Błąd, który pojawia się najczęściej
Najczęstszy błąd w kwestionariuszu dotyczącym cyberbezpieczeństwa nie polega na tym, że coś nieprawidłowo wypełnicie, ale na tym, że wypełniacie coś, czego nie potraficie już udowodnić. Odpowiedź typu "robimy kopie zapasowe" lub "wdrożyliśmy politykę haseł" jest często wpisywana z pamięci, podczas gdy odbiorcy faktycznie pytają o aktualną sytuację: czy środek jest teraz jeszcze ważny i czy istnieje dokument, który to potwierdza. Ta różnica między tym, co myślicie, że robicie, a tym, co potraficie udowodnić, stanowi rdzeń prawie każdego odrzucenia.
Rozwiązanie nie polega na lepszym sformułowaniu, ale na innym porządku: najpierw porządkować dowody, dopiero wtedy odpowiadać. Kto działa w odwrotny sposób, wypełnia na podstawie pamięci i ryzykuje, że odpowiedź nie będzie już zgodna z rzeczywistością.
Dlaczego to dzieje się częściej niż myślicie
Kwestionariusz dotyczący cyberbezpieczeństwa przychodzi rzadko sam. Bank wysyła jeden format, duży klient wysyła inny format, a ubezpieczyciel stawia znowu inne pytania — wszystkie dotyczą mniej więcej tych samych zagadnień. Organy nadzoru i organizacje branżowe regularnie odwołują się do dziesięciu środków wymienionych w dyrektywie NIS2, takich jak kontrola dostępu, reagowanie na incydenty i zabezpieczenie łańcucha dostaw. Kto nie traktuje tych dziesięciu zagadnień jako ustalonego punktu wyjścia, odpowiada na każdą listę od nowa, i tu właśnie powstają niespójności.
Błąd 1: ta sama odpowiedź, tylko inaczej sformułowana
Ponieważ każdy portal stosuje własny format, ten sam fakt jest często zapisywany nieco inaczej. Na jednej liście piszecie, że dostęp "ograniczony jest do pracowników uprawnionego", na innej, że "istnieje model ról". Oba mogą być prawdziwe, ale gdy odbiorca położy odpowiedzi obok siebie — a to dzieje się coraz częściej, również automatycznie — różnice się rzucają w oczy. Nie dlatego, że coś jest nie tak, ale dlatego, że wygląda niespójnie.
Błąd 2: środek na papierze, a nie w praktyce
Dokument polityki opracowany trzy lata temu i nigdy nieaktualizowany nie jest dowodem na to, że środek jest teraz nadal wdrażany. Organy nadzoru i odbiorcy patrzą tutaj nie tylko na istnienie dokumentu, ale na datę i na to, kto go ustanowił. Wypełnianie kwestionariusza na podstawie nieaktualnego dokumentu to drugi najczęstszy błąd.
Błąd 3: wygasłe dowody, które nikt nie zastępuje
Certyfikaty, raporty z testów penetracyjnych i dowody ubezpieczenia mają okres ważności. Kto ich centralnie nie monitoruje, często odkrywa dopiero przy wypełnianiu nowej listy, że dokument wygasł. To zajmuje czas, a czasami cały formularz musi czekać, aż dostępny będzie nowy dokument. przeczytaj dla każdego zagadnienia, jakie dowody zwykle się wymagają i kiedy średnio wygasają.
Błąd 4: zbyt szeroki lub zbyt wąski zakres wypełnienia
Pytanie dotyczące "waszej organizacji" jest czasami odpowiadane tak, jakby chodziło o jedną placówkę, podczas gdy odbiorca ma na myśli całą osobę prawną — lub odwrotnie. Może się to wydawać szczegółem, ale determinuje, czy odpowiedź jest merytoryczne poprawna. W przypadku wątpliwości dotyczących zakresu pytania zalecane jest sprawdzenie definicji w samym kwestionariuszu lub bezpośrednie skierowanie pytania do odbiorcy.
Jak to w praktyce uniknąć
Większość tych błędów pojawia się, ponieważ te same informacje są przechowywane w wielu miejscach oddzielnie: w skrzynkach pocztowych, w plikach Excel, w głowie jednego pracownika. Jeden centralny przegląd środków i dowodów, ze wskazaniem daty ostatniej kontroli dla każdego dokumentu, zapobiega większości wymienionych wyżej błędów. Ten przegląd nie musi być opracowywany na nowo dla każdej listy; jest aktualizowany, gdy coś się zmieni.
Supplia.eu został zbudowany, aby wspierać dokładnie ten przegląd: system rozpoznaje pytania na przesłanej liście i uzupełnia je z Pani/Pana dossier łańcucha dostaw, a następnie Pani/Pan osobiście potwierdza każdą odpowiedź lub koryguje ją. Nie prowadzimy żadnej oceny ani wyjaśnień — kontrola merytoryczna i przesłanie do portalu Pani/Pana klienta pozostają w Pani/Pana rękach. Za pomocą kilku pytań szybko zobaczy Pani/Pan, w jakim stanie znajduje się Pani/Pana dossier, a na stronie dotyczącej naszej metodologii znajduje się dokładnie, skąd pochodzą informacje.
Co to nie zastępuje
Artykuł ten opisuje ogólne wzorce, nie zawiera oceny Pani/Pana konkretnych odpowiedzi lub dossier. To, czy konkretny środek spełnia dokładnie to, czego wymaga bank, ubezpieczyciel lub duży klient, zależy od sposobu sformułowania pytania przez tę stronę. W przypadku wątpliwości dotyczących konkretnego pytania rozsądnie jest przedstawić je odbiorcy lub skonsultować się z prawnikiem w sprawach prawnych. Na stronie często zadawanych pytań znajduje się przegląd tego, co robimy i czego nie robimy.
Chce Pani/Pan wiedzieć, czy Pani/Pana dossier już unika najczęstszych błędów? Przeprowadź bezpłatną szybką skanowanie lub przejrzyj tematy w bazie wiedzy — oba są dostępne bez zobowiązań.