiv asiguratorii de asigurare cibernetică, dar asiguratorii completează adesea aceasta cu întrebări specifice evaluării riscului în caz de revendicare — cum ar fi domeniul de aplicare al MFA sau timpului de restabilire după un incident. ISO/IEC 27001 Annex A oferă pentru fiecare măsură măsurile de control cu care poți susține un răspuns, ceea ce este relevant în special pentru că asiguratorii cer mai adesea dovezi decât alți beneficiari.