Μια πολιτική προμηθευτών για υπηρεσίες ΤΠΕ είναι ένας κατάλογος κάθε μέρους που έχει πρόσβαση εκ μέρους σας ή παράλληλα στα συστήματα, δεδομένα ή υποδομή των πελατών σας, με κάθε μέρος να περιγράφει τι επιτρέπεται, τι έχει συμφωνηθεί και πότε ελέγχθηκε τελευταία. Το συντάσσετε επειδή η υποχρέωση διαχείρισης κινδύνου που επιβάλλεται στους αναθέτοντες έργο σας υποχρεώνει να αξιολογούν και τη δική σας ασφάλεια — και επειδή εσείς με τη σειρά σας εξαρτάστε από υπεργολάβους, λογισμικό διαχείρισης απομακρυσμένης πρόσβασης και φορείς παροχής υπηρεσιών cloud που αξίζουν την ίδια αξιολόγηση.
Το ουσιώδες σημείο είναι απλό: όποιος μπορεί να έχει πρόσβαση στον πελάτη σας θα πρέπει να περιλαμβάνεται στον κατάλογό σας. Ισχύει για τη μέρος που φιλοξενεί το σύστημα διαχείρισης εισιτηρίων σας, για τον ανεξάρτητο επαγγελματία που ανάπτυσσει διορθώσεις τη νύχτα, και για το εργαλείο με το οποίο παρακολουθείτε απομακρυσμένα έναν σταθμό εργασίας. Μια πολιτική προμηθευτών δεν είναι τυπικότητα για την παρουσίαση· είναι η απάντηση στο ερώτημα που θα σας κάνει κάποια στιγμή ο δικός σας πελάτης: ποιος άλλος μπορεί να έχει πρόσβαση στα δεδομένα μου, και πώς ξέρετε ότι το κάνουν σωστά.
Ποιος θα πρέπει να περιλαμβάνεται στον κατάλογο
Ξεκινήστε με ευρύ πλάνο και στη συνέχεια αφαιρέστε. Στον κατάλογο περιλαμβάνονται υπεργολάβοι που αναλαμβάνουν έργο για λογαριασμό σας, προμηθευτές λογισμικού των οποίων τα εργαλεία έχουν πρόσβαση στα περιβάλλοντα των πελατών, φορείς παροχής υπηρεσιών cloud όπου αποθηκεύετε δεδομένα πελατών, και μεμονωμένοι ειδικοί που συνεργάζονται περιστασιακά. Το ερώτημα που θέτετε για κάθε μέρος δεν είναι αν είναι σημαντικές για τη λειτουργία της επιχείρησής σας, αλλά αν — άμεσα ή έμμεσα — έχουν πρόσβαση στα συστήματα ή δεδομένα των πελατών σας. Ένας προμηθευτής γραφικών ειδών δεν περιλαμβάνεται. μια μέρος που φιλοξενεί το λογισμικό παρακολούθησής σας περιλαμβάνεται.
Είναι δελεαστικό να περιλαμβάνετε μόνο τις μεγάλες, ορατές μέρες και να παραλείπετε μικρότερους υπεργολάβους επειδή η σχέση είναι άτυπη. Αυτό είναι ακριβώς όπου συχνά πάει στραβά: μια άτυπη συμφωνία με έναν ανεξάρτητο επαγγελματία που εργάζεται με τα διαπιστευτήριά σας σε έναν πελάτη δεν είναι λιγότερο επικίνδυνη για τον πελάτη από ένα συμβόλαιο με μεγάλη μέρος. Όποιος δεν είναι σίγουρος αν η ίδια η οργάνωσή του υπόκειται στην υποχρέωση διαχείρισης κινδύνου και επομένως υποχρεούται να διατηρεί αυτόν τον κατάλογο, μπορεί να το ξεκαθαρίσει με μερικές ερωτήσεις.
