Ако вашата компания работи в сферата на услугите в сферата на ИКТ — управление на сървъри и мрежи, служба за техническа поддръжка с дистанционен достъп или поддръжка на софтуер при клиентите — списъкът с въпроси за кибербезопасност, който получавате, често е по-обемист от този на други доставчици. Това е не защото вашия клиент не ви доверява, а защото вашата услуга по дефиниция дава достъп до системи, които не са ваши. Организация, обхваната от задължението да полага грижа, която оценява своята верига на доставчици, разглежда доставчик на услуги в сферата на ИКТ по-задълбочено отколкото доставчик на офис мебели.
Въпросите, които редовно се появяват в този сектор, обикновено попадат в три групи: как управлявате дистанционно, как организирате достъпа до системите на клиентите и как работите с подизпълнители. По-долу във всяка група е описано какво обикновено се пита и защо.
Защо доставчиците на услуги в сферата на ИКТ формират отделна категория
Съответно на Директива (EU) 2022/2555, организация, обхваната от задължението да полага грижа, трябва да оцени и рисковете, които могат да проникнат чрез доставчици. Счетоводна фирма, която само обработва фактури, представлява различен риск в сравнение с партньор, който може да влезе в корпоративния сървър през нощта, за да извърши актуализация. Надзорните органи и самата директива специално споменават тази зависимост от услуги в сферата на ИКТ като точка на фокус в рамките на веригата на стойност. За вас това означава, че списъкът с въпроси често не се отнася до вашия офис, а до пътя, който вашите служители и системи преодоляват към мрежата на клиента.
Въпроси относно дистанционното управление
Ако управлявате системите на клиентите дистанционно, с инструменти за дистанционно наблюдение и управление (RMM) или чрез VPN връзка, списъкът с въпроси обикновено пита за защитата на самата тази връзка. Типичните теми са: дали дистанционният достъп е възможен само с многофакторна удостоверяване, дали сесиите се регистрират и колко дълго се пазят тези записи, дали има фиксиран времеви прозорец, в който се извършва поддръжката, и какво се случва, ако преносимо устройство на техник бъде откраднато или загубено. Регулярно се появява и въпроса дали самият софтуер RMM се поддържа актуален — уязвимост в това управленско приложение веднага засяга всички клиенти, управлявани чрез него, което го прави чувствителна точка за получателите.
Въпроси относно достъпа до системите на клиентите
Втората група въпроси се отнася до това кой точно има достъп до кои системи. Мислете за: прилагате ли принципа, че някой получава достъп само до това, което е необходимо за задачата (принцип на минималния привилегий), отнема ли се достъпът незабавно, когато служител напусне или смени позиция, и отделни ли са пароли и ключове за достъп за всеки клиент или се делят между договори. Някои списъци с въпроси питат и за обзор на това кой е имал достъп в определен период, което е възможно да се отговори само ако този обзор вече се поддържа. Кой няма подготвена такава информация, често губи не защото защитата е недостатъчна, а просто защото отговорът не може да бъде предоставен достатъчно бързо.
Въпроси относно подизпълнители и собствената верига на доставки
Третата група въпроси често се забравя, докато не дойде до обсъждение: използвате ли собствени подизпълнители за части от услугата, като външна страна за техническата поддръжка извън работното време или за специализирано управление на мрежата? Клиент, който трябва да картографира собствената си верига на доставчици, желае да знае дали веригата приключва при вас или продължава по-нататък. Въпросите по този въпрос обикновено се касаят дали подизпълнителите получават същите изисквания за киберсигурност, както вие сами прилагате, и дали клиентът се информира предварително, когато е включен нов подизпълнител. Това е също и точката, където списъкът с въпроси може да излезе извън строя, доставяйки информация, която разумно не е необходима за оценката на риска; където е тази граница, не е еднакво във всяка ситуация и заслужава отделна оценка.
Какво това означава за отговора, който давате
Горните въпроси не са отделен контролен списък, а повтарящ се модел, и този модел променя малко от клиент до клиент в този сектор. Това прави стойност да знаете предварително къде стоите вие — кои от тези теми вече са разпределени на собственик и доказателство, и кои все още са нерешени. в няколко въпроса да видите дали и как сте засегнати дава там първа посока, и разработените теми по ситуация навлиза по-дълбоко в конкретни мерки като контрол на достъпа и оценка на доставчици. Ако сте в съмнение дали зададен въпрос остава в разумни граници, това е нещо, което трябва да обсъдите с самия клиент или, при продължаваща неяснота, с адвокат; най-честите въпроси по този въпрос дава редица входни точки.
Ако искате без ангажименти да видите къде стои вашето предприятие по отношение на този вид списъци с въпроси, направете безплатната бързата проверка или разгледайте банката знания на secria.eu — и двете са достъпни без регистрация.