Ako vaša tvrtka radi u ICT-uslugama — upravljanje poslužiteljima i mrežama, helpdesk s daljinskim pristupom ili održavanje softvera kod klijenta — lista sigurnosnih pitanja koju primite često je opširnija nego za druge dobavljače. To nije zato što vam se klijen ne dovršava, već zato što vaša usluga po definiciji daje pristup sustavima koji nisu vaši. Organizacija sa obvezama u vezi s rizicima koja procjenjuje svoju dobavnu mrežu dublje gleda na ICT-pružatelja usluga nego na dobavljača kancelarijskog namještaja.
Pitanja koja se često pojavljuju u ovoj grani obično spadaju u tri grupe: kako upravljate daljinski, kako regulirate pristup sustavima klijenta i kako se nosite s podugovaračima. Ispod je navedeno što se obično pita za svaku grupu i zašto.
Zašto ICT-pružatelji usluga čine posebnu kategoriju
Prema Direktivi NIS2, organizacija sa obvezama u vezi s rizicima mora ocijeniti i rizike koji dolaze kroz dobavljače. Računovodstveni ured koji samo obrađuje fakture predstavlja drugačiji rizik od partnera koji se može noću prijaviti na poslovni server kako bi pokrenuo ažuriranje. Nadzorni organi i sama direktiva izričito naglašavaju ovu ovisnost o ICT-uslugama kao točku pažnje u dobavnoj mreži. Za vas to znači da lista pitanja često nije usmjerena na vašu kancelariju, već na put koji vaši zaposlenici i sustavi prelaze do klijentove mreže.
Pitanja o daljinskom upravljanju
Ako daljinski upravljate sustavima klijenta koristeći alate za daljinsko nadziranje i upravljanje (RMM) ili preko VPN-veze, lista pitanja obično pita o sigurnosti te veze. Tipične teme su: može li se pristupiti samo s višestrukom autentifikacijom, bilježe li se sesije i koliko dugo se zapisnici čuvaju, postoji li fiksni vremenski prozor u kojem se održavanje odvija i što se dogodi ako se laptop tehničara ukrade ili izgubi. Također je česta pitanja da li se sam RMM-softver redovito ažurira — ranjivost u tom upravljačkom programu odmah pogađa sve klijente koji se s njim upravljaju, što je za preuzetnike osjetljivo pitanje.
Pitanja o pristupačnosti sustavima klijenta
Druga grupa pitanja odnosi se na to tko točno može pristupiti kojima sustavima. Pomislite na: koristite li princip da osoba dobiva pristup samo onome što je potrebno za zadatak (načelo minimalnih privilegija), oduzima li se pristup odmah čim zaposlenik ode ili promijeni funkciju i odvajaju li se lozinke i pristupni ključevi po klijentu ili se dijele između mandatara. Neke liste pitanja traže i pregled tko je u nekom razdoblju imao pristup — na što se može odgovoriti samo ako se taj pregled već vodi. Tko takve informacije nema pri ruku, često ne gubi zato što sigurnost zaostaje, već zato što odgovor jednostavno nije moguće dostaviti dovoljno brzo.
Pitanja o podugovaračima i vlastitoj dobavnoj mreži
Treća grupa pitanja često se zaboravlja dok ne dođe na red: koristite li vlastite podizvoñače za dijelove usluge, na primjer vanjsku stranku za helpdesk izvan radnog vremena ili za specijalizirani upravljanje mrežom? Kupac koji mora mapirati vlastitu lanca opskrbe želi znati zaustavlja li se lanac kod vas ili se nastavlja dalje. Pitanja o ovome obično se tiču toga jesu li podizvoñači podvrgnuti istim zahtjevima sigurnosti koje primijenite vi sami, te je li kupac unaprijed informiran kada se uključi novi podizvoñač. Ovo je također točka gdje list pitanja može preći na informacije koje nisu razumno potrebne za procjenu rizika; gdje se ta granica nalazi, nije isto u svakoj situaciji i zasluživuje vlastitu procjenu.
Što to znači za odgovor koji dajete
Gornja pitanja nisu samostalna popis nego se ponavljajući uzorak, a taj se uzorak malo razlikuje od kupca do kupca unutar ovog sektora. To ga čini vrijednim da unaprijed znate gdje se vi nalazite — koja od ovih tema su već dodjeljene s vlasnikom i dokazom, a koja još ostaju odvojena. u nekoliko pitanja vidjeti je li i kako ste pogođeni daje smjer u tome, i detaljne teme po situaciji ide dublje u specifične mjere kao što su kontrola pristupa i procjena dobavljača. Ako sumnjate je li postavljeno pitanje još u razumnim granicama, to je nešto o čemu treba razgovarati s samim kupcem ili, ako ostane nejasnoće, s pravnikom; najčešće postavljana pitanja o ovoj temi daje nekoliko polazišta.
Ako želite bez obveza vidjeti gdje vaše poduzeće stoji u odnosu na ovakve listove pitanja, napravite besplatnu brzu provjeru ili pregledajte bazu znanja na secria.eu — oboje su dostupni bez računa.