Vsaka stranka ima drugačen seznam vprašanj o varnosti, moram vsakič znova začeti

Vsak seznam je drugačen vrstni red istih desetih ukrepov

Ne, v večini primerov se ni treba začeti znova — vprašanja se razlikujejo v besedilu, vendar pokrivajo pri skoraj vsakem stranku iste osnovne točke. Ena banka sprašuje o »postopku za obravnavo incidentov«, druga o »kako se obravnavajo varnostni incidenti«, tretja pa o »zaznavi in prijavi kibernetskih incidentov«. To je trikrat postopkom za obravnavo varnostnih incidentovtrikrat isti odgovor iz iste mape. Enako velja za dostop, varnostne kopije, upravljanje ranljivosti in varnost verige pri dobaviteljih: skoraj vsak vprašalnik se reducira na podmnožico desetih ukrepov iz člena 21(2) Direktive NIS2, tudi če stranki sam NIS2 ne omeni.

Delo torej ne leži v nenehnem ponovno formuliranju odgovorov, temveč v prepoznavanju, katero vprašanje sodi k kateremu osnovnemu elementu. Vprašanje o »politiki gesel in dvostopenjski avtentikaciji« je preprosto večfaktorska avtentifikacija drugače rečeno. Vprašanje o »tveganju dobavitelja« ali »tveganju tretje strani« je varnostni zahtevki do lastnih dobaviteljev. Takoj ko je ta mapa pripravljena, je vsak naslednji seznam predvsem primerjanje in potrditev, ne ponovno pisanje.

Kje je to osnovano: člen 21(2) in Dodatek A

Člen 21(2) Direktive NIS2 (2022/2555) našteva deset kategorij ukrepov — analiza tveganja, obravnava incidentov, kontinuiteta poslovanja, varnost verige, politika ranljivosti, kriptografija, politika dostopa, MFA, ozaveščanje in testiranje ukrepov. Skoraj vsak vprašalnik o varnosti banke, zavarovalnice ali velikega komercinega stranke je lastni prevod (dela) istih desetih točk, pogosto dopolnjen z vprašanji, ki so dobesedno iz Dodatka A standarda ISO/IEC 27001. To pojasnjuje, zakaj se besedilo spreminja, vsebina pa ne: to sta dva fiksna okvira, ne tisoč ločenih želja strank.