Τι απαιτεί ένας πελάτης των υπηρεσιών ΤΠΕ μετά την NIS2
Ένας πελάτης που ο ίδιος εμπίπτει στη υποχρέωση προσοχής του NIS2 πρέπει να αποδείξει ότι ελέγχει επίσης τους κινδύνους στην αλυσίδα του. Εάν παρέχετε διαχείριση εξ αποστάσεως, φιλοξενία, διαχείριση εφαρμογών ή helpdesk σε έναν τέτοιο πελάτη, αυτό θα εμφανιστεί στη σύμβαση: απαιτήσεις σχετικά με το ποιος έχει πρόσβαση στα συστήματα, πώς καταγράφεται αυτή η πρόσβαση και εάν χρησιμοποιείτε υπεργολάβους χωρίς να το γνωστοποιήσετε προκαταβολικά.
Οι ίδιες οι απαιτήσεις διαφέρουν ανά πελάτη και ανά τομέα, αλλά ορισμένα θέματα εμφανίζονται σχεδόν πάντα: έλεγχος πρόσβασης, καταγραφή ενεργειών διαχείρισης, προθεσμίες ειδοποίησης σε περίπτωση προβλήματος ασφάλειας της δικής σας κατάστασης και ορατότητα σχετικά με το ποιος άλλος εμπλέκεται στο έργο. Το τελευταίο — οι υπεργολάβοι — είναι το θέμα όπου ο κατάλογος ερωτήσεων παραμένει περισσότερο για πολλούς παρόχους υπηρεσιών ΤΠ.
Γιατί αυτό είναι τώρα στη σύμβαση
Η Οδηγία NIS2 υποχρεώνει τους υπόχρεους φορείς, σύμφωνα με το άρθρο 21, να αξιολογήσουν επίσης την ασφάλεια των προμηθευτών και παρόχων υπηρεσιών τους. Ένας πελάτης που είναι ο ίδιος υπόχρεος σε έλεγχο δεν μπορεί να το αποδείξει με προφορική δέσμευση. χρειάζεται γραπτή συμφωνία που μπορεί να παρουσιάσει στον δικό του επόπτη. Για σας ως παροχέα υπηρεσιών ΤΠ, αυτό σημαίνει: το ίδιο ερώτημα επανέρχεται, αλλά τώρα καταγράφεται σε ένα παράρτημα ή προσάρτημα της σύμβασης αντί να βρίσκεται σε ένα ξεχωριστό email.
Αυτή είναι μια μετατόπιση στη μορφή, όχι απαραιτήτως στο περιεχόμενο. Πολλά από αυτά που ζητούνται, τα κάνατε ήδη ως διαχειριστής. Το νέο είναι ότι πρέπει να το μπορείτε να αποδείξετε, με ημερομηνία και όνομα.
Πρόσβαση στα συστήματα πελατών: τι ακριβώς ζητείται
Οι πελάτες ζητούν όλο και περισσότερο μια επισκόπηση του ποιος έχει πρόσβαση στο σύστημά τους, με ποια δικαιώματα και πώς αυτή η πρόσβαση ανακαλείται μόλις κάποιος φύγει από την ομάδα. Η ταυτοποίηση πολλαπλών παραγόντων για πρόσβαση διαχείρισης είναι ήδη μια συχνή απαίτηση, όπως και ένα αρχείο καταγραφής που παρακολουθεί πότε και από ποιον αποκτήθηκε πρόσβαση σε ένα σύστημα. Ορισμένες συμβάσεις ζητούν επιπλέον ένα σταθερό σημείο επικοινωνίας από την πλευρά σας, ώστε ο πελάτης να μην εξαρτάται από ποιος έχει υπηρεσία εκείνη την εβδομάδα.
Η υποκείμενη ερώτηση του πελάτη είναι πάντα η ίδια: αν κάτι πάει στραβά, μπορεί να ιχνηλατήσει ποιος είχε πρόσβαση όπου και πότε. Αυτός είναι και ο λόγος για τον οποίο γενικές απαντήσεις όπως «εργαζόμαστε σύμφωνα με τις καλύτερες πρακτικές» σπάνια είναι επαρκείς — ζητείται συγκεκριμένο στοιχείο αποδείξεως, όχι πρόθεση.
Διαχείριση εξ αποστάσεως: πρόσθετη προσοχή στην ταυτοποίηση και την καταγραφή
Η διαχείριση εξ αποστάσεως λαμβάνει ξεχωριστή παράγραφο σε πολλούς καταλόγους ερωτήσεων, ακριβώς επειδή ένας επιτιθέμενος που εισέλθει εκεί μπορεί να φτάσει σε πολλούς πελάτες σε ένα βήμα. Τα ερωτήματα αφορούν τότε την κρυπτογράφηση της σύνδεσης, εάν η πρόσβαση στη διαχείριση εξ αποστάσεως είναι ανεξάρτητη από το κανονικό δίκτυο της εταιρείας σας και πόσο γρήγορα μπορείτε να τερματίσετε μια συνεδρία αν υποψιάζεστε κατάχρηση. Και εδώ ισχύει: δεν πρόκειται για κρίση σχετικά με το πόσο καλή είναι η ασφάλειά σας, αλλά για το αν μπορείτε να το δείξετε.
