Tarneseisundite poliitika ICT-teeninduse jaoks on ülevaade igast poolest, kellel on juurdepääs teie nimel või paralleelselt teie klientide süsteemidele, andmetele või infrastruktuurile, kusjuures iga poole kohta on määratud, mida see tohtib, millega on kokku lepitud ja millal seda viimati kontrolliti. Selle koostame, kuna hoolduskohustus, mis maksustavad teie tellijatele, nõuab neilt, et nad hindaksid ka teie turvalisust — ja kuna te omakorda sõltute alamtöövõtjatest, kaugjuhtimise tarkvarast ja pilveteenituse pakkujatest, kes sama hindamist väärivad.
Tuum on lihtne: kes teie kliendi juurde pääseb, peaks teie ülevaates olema. See kehtib poolele, kes hostib teie piletisüsteemi, zzp'erile, kes öösel paigaldusi käivitab, ja vahendajale, millega te kliendi tööjaamast kaugelt jälitate. Tarneseisundite poliitika pole etenduse jaoks nõutav formaalsus; see on vastus küsimusele, mille teie oma klient teile kunagi esitab: kes saab veel minu andmete juurde ja kuidas te teate, et nad seda korrektselt teevad.
Kes peaks ülevaatesse kuuluma
Alustage laialt ja kustutage siis. Ülevaatesse kuuluvad alamtöövõtjad, kes teie tööd oma pihale võtavad, tarkvara pakkujad, kelle vahendajatel on juurdepääs kliendi keskkondadele, pilveteenituse pakkujad, kuhu te klientide andmeid talletate, ja erispetsialistid, kes aeg-ajalt kaasatakse. Küsimus, mille te iga poole kohta endale esitate, pole mitte see, kas nad on teie äritegevusele olulised, vaid kas nad — otseselt või kaudselt — pääsevad teie klientide süsteemidele või andmetele. Kontorivarustuse tarnija ei kuulu sinna; pool, kes hostib teie jälgimise tarkvarast, kuulub.
Ahvatlev on kaasata ainult suured, nähtavad pooled ja jätta väiksemad alamtöövõtjad vahele, sest suhe on mitteametlik. Täpselt seal käib sageli valesti: mitteametlik kokkulepe zzp'eriga, kes teie sisselogimisnimede ja paroolidega kliendil töötab, pole kliendi jaoks vähem ohtlik kui leping suure poolega. Kes kahtleb, kas ta ise kuulub hoolduskohustuse alla ja peab seda ülevaadet pidama, saab seda paari küsimusega teada saada.
Mida te iga tarnija kohta fikseerite
Iga tarnija kohta piisab tavaliselt piiratud andmete komplektist: mis liiki juurdepääs poolel on (lugemine, kirjutamine, administraatoriõigused), millisele süsteemidele või andmetele, kas lepingus on turvalisuse kohta kokkulepitut, kes on teie juures kontaktisik ja millal te viimati küsisite, kas midagi on muutunud. Viimane punkt unustatakse sageli: tarnija, kes kaks aastat tagasi hinnati ja sellest saadik mitte enam, loetakse praktikas hinnatamata. Kindel ajahetk aastas listi läbi vaatamiseks hoiab selle ära.
Mõisted, mis sellistesse ülevaatesse tulevad — hooldusakohustus, toetusahel, olulisus — muutuvad selgemaks, kui te need oma olukorrast eraldi esmalt ülesse otsida; teadusbaas teemade kaupa annab iga mõiste kohta lühikese, jälgitava vastuse.
Alamtöövõtjad: eraldi tähelepanu nõudev teema
Alamtöövõtjad nõuavad eraldi tähelepanu, sest klient sageli ei tea nende olemasolust. Kui te töid kolmandale poolele usaldamisele andate ja see pool käib seejuures kliendi süsteemidele, on tavaline see kliendile teatada ja fikseerida, mida see kolmas pool tohtib. Mõned lepingud tellijatega keelavad alamtöövõtt ilma eelneva loata; seda tuleb kontrollida poliitika koostamisel, mitte järgmises arutelus kliendiga.
Kaugjuhtimine eraldi kategooriaks
Kaugteadministreerimise tarkvara — remote management, monitoring, ticketing koos jälgimise võimalusega — väärib eraldi kohta ülevaates, kuigi see ei ole "tarnija" tavalises mõttes. Neil tööriistadel on tavaliselt lai juurdepääs paljudele kliendiümbrusele korraga, mis teeb need atraktiivseks rünnakuteeks. Fikseerida, kes nendele tööriistadele pääseda saab, milliste õigustega ja millise kinnitusega, on seega üks esimesi asju, mida tellija küsib, niipea kui vestlus teie enda turvalisuse üle algab.
Ülevaatest vastuseni
Leverantsipoliitika, mis eksisteerib ainult paberil, ei aita, kui klient homme küsimustiku saadab. Ülevaade on kasutatav alles siis, kui see on seotud igat tarniajat puudutava tõendiga ja omanikuga, kes seda ajakohasena hoiab. Kuidas selline eluettevõtmise register praktikas välja näeb ja kust tulevad vastavad vastused küsimustikele, on selgitatud lehel, mis näitab, kuidas platvorm töötab.
Kas soovite esmalt näha, kas teie organisatsioon ise jääb NIS2 hooldusvastutuse alla või teid mõjutatakse ainult tarneahela kaudu? Tehke tasuta kontroll või lehitsege teemasid — mõlemad saab konsulteerida ilma kontota ja annavad kohe järgmise sammu, mis teie olukorraga sobib.