Pokud vaše společnost působí v poskytování služeb ICT — správa serverů a sítí, helpdesk se vzdáleným přístupem nebo údržba softwaru u klientů — pak bezpečnostní seznam otázek, který obdržíte, bývá často rozsáhlejší než seznam jiných dodavatelů. Není to proto, že by vás váš klient nedůvěřoval, ale protože vaše služba z podstaty umožňuje přístup k systémům, které nejsou vaše. Organizace podléhající povinnostem péče, která posuzuje svůj řetězec dodavatelů, se podívá na poskytovatele služeb ICT hlouběji než na dodavatele kancelářského nábytku.
Otázky, které se v tomto odvětví opakují, se obvykle dělí do tří skupin: jak spravujete vzdáleně, jak regulujete přístup k systémům klientů a jak se vypořádáváte se subdodavateli. Níže je pro každou skupinu uvedeno, co se obvykle požaduje a proč.
Proč jsou poskytovatelé služeb ICT zvláštní kategorií
Organizace podléhající povinnostem péče musí podle směrnice NIS2 také posuzovat rizika, která přicházejí prostřednictvím dodavatelů. Účetní kancelář, která pouze zpracovává faktury, představuje jiné riziko než strana, která se může v noci přihlásit na obchodní server a spustit aktualizaci. Dohledové orgány a samotná směrnice výslovně zmiňují tuto závislost na službách ICT jako bod pozornosti v rámci hodnotového řetězce. Pro vás to znamená, že seznam otázek se často netýká vaší kanceláře, ale cesty, kterou vaši zaměstnanci a systémy projdou k síti klienta.
Otázky týkající se vzdálené správy
Pokud spravujete systémy klientů vzdáleně pomocí nástrojů pro vzdálené monitorování a správu (RMM) nebo přes připojení VPN, seznam otázek se obvykle ptá na bezpečnost samotného tohoto připojení. Typická témata jsou: zda je přístup na dálku možný pouze s vícefaktorovým ověřením, zda jsou relace zaznamenávány a jak dlouho se protokoly uchovávají, zda existuje pevné časové okno pro provedení údržby a co se děje, když je notebook technika ukraden nebo ztracen. Také se pravidelně objevuje otázka, zda je samotný software RMM aktualizován — zranitelnost v tomto programu správy totiž ovlivní najednou všechny klienty, kteří s ním jsou spravováni, což z toho činí citlivý bod pro příjemce.
Otázky týkající se přístupu k systémům klientů
Druhá skupina otázek se týká toho, kdo přesně a k jakým systémům má přístup. Myslite na: pracujete podle principu, že osoba dostane přístup pouze k tomu, co je nezbytné pro daný úkol (principle of least privilege), je přístup okamžitě odvolán, jakmile zaměstnanec odejde nebo si změní pozici, a jsou hesla a přístupové klíče odděleny pro jednotlivé klienty nebo sdíleny mezi úkoly. Některé seznamy otázek se také ptají na přehled toho, kdo měl přístup v určitém období, což lze zodpovědět pouze tehdy, když je takový přehled již veden. Kdo tyto informace nemá připravené, často prohraje ne proto, že by bezpečnost selhala, ale jednoduše proto, že odpověď nelze poskytnout dostatečně rychle.
Otázky týkající se subdodavatelů a vlastního řetězce dodavatelů
Třetí skupina otázek se často zapomíná, dokud se neobjeví na stole: používáte sami subdodavatele na části služby, jako je externí strana pro helpdesk mimo pracovní dobu nebo na specializovanou správu sítě? Kupující, který si musí zmapovat svůj vlastní dodavatelský řetězec, chce vědět, zda se řetězec u vás zastavuje, nebo pokračuje dále. Otázky na toto téma se obvykle týkají toho, zda subdodavatelé dostanou stejné požadavky na bezpečnost jako vy sami, a zda je zákazník předem informován, když je zapojeen nový subdodavatel. Toto je také bod, kde se seznam otázek může vychýlit směrem k informacím, které nejsou rozumně nezbytné pro posouzení rizika; kde se tato hranice nachází, není v každé situaci stejné a zaslouží si vlastní zvážení.
Co to znamená pro odpověď, kterou poskytujete
Otázky výše nejsou odtrženým seznamem, ale opakujícím se vzorem, a tento vzor se mezi jednotlivými zákazníky v rámci tohoto sektoru příliš nemění. To z toho dělá věc, kterou má smysl vědět předem — které z těchto témat jsou již přidělena majiteli a podpůrnému dokumentu, a která jsou zatím volná. v několika otázkách zjistit, zda a jak jste postiženi dává zde první směr a podrobně zpracovaná témata podle situace se zabývá hlouběji konkrétními opatřeními, jako je správa přístupu a posouzení dodavatelů. Máte-li pochybnosti, zda položená otázka stále spadá do rozumných hranic, je to něco, o čem je třeba diskutovat se samotným zákazníkem nebo, v případě přetrvávající nejasnosti, s právníkem; nejčastěji kladené otázky na toto téma obsahuje řadu vodítek.
Chcete-li bez závazků vidět, kde vaše společnost stojí vzhledem k tomuto druhu dotazníků, proveďte bezplatné rychlé skenování nebo si prohlédněte znalostní bázi na secria.eu — obě jsou přístupné bez účtu.