asigurătorul vrea să completeze lista de întrebări pentru asigurare cibernetică cum o fac

Chestionarele pentru polița de ciber urmează aceleași zece măsuri

Chestionarul unui asigurător acoperă aproape întotdeauna același domeniu ca și un chestionar NIS2 de la un client: controlul accesului, MFA, copii de siguranță, politica de patch-uri, răspuns la incidente. Aceasta nu este o coincidență — asigurătorii își bazează întrebările de acceptare în mare parte pe cele zece măsuri din articolul 21 alineatul 2 al Directivei NIS2, și pe măsurile de control din Anexa A a ISO/IEC 27001. Oricine a completat deja acele două cadre pentru un client poate să transfere răspunsurile aproape nemodificate pentru asigurător. Diferența se află în ton: un client întreabă despre politică, un asigurător adesea intră mai adânc în detalii — de exemplu dacă MFA este obligatoriu pentru toate conturile de administrator, nu doar „prezent".

Pentru aceasta, completați mai întâi dosarul lanțului pe punctele în care asigurătorul merge mai adânc decât de obicei: autenticarea multifactor pentru sistemele de întreprindere, procedura în caz de incidente de securitate și provisiunea de salvare și recuperare. Asigurătorii întreabă de asemenea frecvent despre procesul de patch-uri; acel răspuns se află sub procesul pentru vulnerabilități. Dacă întreprinderea nu are o certificare ISO 27001, aceasta de obicei nu este o problemă în sine — asigurătorii acceptă de obicei și o descriere a măsurilor fără certificat, atâta timp cât răspunsurile sunt concrete și nu doar "da, avem politică".

De ce aceste două cadre se suprapun

Suprapunerea este substanțială, nu întâmplătoare: articolul 21 alineatul 2 NIS2 enumeră zece categorii de măsuri (analiză de risc, gestionarea incidentelor, continuitate operațională, securitatea lanțului de aprovizionare, politica de vulnerabilități, criptografie, control al accesului, MFA, instruire și testare a eficacității), iar Anexa A a ISO/IEC 27001 elaborează aproape aceleași teme în măsuri de control verificabile. Asigurătorii folosesc aceste cadre ca standard obiectiv deoarece sunt documentate și verificabile din exterior — nu pentru că asigurătorul însuși se încadrează sub Legea Securității Cibernetice sau o cere clientului.