Zásady pro dodavatele v oblasti ICT služeb představují přehled každé strany, která vaším jménem nebo vedle vás má přístup k systémům, údajům nebo infrastruktuře vašich zákazníků, přičemž pro každou stranu je zaznamenáno, co smí dělat, jaké dohody byly uzavřeny a kdy byla naposledy kontrola. Vypracováváte je, protože povinnost péče, která je uložena zadavatelům, je zavazuje také k posouzení vaší bezpečnosti — a protože se sami opíráte o subdodavatele, software pro vzdálenou správu a poskytovatele cloudových služeb, kterí si stejné posouzení zaslouží.
Jádrem je jednoduché: každý, kdo se dostane ke vašemu zákazníkovi, měl by být v tomto přehledu. Platí to pro stranu, která hostuje váš ticketovací systém, pro samostatně činnou osobu, která v noci zavádí opravy, a pro nástroj, kterým sledujete vzdáleně pracovní stanici. Zásady pro dodavatele nejsou formalitou pro účely reprezentace; jsou odpovědí na otázku, kterou vám někdy položí váš vlastní zákazník: kdo jiný má přístup k mým údajům a jak víte, že to dělají správně.
Kdo by měl být v přehledu
Začněte široko a poté odstraňujte. Do přehledu patří subdodavatelé, kteří převezmou vaši práci, poskytovatelé softwaru, jejichž nástroje mají přístup k zákaznickým prostředím, poskytovatelé cloudových služeb, kde umisťujete údaje o zákaznících, a jednotliví specialisté, kteří se podílejí příležitostně. Otázka, kterou si kladete u každé strany, není, zda jsou důležité pro chod vašeho podnikání, ale zda — přímo nebo nepřímo — mají přístup k systémům nebo údajům vašich zákazníků. Dodavatel kancelářských potřeb tam nepatří; strana, která hostuje váš monitorovací software, ano.
Je lákavé zařadit pouze velké, viditelné strany a menší subdodavatele vynechat, protože je vztah neformální. To je právě to, kde se to často pokazí: neformální dohoda se samostatně činnou osobou, která pracuje u zákazníka s vašimi přihlašovacími údaji, je pro zákazníka stejně riziková jako smlouva s velkou stranou. Pokud si nejste jistí, zda vaše vlastní organizace sama podléhá povinnosti péče a je tedy povinná tento přehled udržovat, můžete si to nechat objasnit v pár otázkách.
Co zaznamenáte u každého dodavatele
U každého dodavatele je obvykle postačující omezená sada údajů: jaký druh přístupu má strana (čtení, zápis, práva správce), do kterých systémů nebo údajů, existuje smlouva se dohodami o bezpečnosti, kdo je u vás kontaktní osoba a kdy jste naposledy ověřili, zda se něco změnilo. Poslední bod se často zapomíná: dodavatel, který byl posouzen před dvěma lety a od té doby se nijak nekontroval, se v praxi počítá jako neposouzený. Pevný okamžik jednou ročně, kdy si seznam projdete, zabrání tomuto.
Pojmy, které se v takových přehledech objevují — povinnost péče, dodavatelský řetězec, rozhodná okolnost — se stávají jasnější, pokud si je nejdříve mimo váš vlastní kontext vyhledáte; vědomostní banka podle tématu poskytuje pro každý pojem krátkou, ověřitelnou odpověď.
Subdodavatelé: samostatný bod pozornosti
Subdodavatelé si zaslouží zvláštní pozornost, protože zákazník často neví, že existují. Když si práci pronajmete třetí straně, která přitom získá přístup k zákaznickým systémům, je obvyklé to zákazníkovi sdělit a zaznamenat, co ta třetí strana smí dělat. Některé smlouvy se zadavateli zakazují subdodavatelství bez předchozího souhlasu; kontrolu toho je třeba zahrnout do vypracování zásad, nikoli do příštího rozhovoru se zákazníkem.
Vzdálená správa jako samostatná kategorie
Software pro správu na dálku — vzdálená správa, monitoring, ticketing s funkcí sledování — si zaslouží samostatné místo v přehledu, i když to není „dodavatel
Od přehledu k odpovědi
Dodavatelská politika, která existuje pouze na papíře, nepomůže, když si klient zítra vezme kontrolní seznam. Přehled je užitečný teprve v okamžiku, kdy je propojen s podkladem pro každého dodavatele a vlastníkem, který jej udržuje aktuální. Jak takový žijící registr v praxi vypadá a kde se berou související odpovědi na kontrolní seznamy, je vysvětleno na stránce, která ukazuje, jak platforma funguje.
Chcete nejdříve zjistit, zda vaše organizace spadá přímo pod povinnost péče dle NIS2 nebo je zasažena pouze prostřednictvím dodavatelského řetězce? Proveďte bezplatnou kontrolu nebo procházejte témata — obojí je přístupné bez účtu a okamžitě vám poskytne pokyn vhodný pro vaši situaci.