Mitä tilaaja vaatii ICT-palvelun tarjoajalta NIS2:n jälkeen
Tilaajan, joka itse kuuluu NIS2:n huolellisen toiminnan velvoitteen piiriin, on osoitettava, että hän hallitsee myös toimitusketjuunsa liittyvät riskit. Jos tarjoatte etähallinnointia, hosting-palveluita, sovellusten hallinnointia tai tukipalveluja tällaiselle tilaajalle, se näkyy sopimuksessa: vaatimuksia siitä, kenellä on pääsy järjestelmiin, miten pääsy kirjaudutaan, ja ilmoitatteko etukäteen käyttävänne alihankkijoita.
Vaatimukset vaihtelevat tilaajittain ja sektoreittain, mutta joukko aiheita toistuu lähes aina: pääsynvalvonta, hallinnollisten toimintojen kirjaaminen, ilmoitusaikajäätökset omien poikkeamienne sattuessa ja näkyvyys muihin työhön osallistuviin osapuoliin. Tämä viimeinen kohta — alihankkijat — on monille ICT-palveluntarjoajille se aihe, johon kyselylomake pysähtyy pisimpään.
Miksi tämä nyt sopimuksessa on
NIS2-direktiivi velvoittaa artiklan 21 nojalla velvoitteet omaavat organisaatiot myös arvioimaan palveluntarjoajiensa ja palveluntarjoajistensa turvallisuutta. Tilaaja, joka on itse tarkastusvelvoitteen alainen, ei voi osoittaa tätä suullisella vakuutuksella; hän tarvitsee kirjallisen sopimuksen, jonka voi esittää omalle valvontaviranomaiselleen. ICT-palveluntarjoajana se tarkoittaa teille seuraavaa: sama kysymys tulee uudelleen, mutta nyt merkitty liitteeksi tai sopimuksen liitteeksi itsenäisen sähköpostiviestin sijaan.
Se on muutos muodossa, ei välttämättä sisällössä. Paljon siitä, mitä kysytään, tekitte hallinnoijana todennäköisesti jo. Uutta on, että sen on oltava osoitettavissa päivämäärän ja nimen kanssa.
Pääsy asiakasjärjestelmiin: mitä tarkalleen kysytään
Tilaajat kysyvät yhä useammin yhteenvetoa siitä, kenellä heillä on pääsy, mitä oikeuksia heillä on, ja miten pääsy peruutetaan heti, kun joku poistuu tiimistä. Monitekijäisen todentamisen vaatimus hallinolliseen pääsyyn on nyt yleinen vaatimus, samoin kuin loki, joka seuraa, milloin ja kuka järjestelmään pääsee. Jotkut sopimukset pyytävät lisäksi kiinteää yhteyshenkilöä puolestanne, jotta tilaaja ei ole riippuvainen siitä, kuka tuolla viikolla palvelee.
Tilaajan taustalla oleva kysymys on aina sama: voidaanko hän, jos jokin menee pieleen, jäljittää, kenellä oli pääsy mihin ja milloin. Se on myös syy siihen, että yleiset vastaukset kuten "noudatamme parhaita käytäntöjä" ovat harvoin riittävät — pyydetään konkreettista todisteita, ei aikomusta.
Etähallinnointointi: erityistä huomiota todentamiseen ja kirjaamiseen
Etähallinnointointi saa monissa kyselyissä oman osion, juuri koska hyökkääjä, joka sinne pääsee, pääsee yhdessä vaiheessa moneen asiakkaaseen. Kysymykset koskevat yhteyden salausta, sitä, ovatko etähallinnon pääsy ja tavallinen verkkonne erillään, ja kuinka nopeasti voit sulkea istunnon, jos epäilet väärinkäyttöä. Tässäkin pätee: kyse ei ole siitä, kuinka hyvä turvallisuutenne on, vaan siitä, näyttekö sen.
Joille tällaisten kysymysten saava ensimmäisen kerran kokee sen usein yhden asiakkaan kertaksi. Käytännössä todisteet, jotka keräätte yhdelle tilaajalle, voidaan pienin muutoksin käyttää seuraavalle. lue aiheet tilanteen mukaan antaa kuvan siitä, mitkä kysymykset toistuvat minkä tyyppisessä palvelutarjonnassa.
Alihankkijat: riski, jota et hallitse yksin
ICT-palvelujen tarjoajille yleisimmin vaikeinta osaa ei ole oma tietoturva, vaan niiden osapuolten tietoturva, joita he ottavat käyttöön: hosting-palvelun tarjoaja, valvonnan palvelu, freelance-asiantuntija. Tilaaja, joka itse kuuluu direktiivin piiriin, haluaa tietää, käyttääkö te alihankkijoita, keitä he ovat, ja täyttävätkö he vastaavia vaatimuksia. Jotkin sopimukset velvoittavat teidät ilmoittamaan muutokset toimitusketjussa etukäteen tai siirtämään samat tietoturvavaatimukset sopimuksella omille toimittajillenne.
Se ei aina ole helppo järjestää pienelle IT-yritykselle, varsinkin jos alihankkija itse ei ymmärrä, miksi hänelle yhtäkkiä kysytään asiasta. Ensimmäinen askel on yksinkertainen katsaus: kuka tekee mitä teille ja mitä sopimuksesta siitä on kirjattu. Ilman tätä katsausta jokainen uusi kysymyslista on jälleen alusta aloitettava tutkimustyö.
Mitä voitte luvata ja mitä ette
On järkevää sisällyttää sopimukseen vain sellaiset sitoumukset, jotka voitte myös todentaa. Tilaaja, joka pyytää vasteaikoja häiriötapauksessa, 24/7-palvelua tai takuuta siitä, ettei mitään koskaan mene pieleen, pyytää tosiasiassa lupaa, jonka harvat IT-palvelun tarjoajat voivat täyttää ilman erillistä, kallista palvelua sen järjestämiseksi. Teidän ja tarvittaessa lakimiehen tehtävä on arvioida, mitkä lausekkeet ovat kohtuulliset ja mitkä menevät pidemmälle kuin tilaajayrityksenne velvoitteet tosiasiassa edellyttävät.
Se, kuuluuko oma organisaationne suoraan direktiivin piiriin — oletteko te keskeinen tai tärkeä yksikkö tai vaikutatte te toimitusketjun kautta — voidaan tarkistaa muutaman kysymyksen avullaTämä ero määrittää, valmistatko vain vastauksia asiakkaillesi vai täytyykö sinulle myös itselleen ylläpitää omaa asiakirjaa.
Aloittaminen
Tilaajalle ei lopulta ole merkitystä teidän aikeillanne, vaan sillä, onko hänen kysymykseensä vastaus valmiina silloin, kun hän sitä pyytää. Kun olet kerta kerran per kontrollia kirjannut tilan, todisteen ja vastuuhenkilön, seuraavalla kysymyslistalla ei tarvitse etsiä alusta. Katso mitä asiakirja ja kysymyslistat maksavat jos haluat käsitellä tätä valmistelua järjestelmällisesti, tai lue ensin usein kysyttyjä kysymyksiä alustan toiminnasta.
Aloita sitoutumattomasti ilmaisella NIS2-tarkistuksella nähdäksesi, kuuluuko organisaatiosi itse direktiivin piiriin, oletko toimitusketjun vaikutuksessa vai kumpaakaan — ja lue tietovarastosta lisää aiheista, jotka koskevat sektoriasi.