Какво изисква поръчител на ICT услуги след NIS2
Клиент, който сам попада под задължението за управление на риска по NIS2, трябва да докаже, че управлява и рисковете в своята верига на доставки. Ако предоставяте дистанционно управление, хостинг, управление на приложения или help desk на такъв клиент, това ще фигурира в договора: изисквания относно това кой има достъп до системи, как се регистрира този достъп и дали използвате подизпълнители без предварително уведомяване.
Самите изисквания се различават в зависимост от клиента и сектора, но редица теми се срещат почти винаги: управление на достъпа, регистрация на действия при управление, периоди за уведомяване при инцидент от ваша страна и преглед на другите участници в работата. Последното — подизпълнители — е темата, по която много ICT услугодатели най-продължително анализират въпросника.
Защо това вече е в договора
Директива NIS2 задължава организации, на които се прилага нормативната уредба, по член 21 да оценят и безопасността на своите доставчици и услугодатели. Клиент, който сам попада под задължението за проверка, не може да го докаже със словесно уверение; той се нуждае от писмена спогодба, която може да покаже на своя регулатор. За вас като ICT услугодател това означава: същия въпрос се появява отново, само че сега е зафиксиран в допълнение или приложение към договора вместо в отделен имейл.
Това е промяна във формата, а не непременно в съдържанието. Много от това, което се пита, вероятно вече правехте като администратор. Новото е, че трябва да можете да го докажете, с дата и име.
Достъп до клиентски системи: какво точно се изисква
Клиентите все по-често поискват преглед на това кой има достъп до тях, с какви права и как се отнема този достъп, когато някой напусне екипа. Многофакторна аутентификация за администраторски достъп е вече често поставяно изискване, както и дневник, който записва кога и от кого е осъществен достъп до система. Някои договори, кроме това, изискват фиксирана точка на контакт от ваша страна, така че клиентът да не зависи от това кой има дежурство тази седмица.
Основният въпрос на клиента е винаги един и същ: ако нещо се случи, може ли да разбере кой имаше какъв достъп и кога. Това е и причината, поради която общи отговори като "работим в съответствие с най-добрите практики" рядко са достатъчни — се изисква конкретен доказателствен материал, а не намерение.
Дистанционно управление: допълнително внимание към аутентификацията и регистрацията
Дистанционното управление получава отделен раздел в много въпросници, точно защото нарушител, който навлезе там, може в един ход да достигне множество клиенти. Въпросите засягат криптирането на свързването, дали достъпът до дистанционното управление е отделен от обикновената мрежа на вашето предприятие и как бързо можете да прекратите сеанс, ако подозирате злоупотреба. И тук важи: не е въпрос на преценка дали вашата защита е добра, а дали можете да я покажете.
Когато някой получи този вид въпроси за първи път, често го възприема като еднократна мярка за един клиент. На практика доказателственият материал, който събирате за един клиент, с малки приспособления може да се използва и за следващия. прочетете темите по ситуация дава представа кои въпроси се срещат при какъв тип услуга.
Подизпълнители: рискът, който не е напълно в ваше управление
Най-сложната част за много ICT услугодаватели не е собствената защита, а тази на страните, които ангажират: хостинг партньор, мониторинг услуга, независим специалист. Възложител, който сам попада под задължението за цялостна защита, желае да знае дали използвате подизпълнители, кои са те и дали отговарят на сравними изисквания. Някои договори задължават да уведомите предварително за промени в тази верига на доставляне, или да пренесете същите защитни изисквания договорно към вашите собствени доставчици.
За малко ICT предприятие това не винаги е лесно да се организира, особено ако подизпълнителят сам не разбира защо този въпрос внезапно се поставя. Първата стъпка е просто описание: кой прави какво за вас и какво сте договорили по този въпрос. Без това описание всеки нов въпросник е отново издирване от начало.
Какво можете и не можете да обещаете
Разумно е в договор да включите само задължения, които можете да обоснова. Възложител, който пита за времена за отговор при инцидент, 24/7 услуга или гаранция, че нищо никога няма да се случи, по същество поиска обещание, което малко ICT услугодаватели могат да изпълнят без да установят отделна, скъпа услуга за това. Ваша задача е и, ако е необходимо, на юрист да преценят кои клаузули са разумни и кои надвишават това, което задължението за цялостна защита на възложителя всъщност изисква.
Дали вашата собствена организация пряко попада под задължението за цялостна защита на NIS2 — като критична или важна организация, или чрез верига на доставляне — е възможно да се преглед с няколко въпроса. Това разграничение определя дали само подготвяте отговори за клиентите си, или трябва да водите и собствено досие.
Начало
За възложителя в крайна сметка не е важна вашата намерение, а дали отговорът на неговия въпрос е готов в момента, когато го поставя. Кой веднъж на мярка е установил статус, доказателство и отговорник, не трябва при следния въпросник отново да търси. Прегледайте цена на досието и въпросниците ако желаете системно да подхожданите тази подготовка, или първо прочетете често задавани въпроси за как платформата работи.
Начнете без задължение с безплатната проверка NIS2, за да видите дали вашата организация сама попада под задължението, е засегната чрез верига на доставляне, или никое от двете — и продължете да четете в базата знания за темите, които са релевантни за вашия сектор.