Политиката за доставчици при предоставянето на ICT услуги е преглед на всяка страна, която от ваше име или наред с вас има достъп до системи, данни или инфраструктура на вашите клиенти, с посочване на това, което всяка страна може да прави, на какво е договорено и кога е последният път проверено. Изготвяте я, защото задължението за разумна предпазливост, което е наложено на възложителите, ги задължава да оценят и вашата кибербезопасност — и защото вие от своя страна разчитате на поддоставчици, софтуер за дистанционно управление и облачни партньори, които си заслужават същата оценка.
Ядрото е просто: всяко лице, което има достъп до системите на вашия клиент, трябва да фигурира в вашия преглед. Това се отнася до страната, която хоства вашата система за билети, до независимия професионалист, който развалива кръпки през нощта, и до инструмента, който ви позволява да наблюдавате работна станция от разстояние. Политиката за доставчици не е формалност за галерия; това е отговорът на въпроса, който собственият вам клиент ще ви зададе един ден: кой още може да има достъп до моите данни и откъде знаете, че те го правят прилично.
Кой трябва да фигурира в прегледа
Начнете широко и след това отстранете. В прегледа трябва да фигурират поддоставчици, които приемат работа от вас, софтуерни доставчици, чиито инструменти имат достъп до клиентски среди, облачни партньори, където съхранявате данни на клиентите, и независими специалисти, които работят поводово. Въпросът, който си задавате за всяка страна, не е дали са важни за вашата бизнес дейност, а дали — преки или косвено — могат да имат достъп до системи или данни на вашите клиенти. Доставчик на офис материали не трябва да фигурира; страна, която хоства вашия софтуер за мониторинг, трябва.
Съблазнително е да включите само големите, видими страни и да пропуснете по-малки поддоставчици, защото връзката е неформална. Това е точно където обикновено се случават проблемите: неформално споразумение с независим професионалист, който работи със вашите достъпни данни при клиент, не е по-малко рисковано за клиента, отколкото договор с голяма страна. Тези, които се съмняват дали собствената организация попада под задължението за разумна предпазливост и следователно трябва да поддържат този преглед, могат да узнаят отговора чрез няколко въпроса.
Какво регистрирате за всяка доставчик
За всяка доставчик обикновено е достатъчен ограничен набор от данни: какъв вид достъп има страната (четене, писане, административни права), до кои системи или данни, има ли договор със съглашения относно кибербезопасност, кой е контактното лице у вас, и кога последния път сте попитали дали е имало промени. Последната точка често се забравя: доставчик, която е оценена преди две години и оттогава не, се счита на практика за неоценена. Определен момент всяка година за преглед на списъка предотвратява това.
Понятията, които се появяват в този вид прегледи — задължение за разумна предпазливост, верига, значимост — стават по-ясни, ако ги потърсите отделно от вашата ситуация; базата данни по предмет предоставя кратък, проверяем отговор за всяко понятие.
Поддоставчици: отделна точка внимание
Поддоставчиците заслужават допълнително внимание, защото клиентът често не знае, че съществуват. Ако изостранявате работа на трета страна, която при това има достъп до клиентски системи, е обичайно да информирате клиента и да посочите какво може да прави тази трета страна. Някои договори с възложители забраняват поддоставяне без предварително разрешение; проверката на това е част от разработката на политиката, а не на следващото обсъждане с клиента.
Дистанционно управление като отделна категория
Софтуер за дистанционно управление — отдалечено управление, наблюдение, управление на заявки с функция за преглед — заслужава отделното място в преглед, въпреки че не е "доставчик" в обичайния смисъл. Тези инструменти обикновено имат широк достъп до много околи на клиентите едновременно, което ги прави привлекателни като вектор на атака. Документирането кой може да имат достъп до тези инструменти, с какви права и с каква проверка, е следователно един от първите неща, които заявител иска веднага щом разговорът се стигне до собствената ви безопасност.
От преглед към отговор
Политика на доставчиците, която съществува само на хартия, не помага, ако клиент утре изпрати списък с въпроси. Преглед е използваем едва когато е свързан с доказателствена документ за всеки доставчик и със собственик, който го актуализира. Как такъв живо регистър изглежда на практика и откъде идват свързаните отговори на списъци с въпроси, е обяснено на страницата, която показва как работи платформата.
Желаете ли първо да видите дали вашата организация сама попада под задължението на NIS2 или само се докосва чрез веригата? Направете безплатната проверка или преглеждайте темите — и двете са достъпни без профил и дават веднага следващата стъпка, която отговаря на вашата ситуация.