Jos yrityksenne tarjoaa ICT-palveluja — palvelimien ja verkkojen hallintaa, etäkäyttöoikeudella varustetun palvelupöytää tai ohjelmistojen huoltoa asiakkaiden tiloissa — saamanne tietoturvakyselylomake on usein laajempi kuin muiden toimittajien saamat kyselyt. Tämä ei johdu siitä, että asiakkaasi epäluottaa sinuun, vaan siitä, että palvelusi antaa määritelmällisesti pääsyn järjestelmiin, jotka eivät ole sinun omistuksessasi. Kun vastuu velvoittava organisaatio arvioi toimitusketjuaan, se tutkii ICT-palvelun tarjoajaa perusteellisemmin kuin esimerkiksi toimistokalusteita toimittavaa myyjää.
Tässä alalla toistuvat kysymykset jakautuvat tavallisesti kolmeen ryhmään: kuinka hallitset etänä, kuinka sääntelet pääsyä asiakkaiden järjestelmiin ja kuinka käsittelet alihankkijoita. Alla on kunkin ryhmän osalta, mitä yleensä kysytään ja miksi.
Miksi ICT-palvelun tarjoajat muodostavat erityisen kategorian
Vastuu velvoittavan organisaation on NIS2-direktiivin mukaan arvioitava myös riskejä, jotka saapuvat toimittajien kautta. Kirjanpitotoimisto, joka vain käsittelee laskuja, aiheuttaa erilaisen riskin kuin toimittaja, joka voi kirjautua sisään yrityksen palvelimelle yöllä päivityksen suorittamiseksi. Valvontaviranomaiset ja direktiivi itsessään mainitsevat tämän ICT-palvelujen riippuvuuden nimenomaisesti arvoketjun huomioon otettavaksi tekijäksi. Sinulle tämä tarkoittaa sitä, että kyselylomake ei yleensä koske toimistosäde, vaan sitä polkua, jonka työntekijäsi ja järjestelmäsi kulkevat asiakkaan verkkoon.
Kysymykset etähallinnasta
Jos hallitset asiakkaiden järjestelmiä etänä etämonitorointi- ja hallintatyökalujen (RMM) tai VPN-yhteyden avulla, kyselylomake pyytää tavallisesti tietoja itse yhteyden turvallisuudesta. Tyypillisiä aiheita ovat: voidaanko etäkäyttöoikeuteen päästä vain monitekijäisen todennuksen avulla, kirjataanko istunnot ja kuinka kauan lokeja säilytetään, onko olemassa kiinteä aikaväli, jolloin ylläpito suoritetaan, ja mitä tapahtuu, kun asentajan kannettava tietokone varastetaan tai katoaa. Lisäksi kysytään säännöllisesti, päivitetäänkö itse RMM-ohjelmisto — hallinnan ohjelmiston haavoittuvuus vaikuttaa nimittäin kerralla kaikkiin asiakkaisiin, joita sillä hallitaan, mikä tekee siitä asiakkaille herkkä asia.
Kysymykset pääsystä asiakkaiden järjestelmiin
Toinen kysymysryhmä käsittelee sitä, kuka tarkalleen voi päästä mihin järjestelmiin. Ajattele seuraavaa: noudatatko periaatetta, että joku saa pääsyn vain siihen, mitä tehtävän suorittaminen vaatii (least privilege), poistetaanko pääsy välittömästi, kun työntekijä lähtee tai vaihtaa roolia, jaetaanko salasanat ja pääsyavaimet asiakkaittain vai ovatko ne samoja eri toimeksiannoissa. Jotkut kyselylomakkeet pyytävät myös luetteloa siitä, kuka on päässyt järjestelmiin tietyn ajanjakson aikana, ja tällaiseen kysymykseen voi vastata vain, jos tätä tietoa jo ylläpidetään. Jotkut menettävät sopimukset ei siksi, että turvallisuus olisi puutteellinen, vaan siksi, että vastaus ei yksinkertaisesti ole saatavissa tarpeeksi nopeasti.
Kysymykset alihankkijoista ja omasta toimitusketjusta
Kolmas kysymyssarja unohdetaan usein siihen asti, kunnes se tulee pöytään: käyttääkö te itse alihankkijoita palvelun osien suorittamiseen, kuten ulkopuolista osapuolta päivystyspalvelun ulkopuolella tai erikoistunutta verkonhallinnan hallintaa? Ostaja, jonka on kartoitettava oma hankintoihin liittyvä ketjunsa, haluaa tietää, loppuuko ketju teissä vai jatkuuko se eteenpäin. Näitä koskevia kysymyksiä käsitellään yleensä siltä kannalta, sovelletaanko alihankkijoihin samoja tietoturvavaatimuksia kuin te itse noudatatte, ja ilmoitetaanko asiakas etukäteen, kun käytöön otetaan uusi alihankkija. Tämä on myös kohta, jossa kysymysluettelo voi mennä yli sisältöihin, jotka eivät ole kohtuullisesti tarpeellisia riskin arviointiin; rajan sijainti ei ole joka tilanteessa sama ja se ansaitsee erillisen harkinnan.
Mitä tämä tarkoittaa antamallanne vastauksella
Yllä olevat kysymykset eivät ole irtonainen tarkistuslista vaan toistuva kaava, ja tuo kaava muuttuu vähän asiakkaittain tämän sektorin sisällä. Se tekee siitä kannattavaa tietää etukäteen, missä te itse olette — mitkä näistä aiheista on jo varattu vastuullisuuden ja todisteen kanssa, ja mitkä ovat vielä irrallaan. muutamalla kysymyksellä nähdä, päädyttekö ja kuinka teidät vaikutetaan antaa siitä ensimmäisen suunnan, ja käsitellyt aiheet tilanneittain käsittelee tarkemmin tiettyjä mittoja, kuten pääsynvalvontaa ja toimittajien arviointia. Jos epäilytte, kuuluuko kysytty kysymys edelleen kohtuullisiin rajoihin, on se asia, josta kannattaa keskustella asiakkaan kanssa tai, jos epäselvyys jatkuu, juristi kanssa; useimmin kysytyt kysymykset tästä aiheesta antaa useita lähtökohtia.
Haluatteko ilman velvoitteita nähdä, miten yrityksenne sijoittuu tällaisten kyselyiden suhteen, suorittakaa sitten ilmainen pikatutkinta tai selaile tietopankki secria.eu:ssa — molemmat ovat saatavilla ilman tiliä.