Politika dobavljača za ICT uslugu je pregled svake strane koja u vašem ime ili uz vas ima pristup sustavima, podacima ili infrastrukturi vaših klijenata, s tim da je za svaku stranu navedeno što smije raditi, što je dogovoreno i kada je to zadnji put provjeren. To postavljate jer obaveza pažnje koju se nameće naručiteljima obvezuje i njih da ocijene i vašu sigurnost — a vi se pak oslanjate na podizvođače, softver za upravljanje na daljinu i pružatelje oblačnih usluga koji zasluživaju istu ocjenu.
Jezgra je jednostavna: tko može doći do vašeg klijenta trebao bi biti na vašem popisu. To se odnosi na stranu koja hostira vaš sustav za praćenje problema, na freelancera koji noću raspoređuje zakrpe, i na alat kojim s daljine promatrate radnu stanicu. Politika dobavljača nije formalnost za javnost; to je odgovor na pitanje koje će vam neki dan postaviti vaš klijent: tko drugi može pristupiti mojim podacima, i kako znate da to rade pravilno.
Tko trebao biti na popisu
Počnite šire pa zatim brisati. Na popisu trebaju biti podizvođači koji preuzimaju vaš rad, dobavljači softvera čiji alati imaju pristup klijentskim okruženjima, pružatelji oblačnih usluga gdje ste smještili podatke klijenata, i slobodni stručnjaci koji povremeno surađuju. Pitanje koje si postavljate za svaku stranu nije je li važna za vaš poslovni rad, već jesu li — izravno ili neizravno — u mogućnosti pristupiti sustavima ili podacima vaših klijenata. Dobavljač uredskih potrepština tu ne treba biti; stranka koja hostira vaš softver za nadzor treba biti.
Primamljivo je uključiti samo velike, vidljive strane i preskočiti manje podizvođače jer je odnos neformalan. To je upravo gdje često krene po zlu: neformalni dogovor s freelancerom koji radi s vašim vjerodajnicama kod klijenta nije za klijenta manje rizičan od ugovora s velikom stranom. Tko je neuspješan ili vlastita organizacija sami pod obvezom pažnje i stoga mora ažurirati ovaj popis, može to provjeriti u nekoliko pitanja.
Što po dobavljaču bilježite
Po dobavljaču obično je dovoljan ograničen skup podataka: koju vrstu pristupa ima stranka (čitanje, pisanje, prava upravljanja), do kojih sustava ili podataka, postoji li ugovor s dogovorima o sigurnosti, tko je kod vas osoba za kontakt, i kada ste zadnji put provjerili postoji li promjena. Posljednja točka se često zaboravlja: dobavljač koji je procijenjen prije dvije godine i od tada nije ponovno provjerenoga de facto broji kao neprocijenjeni. Fiksni moment godišnje za provjeru popisa sprječava to.
Pojmovi koji se javljaju u ovakvim pregledima — obaveza pažnje, lanac opskrbe, materialnost — postaju jasnije ako ih prvo, odvojeno od vaše situacije, nasljedite; baza znanja po temi daje po pojmu kratak, prosljeđiv odgovor.
Podizvođači: posebna točka pažnje
Podizvođači zaslužuju dodatnu pažnju jer klijent često ne zna da postoje. Ako rad prepuštate trećoj strani koja pritom pristupa klijentskim sustavima, uobičajeno je to obavijestiti klijenta i utvrditi što ta treća strana smije raditi. Neki ugovori s naručiteljima zabranjuju podizvođu bez prethodnog dopuštenja; provjera toga trebala bi biti dio postavljanja politike, a ne sljedećega razgovora s klijentom.
Upravljanje na daljinu kao zasebna kategorija
Softver za upravljanje na daljinu — udaljeno upravljanje, nadzor, upravljanje zahtjevima s mogućnošću promatranja — zaslužuje zasebno mjesto u pregledu, čak i ako nije "dobavljač" u običnom smislu. Ovi alati obično imaju širok pristup većem broju okruženja klijenta istovremeno, što ih čini atraktivnim kao vektor napada. Evidentiranje tko može pristupiti ovim alatima, s kojim pravima i s kojom verifikacijom, je jedan od prvih stvari koje naročitelj traži čim razgovor krene o vašoj vlastitoj sigurnosti.
Od pregleda do odgovora
Politika dobavljača koja postoji samo na papiru ne pomaže ako klijen sutra pošalje popis pitanja. Pregled je koristan tek ako je povezan s dokazom po dobavljaču i s vlasnikom koji ga održava ažuriranim. Kako takav živi registar izgleda u praksi i odakle dolaze pripadajući odgovori na popise pitanja, objašnjeno je na stranici koja pokazuje kako platforma funkcionira.
Želite li prvo vidjeti pada li vaša organizacija sama pod NIS2-obvezu brige ili je samo zahvaćena preko lanca opskrbe? Obavite besplatnu provjeru ili pregledajte teme — oboje se mogu konzultirati bez računa i odmah daju sljedeći korak koji odgovara vašoj situaciji.