A kiberbiztonsági kérdőív általában egy rögzített halmazt kér bizonyítékokra: egy információbiztonsági politikát, egy áttekintést arról, hogy kinek van hozzáférése mely rendszerekhez, egy tervet arra, ha valami balul sül el, és azt a bizonyítékot, hogy ezt valóban tesztelik. Konkrétan gyakran egy politikai dokumentumról, egy kockázatelemzésről, egy incidenskezelési tervről, egy közelmúltbeli penetrációs teszt jelentéséről (egy ellenőrzött kísérletről, hogy behatoljon a rendszereibe, hogy gyenge pontokat találjon), egy biztonsági másolatokról és helyreállítási eljárásokról szóló áttekintésről, valamint arról szóló bizonyítékról, hogy az alkalmazottak tudatosságfejlesztési képzésben részt vettek.
Az ebben a típusú kérdőívben játszódó legfontosabb részlet nem ezeknek a dokumentumoknak a tartalma, hanem a rajtuk szereplő dátum. Egy három éves információbiztonsági politika, egy világos átvételi dátum nélküli penteszt-jelentés vagy egy olyan képzési áttekintés, amely nem mutatja meg, hogy mikor volt az utolsó ülés: ezek pontosan azok a dolgok, amelyekben egy vásárló jóváhagyást tagad meg vagy kiegészítést kér. A kérdőív maga gyakran nem csak azt vizsgálja, hogy létezik-e egy intézkedés, hanem azt, hogy az aktuális-e.
Miért kap a dátum ennyire nagy súlyt
A kiberbiztonsági kérdőív egy pillanatfelvételt próbál adni arról, hogy egy szállító jelenleg hogyan áll, nem arról, hogyan állt két évvel ezelőtt. Egy két éves penteszt keveset mond az azóta frissített vagy helyettesített rendszerekről. Egy olyan politikai dokumentum, amelyet nem vizsgáltak felül egy szervezeti átalakulás óta, lehetőleg nem fedi le a jelenlegi helyzetet. Azok az beszerzők, akik maguk felügyelet alatt állnak, például a hálózat- és információbiztonsággal kapcsolatos szabályok révén, gyakran továbbadják ezt az aktuálitás iránti elvárást saját szállítóiknak. Ez magyarázza, miért kér egy portál néha kifejezetten egy érvényességi dátumot maga mellett a dokumentum mellett.
A NIS2-irányelv alá tartozó vagy olyan szervezettel üzleteló vállalatok számára ezek a bizonyítékok gyakran egy rögzített intézkedésrendezésben fordulnak elő. Az, hogy az irányelv mit kér pontosan és kire, a tudásbázisban olvasható; ez a cikk magáról a dokumentumokról szól, nem a szabályok hatályáról. az ismerettár tartalmaz magyarázatot témakörönként ennek egy áttekintésére szolgál.
Amit általában el kell és nem kell szállítania
Nem minden vásárló kér ugyanolyan mélységet. Egy nagy ügyfél, akinek saját beszerzési osztálya van a kiberbiztonsági terén, néha a teljes penteszt-jelentést kéri; egy kisebb ügyfél gyakran már elégedett egy összefoglalóval vagy egy nyilatkozattal, hogy tesztelésre került sor és mikor. Az, hogy konkrétan mit kell megosztania, a portáltól és az adott vásárló kérdőívétől függ. Nem szokás forráskódot, jelszókezelési szabályzatot részletekbe menően vagy belső hálózati sémákat megosztani; ezek az információk általában nem tartoznak egy szállítói kérdőívbe, és egy körültekintő vásárló nem is kér rájuk.
Egy dossié, több kérdőív
Ezeknek a dokumentumoknak a nehézsége nem az, hogy hiányoznak, hanem hogy szétszóródtak: a szabályzat az IT-nál, a képzési áttekintés az emberi erőforrások osztálynál, a penteszt-jelentés az externa szervezetnél, amely az tesztet végezte. A következő kérdőívnél újra össze kell gyűjtenie őket, és ismét ellenőriznie kell, hogy a dátumok még naprakészek-e. Egy központi ellátási láncbeli dossié ezeket a dokumentumokat és azok érvényességi dátumát egy helyen tartja, így egy új kérdőív esetén látható, hogy mely válaszok még aktuálisak és melyek frissítésre szorulnak. A Supplia ezek alapján kitölti az ügyfél listájában szereplő kérdéseket; Ön megerősít minden választ, és saját maga nyújt be az ügyfele portáljára.
Hogy vállalkozása jelenleg hiányzik-e olyan dokumentumok, amelyeket gyakran kérnek, gyorsan meglátja a az ingyenes ellenőrzésben, amely néhány kérdésben mutatja meg, hogy hol áll. Az olyan dossziéban található adatok kezelésének és védelmének módját a az adatvédelmi és adatkezelési oldalon olvashatja. És ha szeretné tudni, hogy a Supplia pontosan hogyan szerzi be az Ön számára kitöltendő válaszokat, azt a a rendszer működésének magyarázata.
Saját vállalata helyzetéhez, saját rendszereivel és kockázataival kapcsolatban egy speciális IT-biztonsági szakember vagy jogász konzultációja a legmegbízhatóbb tanács. Ez a cikk áttekintést nyújt arról, hogy mit szokás kérdezni, de nem értékelést nyújt arról, hogy az Ön esetében mi szükséges vagy elegendő.
Szeretné látni, hogy saját vállalatánál mely dokumentumok vannak már rendben, és mely dokumentumokra van szükség az aktualizálásnak? Végezze el az ingyenes gyorsdiagnózist, vagy böngésszen keresztül a tudásbázis témáin, hogy megtudja, mi releváns az Ön helyzetében.