Každý zákazník posiela iný dotazník, ako si to stále pamatujem

Jeden reťazový spis, desať pevných stavebných prvkov

Riešením nie je udržiavať viac formátov, ale udržiavať jednu základnú štruktúru, ktorá je pod každým formátom rovnaká. Každý zákazník balí svoju otáznik inak — jeden ho nazýva "supplier security assessment", druhý "third party risk questionnaire" — ale obsah sa takmer vždy vracia na desať opatrení z článku 21 odsek 2 NIS2, alebo na opatrenia prílohy A normy ISO/IEC 27001, ak zákazník používa tento štandard ako rámec. Politika rizika, reakcia na incidenty, kontinuita, bezpečnosť reťazca, správa zraniteľností: tieto desať tém sa opakovane objavujú pod rôznymi nadpismi, v rôznom poradí, s rôznymi bodovaniami (áno/nie, 1-5, textové pole). Kto si zaznamená svoje odpovede podľa témy namiesto podľa formátu zákazníka, nemusí pri novom otázniku robiť nič iné ako poznamenať, ktorý nadpis patrí ktorej téme — formulovať odpoveď znova nie je potrebné.

V praxi to znamená, že pre každý stavebný prvok napíšete raz dobrú odpoveď spolu s dôkazom a túto odpoveď potom znova použijete. Pre politike prístupu a správe podnikových aktív ide často o politický dokument plus snímka obrazovky štruktúry právomocí; pre testovanie postupov bezpečnostných opatrení je to posledná správa z interného auditu. Akonáhle je tento spis kompletný, nový otáznik od zákazníka je predovšetkým otázkou rozpoznania a kopírovania, nie znova pátrajúci.

Prečo sú desať opatrení spoločným menovateľom

Článok 21 odsek 2 Smernice (EÚ) 2022/2555 uvádza desať kategórií opatrení, ktoré musí subjekt prijať — od politiky analýzy rizík až po kryptografiu až po ľudské správanie — a tento zoznam je v praxi základom, na ktorom je postavená väčšina nákupných otáznikov zákazníkov, aj keď sa zákazník sám na NIS2 neodvoláva. ISO/IEC 27001 Príloha A pokrýva do značnej miery rovnaké témy s väčšou podrobnosťou na opatrenie, čo vysvetľuje, prečo sa formát odkazujúci na jeden rámec bez väčšieho úsilia dá preložiť na druhý.