En cybersäkerhetsfrågelista kräver vanligtvis en fast uppsättning bevis: en informationssäkerhetspolicy, en översikt över vem som har åtkomst till vilka system, en plan för om något går fel och ett bevis på att du också testar detta. Konkret handlar det ofta om ett policydokument, en riskanalys, en incidentresponsplan, en rapport från ett nyligt penetrationstester (ett kontrollerat försök att bryta sig in i dina system för att hitta svaga punkter), en översikt över säkerhetskopior och återställningsrutiner och ett bevis på att medarbetare har genomgått en medvetandegranskningstraining.
Detaljen som spelar mest roll för den här typen av frågelista är inte innehållet i dessa handlingar utan datumet på dem. En informationssäkerhetspolicy som är tre år gammal, en pentestrapport utan tydligt datum eller en träningsöversikt som inte visar när den senaste sessionen var: dessa är precis det som en köpare kritiserar eller begär tillägg om. Själva frågelistan testar ofta inte bara om en åtgärd finns utan om den är aktuell.
Varför datumet väger så tungt
En cybersäkerhetsfrågelista försöker ge en ögonblicksbild av hur en leverantör ser ut nu, inte hur leverantören såg ut för två år sedan. Ett penetrationstester som är två år gammalt säger lite om de system som redan har uppdaterats eller ersatts. Ett policydokument som inte har granskats sedan en omorganisation kanske inte täcker den nuvarande situationen. Köpare som själva är under tillsyn, till exempel genom regler om nätverks- och informationssäkerhet, förmedlar ofta denna förväntning på aktualitet till sina egna leverantörer. Detta förklarar varför en portal ibland uttryckligen frågar om ett giltighets- eller giltighetsdatum tillsammans med själva dokumentet.
För företag som omfattas av NIS2-direktivet, eller som gör affärer med en organisation som gör det, återkommer dessa bevis ofta i ett fast schema med åtgärder. Vad direktivet exakt kräver och för vem läser du i kunskapsbasen; den här artikeln handlar om handlingarna själva, inte omfattningen av reglerna. kunskapsbanken med förklaringar per ämne ger en översikt där.
Vad du vanligtvis måste och inte behöver tillhandahålla
Inte varje köpare frågar efter samma djup. En stor kund med egen inköpsavdelning för cybersäkerhet kräver ibland den fullständiga pentestrapporten; en mindre kund är ofta nöjd med en sammanfattning eller ett uttalande om att det testades och när. Vad du konkret måste dela beror på portalen och frågelistan från just denna köpare. Det är inte vanligt att dela källkod, lösenordspolicy i detalj eller interna nätverksscheman; denna information hör vanligtvis inte hemma i en leverantörsfrågelista och en noggrann köpare frågar inte heller efter det.
Ett dossier, flera frågelistor
Svårigheten med dessa dokument är inte att de saknas utan att de är utspridda: policyn är hos IT, träningsöversikten är hos HR, pentestrapporten är hos den externa part som utförde testet. Vid nästa frågelista samlar du dem igen och kontrollerar på nytt om datumen stämmer. Ett centralt leverantörsdossier håller dessa handlingar och deras giltighets- eller giltighetsdatum på ett ställe, så att du vid en ny frågelista ser vilka svar som fortfarande är aktuella och vilka som behöver uppdateras. Supplia fyller på basis därav i frågorna i din klients lista; du bekräftar per svar och lämnar själv in till din klients portal.
Om ditt företag för närvarande saknar dokument som ofta efterfrågas ser du snabbt med den kostnadsfria kontroll som på några frågor visar var du står. Hur data i ett sådant dossier hanteras och skyddas läser du på sidan om integritet och dataskydd. Och om du vill veta hur Supplia får exakt de svar som det fyller i för dig, förklaras det på förklaringen om hur systemet fungerar.
För situationen i ditt eget företag, med dina egna system och risker, är en diskussion med en specialiserad IT-säkerhetskonsult eller jurist det mest pålitliga rådet. Den här artikeln ger en översikt över vad som ofta efterfrågas, inte en bedömning av vad som är nödvändigt eller tillräckligt i ditt fall.
Vill du se vilka dokument som redan är i ordning i ditt eget företag och vilka som behöver uppdateras? Gör den kostnadsfria snabbsökningen eller bläddra igenom ämnena i kunskapsbanken för att se vad som är relevant för din situation.