Εάν η επιχείρησή σας δραστηριοποιείται στις υπηρεσίες ΤΠ — διαχείριση διακομιστών και δικτύων, ένα servicedesk με πρόσβαση από απόσταση, ή συντήρηση λογισμικού στους πελάτες — τότε ο κατάλογος ερωτήσεων ασφάλειας που λαμβάνετε είναι συχνά πιο ολοκληρωμένος από εκείνον άλλων προμηθευτών. Αυτό δεν οφείλεται στο ότι ο πελάτης σας δυσπιστεί, αλλά στο ότι η υπηρεσία σας δίνει εξ ορισμού πρόσβαση σε συστήματα που δεν σας ανήκουν. Ένας οργανισμός με υποχρέωση φροντίδας που αξιολογεί την αλυσίδα του, εξετάζει έναν πάροχο υπηρεσιών ΤΠ πιο σε βάθος από ό,τι έναν προμηθευτή επιπλώσεων γραφείου.
Τα ερωτήματα που εμφανίζονται συχνά σε αυτό τον τομέα διαιρούνται συνήθως σε τρεις κατηγορίες: ο τρόπος διαχείρισής σας από απόσταση, ο τρόπος ρύθμισης της πρόσβασης σε συστήματα πελατών και ο τρόπος αντιμετώπισης των υπεργολάβων. Παρακάτω, για κάθε κατηγορία, παρουσιάζεται αυτό που ζητείται συνήθως και γιατί.
Γιατί οι πάροχοι υπηρεσιών ΤΠ αποτελούν μια ξεχωριστή κατηγορία
Σύμφωνα με την Οδηγία NIS2, ένας οργανισμός με υποχρέωση φροντίδας πρέπει να αξιολογήσει και τους κινδύνους που εισέρχονται μέσω προμηθευτών. Ένα λογιστικό γραφείο που επεξεργάζεται μόνο τιμολόγια αποτελεί διαφορετικό κίνδυνο από έναν οργανισμό που μπορεί να συνδεθεί τη νύχτα στον εταιρικό διακομιστή για να εγκαταστήσει μια ενημέρωση. Οι εποπτικές αρχές και η ίδια η οδηγία αναφέρουν ρητώς αυτή την εξάρτηση από τις υπηρεσίες ΤΠ ως σημείο προσοχής εντός της αλυσίδας αξίας. Για εσάς, αυτό σημαίνει ότι ο κατάλογος ερωτήσεων συχνά δεν αφορά το γραφείό σας, αλλά τη διαδρομή που ακολουθούν οι υπάλληλοί σας και τα συστήματά σας προς το δίκτυο του πελάτη.
Ερωτήματα σχετικά με τη διαχείριση από απόσταση
Εάν διαχειρίζεστε συστήματα πελατών από απόσταση, με εργαλεία παρακολούθησης και διαχείρισης από απόσταση (RMM) ή μέσω σύνδεσης VPN, τότε ο κατάλογος ερωτήσεων συνήθως αναζητά πληροφορίες σχετικά με την ασφάλεια της ίδιας της σύνδεσης. Τα τυπικά θέματα είναι: εάν η πρόσβαση από απόσταση είναι δυνατή μόνο με έναν πολλαπλό παράγοντα ταυτοποίησης, εάν οι περίοδοι σύνδεσης καταγράφονται και πόσο καιρό διατηρούνται αυτές οι καταγραφές, εάν υπάρχει ένα σταθερό χρονικό παράθυρο κατά το οποίο λαμβάνει χώρα η συντήρηση, και τι συμβαίνει εάν χαθεί ή κλαπεί ένας φορητός υπολογιστής τεχνικού. Επίσης, συχνά ανακύπτει το ερώτημα εάν το ίδιο το λογισμικό RMM διατηρείται ενημερωμένο — μια ευπάθεια σε αυτό το πρόγραμμα διαχείρισης επηρεάζει ταυτόχρονα όλους τους πελάτες που διαχειρίζονται με αυτό, και αυτό το καθιστά ένα ευαίσθητο σημείο για τους αγοραστές.
