Vprašalnik o kibernetski varnosti običajno zahteva fiksni nabor dokazov: politiko varovanja informacij, pregled, kdo ima dostop do katerih sistemov, načrt za primer, da se kaj zgodi, in dokaz, da to tudi resnično testirate. V praksi gre pogosto za dokument s politiko, analizo tveganja, načrt za odziv na incidente, poročilo nedavnega testa penetracije (nadzorovani poskus vdora v vaše sisteme, da bi našli šibke točke), pregled varnostnih kopij in postopkov obnovitve ter dokaz, da so zaposleni opravili usposabljanje za ozaveščenost.
Podrobnost, ki ima pri tem tipu vprašalnika največ vpliva, ni vsebina teh dokumentov temveč datum nanje. Politika varovanja informacij stara tri leta, poročilo o testu penetracije brez jasnega datuma prevzema ali pregled usposabljanja, ki ne kaže, kdaj je bila zadnja seja: to so ravno stvari, na katere odjemalec izrazi zadržek ali zahteva dopolnitev. Vprašalnik sam pogosto ne preverja samo, ali obstaja ukrep, temveč ali je trenutno ažuran.
Zakaj ima datum toliko težo
Vprašalnik o kibernetski varnosti poskuša dati trenutni posnetek stanja dobavitelja, ne pa tega, kako je bil dobavitelj pred dvema letoma. Test penetracije, star dve leti, malo pravi o sistemih, ki so jih medtem posodobili ali zamenjali. Dokument s politiko, ki ni bil pregledан od reorganizacije, trenutne razmere morda ne zajema več. Odjemalci, ki so sami pod nadzorom, na primer preko pravil za varnost omrežja in informacij, to pričakovanje aktualnosti pogosto posredujejo svojim lastnim dobaviteljem. To razloži, zakaj portal včasih izrecno zahteva datum veljavnosti ob samem dokumentu.
Za podjetja, ki spadajo pod direktivo NIS2, ali ta, ki poslujejo z organizacijo, ki to počne, se ti dokazi pogosto pojavljajo v fiksni razporeditvi ukrepov. Kaj natanko zahteva ta direktiva in za koga, preberite v bazi znanja; ta članek govori o samih dokumentih, ne o področju uporabe pravil. bazi znanja s pojasnjenom po temah to tam prikazuje.
Kaj običajno dejansko in ne potrebujete predložiti
Ne vsak odjemalec zahteva enako globino. Velik odjemalec s svojo nabavno oddelkom za kibernetsko varnost včasih zahteva celotno poročilo o testu penetracije; manjši odjemalec je pogosto že zadovoljen s povzetkom ali izjavo, da je bilo testirano in kdaj. Kaj natanko morate deliti, je odvisno od portala in vprašalnika tega specifičnega odjemalca. Ni običajno deliti izvorne kode, podrobnega varnostnega pravilnika za gesla ali notranjih načrtov omrežja; te informacije običajno ne sodijo v vprašalnik dobavitelja in pazljiv odjemalec je tudi ne zahteva.
Eno mape, več vprašalnikov
Težava s temi dokumenti ni, da manjkajo, temveč da so razpršeni: politika pri IT-ju, pregled usposabljanja pri kadrovskih zadevah, poročilo o testu penetracije pri zunanji stranki, ki je test izvedla. Pri naslednjem vprašalniku jih ponovno zberate, in ponovno preverite, ali se datumi še ujemajo. Osrednja mapa dobaviteljske verige te dokumente in njihov datum veljavnosti hrani na enem mestu, zato pri novem vprašalniku vidite, kateri odgovori so še aktualni in kateri potrebujejo posodobitev. Supplia vprašanja na seznamu vašega odjemalca izpolni na podlagi tega; vi potrdite vsak odgovor in ga sami predložite pri portalu vašega odjemalca.
Ali vaše podjetje trenutno nima dokumentov, ki se pogosto zahtevajo, hitro vidite s brezplačno presojo, ki v nekaj vprašanjih pokaže, kako stojite. Kako se podatki v takšni mapi obravnavajo in zavarujejo, si preberite na strani o zasebnosti in varstvu podatkov. In če želite vedeti, kako Supplia natančno pridobi odgovore, ki jih za vas izpolni, je to razloženo na razlagi o tem, kako sistem deluje.
Za situacijo vašega lastnega podjetja z vašimi lastnimi sistemi in tveganji ostane pogovor s specializiranim strokovnjakom za IT-varnost ali pravnikom najbolj zanesljiv nasvet. Ta članek daje pregled tega, kar se pogosto sprašuje, ne pa ocene tega, kar je v vašem primeru potrebno ali zadostno.
Ali si želite ogledati, kateri dokumenti v vašem podjetju že ustrezajo in kateri potrebujejo posodobitev? Opravite brezplačni hiter pregled ali prebrskajte skozi teme v bazi znanja, da vidite, kaj je za vašo situacijo ustrezno.