Hvis dit firma udbyder IT-tjenesteydelser — servere- og netværksadministration, en helpdesk med fjernadgang, eller softwarevedligeholdelse hos kunder — er sikkerhedsspørgeskemaet, du modtager, ofte mere omfattende end for andre leverandører. Det skyldes ikke, at din kunde mistror dig, men at din tjeneste pr. definition giver adgang til systemer, der ikke tilhører dig. En organisationen med en pligtig risikostyring, der vurderer sin leverandørkæde, undersøger en IT-tjenesteyder grundigere end en møbelforhandler.
De spørgsmål, der gentages i denne sektor, falder typisk i tre grupper: hvordan du styrer systemer fjernt, hvordan du regulerer adgang til kundesystemer, og hvordan du håndterer underleverandører. Nedenfor findes der for hver gruppe, hvad der almindeligvis spørges om, og hvorfor.
Hvorfor IT-tjenesteydere udgør en særskilt kategori
En organisation med en pligtig risikostyring skal efter NIS2-direktivet også vurdere risici, der kommer ind gennem leverandører. Et revisionsbureau, der kun behandler fakturaer, udgør en anden risiko end en aktør, der om natten kan logge ind på virksomhedsserveren for at køre en opdatering. Tilsynsmyndighederne og direktivet selv nævner denne afhængighed af IT-tjenester udtrykkeligt som et opmærksomhedspunkt i værdikæden. For dig betyder det, at spørgeskemaet ofte ikke handler om dit kontor, men om den vej, dine medarbejdere og systemer tager til kundens netværk.
Spørgsmål om fjernbeheer
Hvis du styrer kundesystemer fjernt ved hjælp af værktøjer til fjernmonitorering og administration (RMM) eller via en VPN-forbindelse, spørger spørgeskemaet normalt til sikkerheden af selve forbindelsen. Typiske emner er: om fjernadgang kun er mulig med flertrinsgodkendelse, om sessioner logges og hvor længe disse logfiler opbevares, om der er et fast tidsvindue, hvornår vedligeholdelse finder sted, og hvad der sker, hvis en teknikers bærbar computer bliver stjålet eller bortkommen. Der stilles også ofte spørgsmål om, hvorvidt selve RMM-softwaren holdes opdateret — en sårbarhed i det administrationsprogram påvirker nemlig på én gang alle kunder, der administreres med det, og det gør det til et følsomt punkt for modtagerne.
Spørgsmål om adgang til kundesystemer
Den anden gruppe spørgsmål omhandler, hvem der præcis kan få adgang til hvilke systemer. Tænk på: arbejder du efter princippet om, at nogen kun får adgang til, hvad der er nødvendigt for opgaven (least privilege), bliver adgangen trukket tilbage med det samme, når en medarbejder går eller skifter stilling, og er adgangskoder og nøgler adskilt pr. kunde eller delt på tværs af opgaver. Nogle spørgeskemaer beder også om en oversigt over, hvem der har haft adgang i en given periode — noget, der kun kan besvares, hvis den oversigt allerede bliver vedligeholdt. Den, der ikke har denne slags oplysninger klar, taber ofte ikke, fordi sikkerheden mangler, men fordi svaret simpelthen ikke kan leveres hurtigt nok.
Spørgsmål om underleverandører og din egen leverandørkæde
Den tredje gruppe spørgsmål bliver ofte glemt, indtil den kommer på bordet: bruger du selv underleverandører til dele af tjenesten, såsom en ekstern part til helpdesk uden for kontortid eller til specialiseret netværksstyring? En køber, der skal kortlægge sit eget leverandørnetværk, vil vide, om det netværk stopper hos dig, eller det fortsætter længere. Spørgsmål herom handler normalt om, hvorvidt underleverandører får pålagt de samme sikkerhedskrav, som du selv anvender, og om kunden bliver informeret på forhånd, når en ny underleverandør indgår. Dette er også det punkt, hvor spørgeskemaet kan blive for omfattende og omfatte oplysninger, som ikke er rimeligt nødvendige for risikovurderingen; hvor den grænse ligger, er ikke ens i alle situationer og fortjener en selvstændig vurdering.
Hvad dette betyder for det svar, du giver
Spørgsmålene ovenfor er ikke en løs checklist, men et tilbagevendende mønster, og det mønster ændrer sig ikke meget fra kunde til kunde inden for denne sektor. Det gør det værd at vide på forhånd, hvor du selv står — hvilke af disse emner der allerede er tildelt en ejer og et bevis, og hvilke der stadig ligger løst. se på et par spørgsmål, om og hvordan du berøres giver der en første retning, og de uddybede emner pr. situation går dybere ind i specifikke foranstaltninger som adgangskontrol og leverandørvurdering. Er du i tvivl om, hvorvidt et stillet spørgsmål stadig ligger inden for rimelige grænser, er det noget at diskutere med kunden selv eller, hvis uklarheden fortsætter, med en jurist; de oftest stillede spørgsmål om dette emne giver en række anknytningspunkter.
Hvis du uden forpligtelser gerne vil se, hvor dit firma står i forhold til den slags spørgeskemaer, kan du tage den gratis quick-scan eller gennemse videnbanken på secria.eu — begge dele er tilgængelige uden konto.