Et spørgeskema om cybersikkerhed anmoder normalt om et fast sæt bilag: en informationssikkerhedspolitik, en oversigt over, hvem der har adgang til hvilke systemer, en plan for, hvis der går noget galt, og bevis for, at du også tester dette. I praksis drejer det sig ofte om et politikdokument, en risikovurdering, en hændelsesberedskabsplan, en rapport fra en nylig penetrationtest (et kontrolleret forsøg på at bryde ind i dine systemer for at finde svage punkter), en oversigt over sikkerhedskopier og genoprettelsesprocedurer samt bevis for, at medarbejderne har gennemgået undervisning i bevidsthed.
Det detalje, der betyder mest i denne type spørgeskema, er ikke indholdet af disse dokumenter, men datoen på dem. En informationssikkerhedspolitik, der er tre år gammel, en pentest-rapport uden en klar godkendelsesdato, eller en træningsoversigt, der ikke viser, hvornår den seneste session var: det er præcis de ting, som en kunde enten kritiserer eller anmoder om supplering af. Spørgeskemaet selv tester ofte ikke blot, om en foranstaltning eksisterer, men om den er aktuel.
Hvorfor datoen får så meget vægt
Et spørgeskema om cybersikkerhed forsøger at give et øjebliksbillede af, hvordan en leverandør har det nu, ikke hvordan den havde det for to år siden. En pentest, der er to år gammel, siger lidt om de systemer, der siden er blevet opdateret eller erstattet. Et politikdokument, der ikke er blevet gennemgået siden en omorganisering, dækker muligvis ikke den nuværende situation. Kunder, der selv er underlagt tilsyn, for eksempel gennem regler for netværks- og informationssikkerhed, giver ofte denne forventning om aktualitet videre til deres egne leverandører. Det forklarer, hvorfor en portal nogle gange eksplicit anmoder om en gyldighedsdato sammen med dokumentet selv.
For virksomheder, der er omfattet af NIS2-direktivet, eller som handler med en organisation, der er det, dukker disse bilag ofte op i et fast layout af foranstaltninger. Hvad direktivet præcist anmoder om, og for hvem, kan du læse i vidensbanken; denne artikel handler om selve dokumenterne, ikke om reglernes område. vidensbanken med forklaring pr. emne giver der et overblik over.
Hvad du normalt skal og ikke skal levere
Ikke alle kunder anmoder om den samme dybde. En stor kunde med egen indkøbsafdeling for cybersikkerhed anmoder nogle gange om den fulde pentest-rapport; en mindre kunde er ofte allerede tilfreds med et resumé eller en erklæring om, at der er testet, og hvornår. Hvad du konkret skal dele, afhænger af portalen og spørgeskemaet fra den pågældende kunde. Det er ikke almindeligt at dele kildekode, adgangskodepolitik i alle detaljer eller interne netværksdiagrammer; disse oplysninger hører normalt ikke hjemme i et leverandørspørgeskema, og en omhyggelig kunde vil heller ikke anmode om dem.
Ét dossier, flere spørgeskemaer
Problemet med disse dokumenter er ikke, at de mangler, men at de ligger spredt: politikken hos IT, træningsoversigten hos HR, pentest-rapporten hos den eksterne part, der har udført testen. Ved det næste spørgeskema samler du dem igen, og du kontrollerer igen, om datoerne stadig passer. Et centralt kæde-dossier opbevarer disse dokumenter og deres gyldighedsdato ét sted, så du ved et nyt spørgeskema kan se, hvilke svar der stadig er aktuelle, og hvilke der skal opdateres. Supplia udfylder spørgsmålene i din kundes liste baseret på det; du bekræfter hvert svar, og du indsender selv på din kundes portal.
Hvis dit firma i øjeblikket mangler dokumenter, der ofte bliver anmodet om, kan du hurtigt se det med den gratis check, der i et par spørgsmål viser, hvor du står. Hvordan dataene i et sådant dossier behandles og beskyttes, kan du læse på siden om privatliv og databeskyttelse. Og hvis du vil vide, hvordan Supplia præcis får de svar, som det udfylder for dig, er det forklaret på forklaringen på, hvordan systemet fungerer.
For situationen i dit eget firma, med dine egne systemer og risici, er en samtale med en specialiseret IT-sikkerhedsekspert eller jurist det mest pålidelige råd. Denne artikel giver et overblik over, hvad der ofte bliver spurgt om, ikke en vurdering af, hvad der er nødvendigt eller tilstrækkeligt i dit tilfælde.
Vil du se, hvilke dokumenter dit eget firma allerede har på plads, og hvilke der har brug for en opdatering? Foretag den gratis hurtig-scan, eller gennemse emnerne i videnbanken for at se, hvad der er relevant for din situation.