Ερωτήματα σχετικά με την πρόσβαση σε συστήματα πελατών
Η δεύτερη ομάδα ερωτημάτων αφορά το ποιος ακριβώς μπορεί να έχει πρόσβαση σε ποια συστήματα. Σκεφτείτε: εργάζεστε σύμφωνα με την αρχή ότι ένας χρήστης αποκτά πρόσβαση μόνο σε αυτά που είναι απαραίτητα για την εργασία (ελάχιστο προνόμιο), απορρίπτεται η πρόσβαση αμέσως κατά την αναχώρηση ενός υπαλλήλου ή την αλλαγή θέσης, και διαχωρίζονται ή διακοινοχρησιμοποιούνται τα κωδικοί πρόσβασης και τα κλειδιά πρόσβασης ανά πελάτη. Ορισμένοι κατάλογοι ερωτήσεων ζητούν επίσης μια ανασκόπηση του ποιος είχε πρόσβαση σε μια συγκεκριμένη περίοδο, κάτι που μπορεί να απαντηθεί μόνο εάν αυτή η ανασκόπηση διατηρείται ήδη. Αυτοί που δεν έχουν αυτές τις πληροφορίες έτοιμες, χάνουν συχνά όχι γιατί η ασφάλεια είναι ελλιπής, αλλά γιατί η απάντηση απλώς δεν μπορεί να παρασχεθεί αρκετά γρήγορα.
Ερωτήματα σχετικά με υπεργολάβους και την ίδια αλυσίδα
Η τρίτη ομάδα ερωτήσεων συχνά ξεχνιέται έως ότου τεθεί στο τραπέζι: χρησιμοποιείτε εσείς ο ίδιος υπεργολάβους για μέρη της υπηρεσίας, όπως ένα εξωτερικό μέρος για το helpdesk εκτός ωραρίου ή για εξειδικευμένη διαχείριση δικτύου; Ένας πελάτης που πρέπει να χαρτογραφήσει την δική του αλυσίδα προμήθειας, θέλει να γνωρίζει αν αυτή η αλυσίδα σταματά σε εσάς ή συνεχίζεται περαιτέρω. Οι ερωτήσεις σχετικά με αυτό συνήθως αφορούν το αν οι υπεργολάβοι υπόκεινται στις ίδιες απαιτήσεις ασφάλειας που εφαρμόζετε και εσείς, και αν ο πελάτης ενημερώνεται εκ των προτέρων όταν ενεργοποιείται ένας νέος υπεργολάβος. Αυτό είναι επίσης το σημείο όπου το ερωτηματολόγιο μπορεί να ξεφύγει προς πληροφορίες που δεν είναι λογικά απαραίτητες για την αξιολόγηση του κινδύνου· το σημείο εκείνο δεν είναι το ίδιο σε κάθε κατάσταση και αξίζει μια δική του εκτίμηση.
Τι αυτό σημαίνει για την απάντηση που δίνετε
Οι ερωτήσεις παραπάνω δεν είναι μια ξεχωριστή λίστα ελέγχου αλλά ένα επαναλαμβανόμενο μοτίβο, και αυτό το μοτίβο αλλάζει λίγο από πελάτη σε πελάτη στο εξωτερικό τομέα. Αυτό το καθιστά άξιο να γνωρίζετε εκ των προτέρων πού στέκεστε εσείς — ποια από αυτά τα θέματα έχουν ήδη ανατεθεί σε έναν ιδιοκτήτη και σε ένα τεκμήριο, και ποια είναι ακόμα χαλαρά. σε μερικές ερωτήσεις δείτε αν και πώς σας αφορά δίνει εκεί μια πρώτη κατεύθυνση, και τα εκλεπτυσμένα θέματα ανά κατάσταση εμβαθύνει σε συγκεκριμένα μέτρα όπως η διαχείριση πρόσβασης και η αξιολόγηση προμηθευτών. Εάν αμφιβάλλετε για το αν μια τεθείσα ερώτηση εξακολουθεί να βρίσκεται εντός λογικών ορίων, τότε αυτό είναι κάτι που πρέπει να συζητηθεί με τον ίδιο τον πελάτη ή, σε περίπτωση συνεχιζόμενης ασάφειας, με έναν δικηγόρο· οι πιο συχνές ερωτήσεις για το θέμα αυτό δίνει έναν αριθμό σημείων αναφοράς.
Εάν θέλετε χωρίς δεσμεύσεις να δείτε πού στέκεται η εταιρεία σας σε σχέση με αυτού του είδους τα ερωτηματολόγια, κάντε τότε τη δωρεάν γρήγορη σάρωση ή περιηγηθείτε στη βάση γνώσης στο secria.eu — και τα δύο είναι προσβάσιμα χωρίς λογαριασμό.