En leverandørpolitik for IT-tjenester er en oversigt over hver part, der på dine vegne eller ved siden af dig har adgang til systemer, data eller infrastruktur hos dine kunder, med angivelse af hvad hver part må gøre, hvad der er aftalt, og hvornår det sidst blev kontrolleret. Du udarbejder den, fordi det ansvar for risikostyring, som pålægges dine ordregivere, forpligter dem til også at vurdere din sikkerhed — og fordi du igen er afhængig af underleverandører, software til fjernhåndtering og cloudpartnere, som fortjener den samme vurdering.
Kernen er enkel: hvem der kan komme til dine kunder, skal være på din oversigt. Det gælder den part, der hoster dit ticketsystem, den selvstændige, der udrulles rettelser om natten, og det værktøj, som du bruger til at følge med på afstand på en arbejdsstation. En leverandørpolitik er ikke en formalitet for synet; det er svaret på det spørgsmål, som din egen kunde engang kommer til at stille dig: hvem kan få adgang til mine data, og hvordan ved du, at de udfører det ordentligt.
Hvem skal være på oversigten
Start bredt og streg derefter ud. Oversigten skal indeholde underleverandører, der overtager arbejde fra dig, softwareleverandører, hvis værktøjer har adgang til kundemiljøer, cloudpartnere, hvor du lagrer kundedata, og uafhængige specialister, der arbejder sporadisk med dig. Det spørgsmål, du stiller dig selv om hver part, er ikke, om de er vigtige for din drift, men om de — direkte eller indirekte — kan få adgang til kundernes systemer eller data. En leverandør af kontorartikler skal ikke være på den; en part, der hoster dit overvågningssoftware, skal være det.
Det er fristende kun at medtage de store, synlige parter og at springe mindre underleverandører over, fordi forholdet er uformelt. Det er præcis her, det ofte går galt: en uformel aftale med en selvstændig, der arbejder på dine loginoplysninger hos en kunde, er for kunden ikke mindre risikabelt end en kontrakt med en stor part. Hvis du er i tvivl om, hvorvidt din egen organisation selv er underlagt ansvar for risikostyring, og dermed er forpligtet til at vedligeholde denne oversigt, kan du få det afklaret i et par spørgsmål.
Hvad du dokumenterer for hver leverandør
For hver leverandør er et begrænset sæt data normalt tilstrækkeligt: hvilken adgang har parten (læsning, skrivning, administratorrettigheder), til hvilke systemer eller data, er der en kontrakt med aftaler om sikkerhed, hvem er din kontaktperson, og hvornår har du sidst spurgt, om der er sket ændringer. Sidste punkt bliver ofte glemt: en leverandør, der blev vurderet for to år siden og ikke siden da, tæller i praksis som uvurderet. Et fast tidspunkt hvert år til at gennemgå listen forhindrer det.
De begreber, der dukker op i den slags oversigter — ansvar for risikostyring, forsyningskæde, væsentlighed — bliver tydeligere, hvis du først slår dem op uden for din egen situation; vidensdatabasen efter emne giver til hvert begreb et kort, sporbart svar.
Underleverandører: et særligt fokusområde
Underleverandører fortjener ekstra opmærksomhed, fordi kunden ofte ikke ved, at de eksisterer. Hvis du udsætter arbejde til en tredje part, der derved får adgang til kundesystemer, er det normalt at meddele det til kunden og fastlægge, hvad den tredje part må gøre. Nogle kontrakter med ordregivere forbyder underleverandelse uden forudgående tilladelse; det skal kontrolleres som led i udarbejdelsen af politikken, ikke ved den næste drøftelse med kunden.
Fjernhåndtering som egen kategori
Software til fjernhåndtering — remote management, monitoring, ticketing med screen-sharing-funktion — fortjener en særlig plads i oversigten, selvom det ikke er en »leverandør« i sædvanlig forstand. Disse værktøjer har typisk bredt adgang til mange kundemiljøer på samme tid, hvilket gør dem attraktive som angrebsvej. At dokumentere hvem der kan få adgang til disse værktøjer, med hvilke rettigheder og med hvilken godkendelse, er derfor en af de første ting, som en ordregiver spørger om, så snart samtalen drejer sig om eget sikkerhed.
Fra oversigt til svar
En leverandørpolitik, der kun eksisterer på papir, hjælper ikke, når en kunde i morgen sender en spørgeskema. Oversigten er først brugbar, når den er forbundet med dokumentation for hver leverandør og med en ansvarlig person, der holder den opdateret. Hvordan sådan et levende register ser ud i praksis, og hvor de tilknyttede svar på spørgeskemaer kommer fra, er forklaret på siden, der viser, hvordan platformen fungerer.
Ønsker du først at se, om din organisation selv falder under NIS2-pligten eller kun bliver påvirket gennem leverandørkæden? Lav den gratis check, eller gennemse emnerne — begge kan tilgås uden konto og giver med det samme et næste trin, der passer til din situation.