Τι καταγράφετε για κάθε προμηθευτή
Για κάθε προμηθευτή, ένα περιορισμένο σύνολο δεδομένων είναι συνήθως επαρκές: τι είδους πρόσβαση έχει η μέρος (ανάγνωση, εγγραφή, δικαιώματα διαχείρισης), σε ποια συστήματα ή δεδομένα, υπάρχει συμβόλαιο με συμφωνίες σχετικά με την ασφάλεια, ποιος είναι το άτομο επικοινωνίας σας, και πότε ελέγξατε τελευταία αν κάτι άλλαξε. Αυτό το τελευταίο σημείο συχνά ξεχνιέται: ένας προμηθευτής που αξιολογήθηκε δύο χρόνια πριν και από τότε όχι, θεωρείται στην πράξη ως μη αξιολογημένος. Ένα σταθερό σημείο ετησίως για να εξετάσετε τη λίστα αποτρέπει αυτό.
Οι έννοιες που εμφανίζονται σε τέτοιους καταλόγους — υποχρέωση διαχείρισης κινδύνου, αλυσίδα, σημαντικότητα — γίνονται πιο σαφές εάν τις αναζητήσετε πρώτα χωριστά από τη δική σας κατάσταση· η τράπεζα γνώσεων ανά θέμα δίνει εκεί για κάθε έννοια μια σύντομη, ανιχνεύσιμη απάντηση.
Υπεργολάβοι: ένα ιδιαίτερο σημείο προσοχής
Οι υπεργολάβοι αξίζουν ιδιαίτερη προσοχή επειδή ο πελάτης συχνά δεν γνωρίζει ότι υπάρχουν. Εάν εκχωρήσετε έργο σε τρίτη μέρη που έχει πρόσβαση στα συστήματα των πελατών, είναι σύνηθες να το ανακοινώσετε στον πελάτη και να καθορίσετε τι μπορεί να κάνει αυτή η τρίτη μέρη. Ορισμένα συμβόλαια με αναθέτοντες έργο απαγορεύουν την υπεργολαβία χωρίς προηγούμενη συγκατάθεση· η αναθεώρησή της αποτελεί μέρος της σύνταξης της πολιτικής, όχι της επόμενης συζήτησης με τον πελάτη.
Διαχείριση απομακρυσμένης πρόσβασης ως ξεχωριστή κατηγορία
Λογισμικό για τηλεχειρισμό — διαχείριση από απόσταση, παρακολούθηση, διαχείριση αιτημάτων με λειτουργία παρακολούθησης — αξίζει ξεχωριστή θέση στην επισκόπηση, παρόλο που δεν είναι «προμηθευτής» με την συνηθισμένη έννοια. Αυτά τα εργαλεία έχουν συνήθως ευρεία πρόσβαση σε πολλά περιβάλλοντα πελατών ταυτόχρονα, κάτι που τα καθιστά ελκυστικά ως διαδρομή επίθεσης. Η καταγραφή του ποιος μπορεί να έχει πρόσβαση σε αυτά τα εργαλεία, με ποια δικαιώματα και με ποια επαλήθευση, είναι λοιπόν ένα από τα πρώτα πράγματα που ζητά ένας εργοδότης μόλις ξεκινήσει η συζήτηση σχετικά με τη δική του ασφάλεια.
Από την επισκόπηση στην απάντηση
Μια πολιτική προμηθευτών που υπάρχει μόνο στο χαρτί δεν βοηθά αν ένας πελάτης αποστείλει μια λίστα ερωτήσεων αύριο. Η επισκόπηση είναι χρησιμοποιήσιμη μόνο αν συνδέεται με ένα αποδεικτικό στοιχείο ανά προμηθευτή και με έναν ιδιοκτήτη που το διατηρεί ενημερωμένο. Το πώς ένα τέτοιο ζωντανό μητρώο φαίνεται στην πράξη και από πού προέρχονται οι σχετικές απαντήσεις σε λίστες ερωτήσεων, εξηγείται στη σελίδα που δείχνει πώς λειτουργεί η πλατφόρμα.
Θέλετε πρώτα να δείτε αν ο οργανισμός σας ίδιος υπόκειται στην υποχρέωση φροντίδας NIS2 ή μόνο μέσω της αλυσίδας προμηθευτών; Κάντε το δωρεάν έλεγχο ή περιηγηθείτε στα θέματα — και τα δύο είναι προσβάσιμα χωρίς λογαριασμό και δίνουν αμέσως ένα επόμενο βήμα που ταιριάζει στην κατάστασή σας.