Toimittajapolitiikka ICT-palveluiden osalta on katsaus kaikkiin osapuoliin, joilla on pääsy puolestasi tai rinnallasi asiakkaiden järjestelmiin, tietoihin tai infrastruktuuriin. Jokaisesta osapuolesta kirjataan, mitä he saavat tehdä, mitä on sovittu ja milloin se viimeksi tarkistettiin. Laadoit sen, koska tilaajille asetettu huolellisuusvelvoite velvoittaa heidät arvioimaan myös sinun tietoturvallisuuden — ja koska sinä puolestasi olet riippuvainen alihankkijoista, etähallintatyökaluista ja pilvialueista, jotka ansaitsevat saman arvioinnin.
Ydin on yksinkertainen: jokainen, joka pääsee asiakkaasi luo, kuuluu luetteloihisi. Tämä koskee toimittajaa, joka isännöi lippujärjestelmääsi, freelanceria, joka asentaa korjaukset yöllä, ja työkalua, jolla tarkkaelet työasemaa etäältä. Toimittajapolitiikka ei ole näytelmä muodollisuuksista; se on vastaus kysymykseen, jonka oma asiakkaasi sinulle joskus esittää: kuka muu voi käyttää tietojani, ja mistä tiedät, että he toimivat asianmukaisesti.
Kuka kuuluu luetteloon
Aloita laajasti ja rajaa sitten. Luetteloon kuuluvat alihankkijat, jotka ottavat tehtäviä puolestasi, ohjelmistotoimittajat, joiden työkaluilla on pääsy asiakkaiden ympäristöihin, pilvitoimittajat, joissa varastoit asiakkaiden tietoja, ja itsenäiset asiantuntijat, jotka osallistuvat satunnaisesti. Kysymys, jonka kysyt jokaisesta osapuolesta, ei ole, ovatko he tärkeitä liiketoiminnallesi, vaan voivatko he — suoraan tai välillisesti — saada pääsyn asiakkaiden järjestelmiin tai tietoihin. Toimittaja, joka myy toimistotarvikkeita, ei kuulu luetteloon; osapuoli, joka isännöi valvontaohjelmistoasi, kyllä.
On houkuttelevaa sisällyttää vain suuret, näkyvät osapuolet ja ohittaa pienemmät alihankkijat, koska suhde on epävirallinen. Tämä on usein se, missä menee pieleen: epävirallinen sopimus freelancerin kanssa, joka käyttää sinun kirjautumistietojasi asiakkaan luona, ei ole asiakkaalle vähemmän riskialtis kuin sopimus suuren osapuolen kanssa. Jos epäröit, kuuluuko oma organisaatiosi huolellisuusvelvoitteen piiriin ja onko sen vuoksi velvollisuus ylläpitää tätä luetteloa, voit selvittää sen muutamalla kysymyksellä.
Mitä kirjaat jokaisen toimittajan osalta
Jokaisesta toimittajasta riittää yleensä rajallinen tietojoukko: minkä tyyppinen pääsy osapuolella on (lukeminen, kirjoittaminen, järjestelmänvalvojan oikeudet), mihin järjestelmiin tai tietoihin, onko osapuolen kanssa sopimus tietoturvaa koskevista sopimuksista, kuka on sinulla yhteyshenkilö, ja milloin olet viimeksi tiedustellut, onko mitään muuttunut. Jälkimmäinen piste unohdetaan usein: toimittaja, joka arvioitiin kaksi vuotta sitten eikä siitä lähtien, lasketaan käytännössä arvioimattomaksi. Kiinteä ajankohta vuodessa luettelon käymiselle välttää tämän.
Käsitteet, jotka esiintyvät tämän tyyppisissä luetteloissa — huolellisuusvelvoite, toimitusketju, olennainen merkitys — tulevat selkeämmiksi, jos otat ne ensin erillään omasta tilanteestasi ja tutustut niihin; tietokanta aiheittain antaa kullekin käsitteelle lyhyen, jäljitettävän vastauksen.
Alihankkijat: erityinen huomiopiste
Alihankkijat ansaitsevat erityistä huomiota, koska asiakas usein ei tiedä heidän olemassaolostaan. Jos ulkoistatat työtä kolmannelle osapuolelle, jolla on pääsy asiakkaiden järjestelmiin, on tavallista ilmoittaa siitä asiakkaalle ja kirjata, mitä kolmas osapuoli saa tehdä. Joissakin tilaajien kanssa tehdyissä sopimuksissa kielletään alihankkija ilman priorisointia; sen tarkistaminen kuuluu politiikan laadintaan, ei seuraavaan keskusteluun asiakkaan kanssa.
Etähallinnointi omana kategorianaan
Etähallinnan ohjelmistot — etäohjaus, monitorointi, lipunhallinta katselutoiminnolla — ansaitsevat oman paikan yleiskatsauksessa, vaikka ne eivät ole "toimittajia" tavanomaisen merkityksen mukaan. Näillä työkaluilla on tyypillisesti laaja pääsy moniin asiakasympäristöihin samanaikaisesti, mikä tekee niistä houkuttelevia hyökkäyspolkuja. Sen dokumentoiminen, kuka voi käyttää näitä työkaluja, millä oikeuksilla ja millä vahvistuksella, on yksi ensimmäisistä asioista, joita tilaaja kysyy, kun keskustelu siirtyy omasta turvallisuudestaan.
Yleiskatsauksesta vastaukseen
Toimittajakäytäntö, joka on olemassa vain paperilla, ei auta, jos asiakas lähettää huomenna kysymyslistan. Yleiskatsaus on käyttökelpoinen vasta, kun se on linkitetty todistusvahvistukseen jokaista toimittajaa kohti ja omistajaan, joka pitää sen ajan tasalla. Miten tällainen elävä rekisteri näyttää käytännössä ja mistä vastaavat vastaukset kysymyslistoihin tulevat, selitetään sivulla, joka näyttää, miten alusta toimii.
Haluatko ensin nähdä, kuuluuko organisaatiosi itse NIS2-huolenpitovelvollisuuden piiriin vai vaikutatko ketjun kautta? Tee ilmainen tarkistus tai selaa aiheet — molemmat ovat saatavilla ilman tiliä ja antavat heti jatkotoimenpiteet, jotka sopivat tilanteeseen.