Kui teie ettevõte töötab IKT-teenuste osutamises — serverite ja võrkude haldamine, pöördumiskeskus, millel on kaugpääs, või tarkvara hooldus klientidele — siis turvalisuse küsimustik, mille saate, on sageli ulatuslikum kui teiste pakkujate omad. See ei ole seetõttu, et teie klient teile ei usalda, vaid seetõttu, et teie teenus annab definitsiooni järgi juurdepääsu süsteemidele, mis teile ei kuulu. Organisatsioon, millele on kohaldatud riskijuhtimise nõue ja kes hindab oma tarneketti, vaatab IKT-teenuse pakkujat sügavamalt kui mööblipakkujat.
Küsimused, mis selles sektoris korduvad, jaotuvad tavaliselt kolme rühma: kuidas te kaugühendust haldate, kuidas te juurdepääsu kliendi süsteemidele reguleerite ja kuidas te alltöövõtjatega käitute. Allpool on iga rühma jaoks loetletud, mida tavaliselt küsitakse ja miks.
Miks IKT-teenuse pakkujad moodustavad eraldi kategooria
Organisatsioon, millele on kohaldatud riskijuhtimise nõue, peab NIS2-direktiivi järgi hindama ka riske, mis tulevad pakkujate kaudu. Raamatupidamiskontoor, mis tegeleb ainult arvete töötlemisega, on erinev risk kui pool, kes saab öösiti sisselogida ettevõtte serverisse värskenduse rakendamiseks. Järelevalveasutused ja direktiiv ise nimetavad seda sõltuvust IKT-teenustest otsesõnu tähelepanekupunktina väärtusahela raames. Teile tähendab see, et küsimustik käsitleb sageli mitte teie kantseliit, vaid teed, mida teie töötajad ja süsteemid käivad kliendi võrgusse.
Küsimused kaugühenduse haldamise kohta
Kui te haldate klientide süsteeme kaugelt, kasutades kauguhenduse jälgimise ja haldustööriistu (RMM) või VPN-ühenduse kaudu, siis küsimustik küsib tavaliselt selle ühenduse enda turvalisuse kohta. Tüüpilised teemad on: kas kaugpääs on võimalik ainult mitmetasandilise autentimisega, kas seansid logitakse ja kui kaua neid logisid säilitatakse, kas hooldus toimub kindla ajavahemiku raames, ja mis juhtub, kui paigaldaja sülearvuti varastatakse või kaob. Samuti küsitakse regulaarselt, kas RMM-tarkvara ise uuendatakse — sellele haldustarkvarale avastatud nõrkus mõjutab otseselt kõiki kliente, keda sellega hallatakse, mis muudab selle vastuvõtjate jaoks tundliku punkti.
Küsimused juurdepääsu kohta kliendi süsteemidele
Teine küsimuste rühm käsitleb seda, kes täpselt milliste süsteemidele pääseb. Arvestage: kas kasutate põhimõtet, et inimene saab juurdepääsu ainult sellele, mis on ülesande täitmiseks vajalik (least privilege), kas juurdepääs tühistatakse kohe, kui töötaja lahkub või vahetab ametit, ja kas paroolid ja juurdepääsuklahvid on klienditi eraldi või jagatud ülesannete vahel. Mõned küsimustikud küsivad ka ülevaate sellest, kes on konkreetsel perioodil juurdepääsu saanud — midagi, millele saab vastata ainult siis, kui seda ülevaadet juba peetakse. Need, kellel sellist teavet käepärast ei ole, kaotavad sageli mitte seetõttu, et turvalisus oleks ebapiisav, vaid seetõttu, et vastus lihtsalt pole piisavalt kiiresti saadaval.
Küsimused alltöövõtjate ja enda tarneketi kohta
Kolmas küsimuste rühm unustatakse sageli, kuni see päevakorrale jõuab: kasutate te ise alltöövõtjaid teenuse osade jaoks, näiteks välist osapoolt helpdesks väljaspool kontorit või spetsialiseeritud võrguhaldusel? Ostja, kes peab oma tarneahela kaardistama, soovib teada, kas see ahel teie juures lõpeb või jätkub edasi. Selle teemaga seotud küsimused käsitlevad tavaliselt seda, kas alltöövõtjatele esitatakse samad turbeeelsed nõuded kui teil, ja kas klient teavitatakse eelnevalt, kui võetakse kasutusele uus alltöövõtja. See on ka punkt, kus küsimustik võib liiga kaugele minna ja nõuda teavet, mis pole õigupoolest riskihinnanguga hädavajalik; see piir pole igas olukorras sama ja vajab eraldi kaalutlust.
Mida see tähendab teie antavale vastusele
Ülaltoodud küsimused ei ole üksikud kontrollnimekirjad, vaid korduv muster, ja see muster muutub sektoris kliendilt kliendile vähe. See muudab otstarbekaks, kui tead eelnevalt, kuidas te ise seisate — millised neist teemadest on juba määratud omaniku ja tõendusmaterjaaliga, ja millised veel lahti on. paarial küsimusel näha, kas ja kuidas te puutute kokku annab sellest esimese suunaviite, ja välja töötatud teemad olukorriti käsitlevad sügavamalt konkreetseid meetmeid nagu juurdepääsuhaldus ja tarnija hindamine. Kui kahtlete, kas esitatud küsimus jääb veel mõistlike piiride vahele, on see asi, mida arutada kliendi endaga või, püsiva ebaselguse korral, juristiga; kõige sagedamini esitatud küsimused selle teema kohta annab mitmeid algustähtpunkte.
Kui soovite ilma kohustuseta näha, kuidas teie ettevõte sellist küsimustikke vastu seisab, tehke siis tasuta kiirskann või lehitsege teadmistebaasi secria.eu – mõlemad on juurdepääsetavad ilma kontota.