Ocena cyberryzyka dostawców: co sprawdza ciągłe monitorowanie

Waga i punktacja ryzyka

Każde ustalenie trafia do jednego z czterech poziomów wagi: krytyczny (działaj teraz), wysoki (około siedmiu dni), średni (około trzydziestu) i niski (warto wiedzieć). Punktacja ryzyka dostawcy (od 0 do 100, gdzie 100 oznacza czysto) wynika z wagi tego, co jest aktualnie otwarte.

Czytaj punktację jako sposób ustalania priorytetów uwagi, nie jako wyrok. Dostawca skądinąd mocny może spaść przez jedną krytyczną lukę, a schludny wynik nigdy nie usprawiedliwia pominięcia szczegółu, który kryje się pod spodem.

Co dzieje się z ustaleniem

Ustalenie otwiera się w chwili, gdy kontrola dostrzega coś nie tak, i pozostaje otwarte, dopóki problem naprawdę nie zniknie: kolejne uruchomienie samo potwierdza naprawę, bez ręcznego zamykania. Gdy ustalenie jest ryzykiem, które przejrzałeś i postanowiłeś zaakceptować, oznacz je jako ryzyko zaakceptowane z komentarzem; przestaje wtedy generować nowe alerty, dopóki jego stan się nie zmieni.

Każde ustalenie jest przy zapisie przypisywane do podpunktu art. 21 ust. 2 NIS2, któremu odpowiada, i pojawia się zarówno w portalu na żywo, jak i w comiesięcznym PDF-ie.

Jak mapuje się na NIS2 i co niesie raport

Raport otwiera podsumowanie zwykłym językiem, dalej oceny NIS2 według artykułów, profil ryzyka dla każdego dostawcy i lista działań naprawczych już ułożona według priorytetu. Jest napisany tak, by przeczytać go na spotkaniu kierownictwa, nie tylko przez tych, którzy wykonają naprawy.

Niesie też ustalenia, które zaakceptowałeś jako udokumentowane ryzyka: część, na której audytorom zależy najbardziej. NIS2 nigdy nie żądał czystej kartki; żądał, byś zarządzał ryzykiem i pokazał swoją pracę.