Ясно ли са дефинирани и известни на целия компетентен персонал процедурите за ескалация на различни видове инциденти със сигурността и първоначална оценка на сериозността?

Възприемате ли и адаптирате ли нови технологии за подобряване на процесите за управление на риска?

Назначено ли е длъжностно лице по защита на данните (DPO - Data Protection Oficer), което да гарантира спазването на законите и разпоредбите за защита на данните?

Интегрирано ли е управлението на риска във веригата на доставки в цялостната организационна рамка за управление на риска?

Прилагате ли или планирате ли да приложите модел за сигурност с нулево доверие (Zero Trust Security model)?

Имате ли включени права за одит в споразуменията с ключови доставчици, за да се гарантира спазването на вашите изисквания за сигурност?

Програмите за обучение по киберсигурност съобразени ли са със специфичните роли и отговорности на служителите?

Осигуряват ли се семинари или обучения на персонала по конкретни заплахи за киберсигурността и мерки за противодействие?

Поддържате ли дублираща инфраструктура или услуги, за да осигурите непрекъснатост в случай на значителен инцидент в областта на киберсигурността?

Обучени ли са служителите относно правните аспекти на киберсигурността, включително изискванията за защита на личните данни, данните и информацията, включително и директивата за МИС?

Има ли специална функция или екип, който да следи за промените в нормативната уредба в областта на киберсигурността и да гарантира спазването им?

Имате ли специализиран екип за реакция при инциденти с ясно определени роли и отговорности?

Има ли назначен служител или екип, отговарящ за управлението на риска в областта на киберсигурността?

Редовно ли тествате служителите със симулирани фишинг атаки, за да повишите тяхната бдителност?

Тестват ли се плановете за непрекъсваемост на бизнес процесите при различни сценарии, за да се провери тяхната ефективност при различни потенциални инциденти?

Извършват ли се редовни оценки на сигурността от вътрешни или външни лица с цел идентифициране на уязвимости и/или провеждане на тестове за проникване?

Интегрирани ли са процесите за управление на риска в областта на киберсигурността с цялостната рамка за управление на риска в организацията?

Съществуват ли официални клаузи за споразумение, които изискват от доставчиците да докладват за инциденти, свързани със сигурността?

Използвате ли анализ на поведението на потребителите за откриване на потенциално злонамерена дейност?

Имате ли конкретни планове за управление на инциденти, свързани с киберсигурността, които засягат вашата верига за доставки?

Редовно ли се актуализират системите и софтуерът, за да се отстранят уязвимостите в сигурността?

Добре документирани и достъпни ли са всички политики, процедури и мерки за киберсигурност и спазване на изискванията?

Разполагате ли с юридически съветник, който да управлява докладването на инциденти, свързани с киберсигурността, в съответствие с нормативните изисквания?

Съществува ли официален механизъм за включване на обратната връзка от одитите и инцидентите в процеса на управление на риска?

Имате ли договорености с външни фирми за киберсигурност за допълнителна подкрепа по време на инцидент?

Определени ли са и тествани ли са целите за времето за възстановяване (RTO - recovery time objective) за критичните ИТ системи?

Съществува ли процес за непрекъснато усъвършенстване на стратегиите за управление на риска въз основа на нови заплахи и уязвимости?

Редовно ли се включват служителите и ръководството в идентифицирането, оценката и управлението на риска?

Извършвате ли редовни анализи на въздействието върху дейността, за да определите критичните системи и данни, които са от съществено значение за непрекъснатостта на вашата организация?

Разполагате ли с комуникационен план за координация с външните заинтересовани страни по време на инцидент в областта на киберсигурността?

Извършвате ли анализ на зависимостите, за да се диагностицира как смущенията и проблемите в една система или процес могат да се отразят на други такива?

Оценявате ли редовно ефективността на програмите за обучение по киберсигурност?

Изисква ли се от служителите да получат таргетирани обучения за киберсигурност?

Актуализират ли се плановете за непрекъсваемост на бизнес процесите въз основа на поуките, извлечени от действителни инциденти?

Извършвате ли се прегледи след инцидента, за да се анализира реакцията и да се идентифицират областите за подобрение?

Използвате ли съвременни технологии за откриване на заплахи и уязвимости в сферата на киберсигурността?

Определени ли са и прилагани ли са минимални стандарти за киберсигурност за всички доставчици и доставчици на услуги от трети страни?

Извършвате ли постоянен мониторинг и преглед на практиките за сигурност на Вашите доставчици и доставчици на услуги от трети страни?

Провеждат ли се редовни, подробни симулации на инциденти, свързани с киберсигурността, за да се тества готовността?

Архитектурата за сигурност периодично ли се преразглежда и актуализира, за да отразява актуалните практики и заплахи за киберсигурността?

Съществува ли ефективен механизъм, чрез който служителите да докладват за проблеми или инциденти, свързани с киберсигурността?