Όταν λαμβάνει κάποιος αυτά τα ερωτήματα για πρώτη φορά, συχνά το αντιμετωπίζει ως μια μοναδική ενέργεια για έναν πελάτη. Στην πράξη, το στοιχείο απόδειξης που συλλέγετε για τον έναν πελάτη, με μικρές προσαρμογές, μπορεί επίσης να χρησιμοποιηθεί για τον επόμενο. διαβάστε τα θέματα ανά κατάσταση δίνει μια εικόνα για τα ερωτήματα που επανέρχονται για κάθε τύπο υπηρεσίας.
Υπεργολάβοι: ο κίνδυνος που δεν έχετε μόνοι σας υπό έλεγχο
Το δυσκολότερο μέρος για πολλούς παρόχους υπηρεσιών ΤΠΕ δεν είναι η δική τους ασφάλεια, αλλά αυτή των μερών που καλούν: ένα κέντρο φιλοξενίας, μια υπηρεσία παρακολούθησης, ένας ανεξάρτητος ειδικός. Ένας δικαιούχος που είναι ο ίδιος υπεύθυνος για μέτρα διαχείρισης κινδύνου, θέλει να γνωρίζει αν χρησιμοποιείτε υπεργολάβους, ποιοι είναι αυτοί και αν συμμορφώνονται με συγκρίσιμες απαιτήσεις. Ορισμένα συμβόλαια σας υποχρεώνουν να ανακοινώνετε εκ των προτέρων τις αλλαγές στην αλυσίδα εφοδιασμού, ή να περνάτε τις ίδιες απαιτήσεις ασφάλειας συμβολαιακά στους δικούς σας προμηθευτές.
Αυτό δεν είναι πάντα εύκολο να το ρυθμίσει ένα μικρό ICT-κέντρο, ειδικά όταν ο υπεργολάβος δεν έχει ιδέα γιατί του τέθηκε ξαφνικά αυτή η ερώτηση. Ένα πρώτο βήμα είναι ένα απλό περίληψη: ποιος κάνει τι για εσάς και τι συμφωνία έχετε κάνει γι' αυτό. Χωρίς αυτήν την επισκόπηση, κάθε νέα φόρμα ερωτήσεων είναι πάλι εργασία έρευνας.
Τι μπορείτε και δεν μπορείτε να δεσμευτείτε
Είναι σωστό να συμπεριλάβετε σε ένα συμβόλαιο μόνο δεσμεύσεις που μπορείτε επίσης να τεκμηριώσετε. Ένας δικαιούχος που ρωτά για χρόνους αντίδρασης σε περίπτωση περιστατικού, υπηρεσία 24/7 ή εγγύηση ότι δεν θα πάει κάτι στραβά, ζητά ουσιαστικά μια υπόσχεση που λίγοι πάροχοι υπηρεσιών ΤΠΕ μπορούν να ικανοποιήσουν χωρίς να δημιουργήσουν μια ξεχωριστή, δαπανηρή υπηρεσία. Είναι δική σας υπευθυνότητα και, όπου απαιτείται, ενός νομικού συμβούλου να αξιολογήσετε ποιες ρήτρες είναι λογικές και ποιες υπερβαίνουν αυτό που πραγματικά ζητά η υποχρέωση του δικαιούχου για μέτρα διαχείρισης κινδύνου.
Εάν η δική σας οργάνωση εμπίπτει απευθείας υπό την υποχρέωση της Οδηγίας 2022/2555 — ως αίτιο κρίσιμης σημασίας ή αίτιο σημαντικής σημασίας, ή μέσω της λειτουργίας της αλυσίδας εφοδιασμού — είναι δυνατό να ελεγχθεί με μερικές ερωτήσεις. Αυτή η διάκριση καθορίζει αν πρέπει μόνο να προετοιμάσετε απαντήσεις για τους πελάτες σας ή επίσης να τηρήσετε ένα δοσιέ για τον εαυτό σας.
Ας ξεκινήσουμε
Τελικά, αυτό που σημαίνει για τον δικαιούχο δεν είναι η πρόθεσή σας, αλλά αν η απάντηση στο ερώτημά του είναι έτοιμη τη στιγμή που την ζητά. Όποιος έχει καταγράψει για κάθε μέτρο μία κατάσταση, ένα στοιχείο απόδειξης και έναν ιδιοκτήτη, δεν χρειάζεται να ψάξει ξανά στη δεύτερη φόρμα ερωτήσεων. Δείτε τι κοστίζουν το δοσιέ και οι φόρμες ερωτήσεων αν θέλετε να αντιμετωπίσετε αυτή την προετοιμασία συστηματικά, ή διαβάστε πρώτα τις συχνές ερωτήσεις σχετικά με τον τρόπο λειτουργίας της πλατφόρμας.
Ξεκινήστε δεσμευτικά με τον δωρεάν έλεγχο της Οδηγίας 2022/2555 για να δείτε αν η οργάνωσή σας είναι η ίδια υπεύθυνη, επηρεάζεται μέσω της αλυσίδας, ή κανένα από τα δύο — και διαβάστε περαιτέρω στη βάση γνώσης σχετικά με τα θέματα που ισχύουν για τον τομέα σας.