Zavarovalnica želi izpolniti seznam vprašanj za zavarovanje pred kibernetskimi grožnjami, kako se lotim tega

Vprašalniki za kibernetske police sledijo istim deseti ukrepom

Vprašalnik zavarovalnice pokriva skoraj vedno isto področje kot vprašalnik NIS2 stranke: nadzor dostopa, MFA, varnostne kopije, politika popravkov, odziv na incidente. To ni naključje — zavarovalnice svoje vprašalnike za sprejemljivost v veliki meri temeljijo na desetih ukrepih člena 21(2) Direktive NIS2 in na ukrepih Dodatka A standarda ISO/IEC 27001. Kdor je oba okvira že izpolnil za stranko, lahko odgovore praktično nespremenjene prevzame za zavarovalnico. Razlika je v tonu: stranka sprašuje po politiki, zavarovalnica pa pogosto sprašuje malo bolj specifično — na primer ali je MFA obvezna za vse skrbniške račune, ne samo "prisotna".

Zato najprej dopolnite verigofondosje na točkah, kjer zavarovalnica gre globlje kot običajno: večfaktorska avtentifikacija za poslovne sisteme, postopku pri varnostnih incidentih in varnostno kopiranje in okrevanje. Zavarovalnice tudi redno sprašujejo o procesu popravkov; ta odgovor je pod procesom za ranljivosti. Če podjetje nima certifikata ISO 27001, to samo po sebi običajno ni težava — zavarovalnice sprejemajo tudi opis ukrepov brez certifikata, če so odgovori konkretni in ne govorijo samo "da, imamo politiko".

Zakaj se ta dva okvira prekrivata

Prekrivanje je vsebinsko, ne naključno: člen 21(2) Direktive NIS2 navaja deset kategorij ukrepov (analiza tveganja, obravnava incidentov, poslovna kontinuiteta, varnost verige, politika ranljivosti, kriptografija, nadzor dostopa, MFA, usposabljanje in preizkušanje učinkovitosti), Dodatek A standarda ISO/IEC 27001 pa razvija skoraj ista področja v preverljive nadzorne ukrepe. Zavarovalnice uporabljajo ta okvira kot objektivno merilo, ker sta zunanjih virov dokumentirani in pregledni — ne zato, ker zavarovalnica sama spada pod Zakon o kibernetski varnosti ali to zahteva od stranke.