Проверка на киберсигурността обикновено поискова фиксирана съвкупност от доказателства: политика за информационна сигурност, преглед на това кой има достъп до кои системи, план за случай на проблем и доказателство че наистина го тестирате. По конкретно обикновено е става дума за политически документ, анализ на рисковете, план за реагиране на инцидент, доклад от скорошен тест на проникване (контролиран опит да влезете в вашите системи, за да намерите слабости), преглед на резервни копия и процедури за възстановяване, и доказателство че служителите са преминали обучение по повишаване на осведомеността.
Подробността, която е най-значима при този вид проверка, е не съдържанието на тези документи, а датата на тях. Политика за информационна сигурност от преди три години, доклад от пентест без ясна дата на преемане или преглед на обучението, който не показва кога е била последната сесия: това са точно нещата, на които клиентът ще възрази или ще поиска допълнение. Самата проверка често тества не само дали мярката съществува, но и дали е актуална.
Защо датата има толкова голямо значение
Проверка на киберсигурността се опитва да даде моментален снимок на това как сега стои един доставчик, а не как е стоял преди две години. Пентест от преди две години казва малко за системите, които са обновени или заменени междувременно. Политически документ, който не е преглеждан от една реорганизация, вероятно не покрива сегашната ситуация. Клиентите, които сами попадат под наблюдение, например чрез правила за сетева и информационна сигурност, често преразпределят тази очаквана актуалност на собствените си доставчици. Това обяснява защо един портал понякога изрично поискова дата на валидност наред със самия документ.
За компании, които попадат под NIS2 указанието или които правят сделки с организация, която го прави, тези доказателства често се появяват в фиксирана подредба на мерки. Какво точно поискува это указание и за кого, прочетете в базата знания; този статия говори за самите документи, а не за обхвата на правилата. базата от знания с обяснение по тема предоставя преглед на там.
Какво обикновено трябва и не трябва да доставите
Не всеки клиент поискува една и съща дълбочина. Един голям клиент със собствено отделение за закупуване на киберсигурност понякога поискува пълния доклад от пентест; един по-малък клиент често е доволен с резюме или декларация че е тестирано и кога. Какво конкретно трябва да споделите, зависи от портала и проверката на този конкретен клиент. Не е обичайно да споделяте изходен код, политика на пароли до детайл или вътрешни сетеви диаграми; тази информация обикновено не принадлежи на проверка на доставчик и един внимателен клиент също няма да я поискува.
Един досие, множество проверки
Трудното при тези документи е не че липсват, а че са разпръснати: политиката при IT, преглед на обучението при HR, доклад от пентест при външната партия, която е извършила теста. При следващата проверка ги събирате отново, и проверявате отново дали датите все още са верни. Един централен досие на верига пази тези документи и техните дати на валидност на едно място, така че при нова проверка видите кои отговори все още са актуални и кои трябва да бъдат обновени. Supplia попълва въз основа на това въпросите в списъка на вашия клиент; вие потвърждавате per отговор и сами подаватe при портала на вашия клиент.
Дали вашата компания в момента липсват документи, които често се искат, видите бързо с безплатната проверка, която в няколко въпроса показва как стоите. Как данните в такъв досие се обработват и защитават, прочетете на страницата за приватност и защита на данни. И ако искате да знаете как точно Supplia получава отговорите, които попълва за вас, това е обяснено на обяснението как работи системата.
За ситуацията на вашата собствена компания, със вашите собствени системи и рискове, консултацията със специализиран IT-експерт за киберсигурност или юрист остава най-надеждният съвет. Тази статия дава преглед на това, което често се пита, но не е оценка на това, което е необходимо или достатъчно в ваш случай.
Искате ли да видите кои документи на вашата собствена компания вече са в ред и кои имат нужда от актуализация? Направете безплатното бързо сканиране или разгледайте темите в базата знания, за да видите което е релевантно за вашата ситуация.