Az ICT-szolgáltatásokra vonatkozó szállítói politika olyan áttekintés, amely tartalmazza az összes olyan felet, amely az Ön nevében vagy mellett hozzáféréssel rendelkezik az Ügyfeleinek rendszereihez, adataihoz vagy infrastruktúrájához, valamint azt, hogy az egyes felek mit tehetnek, miről állapodtak meg, és mikor ellenőrizték utoljára. Azért készítik el, mert az ajánlattevőkre rótt gondossági kötelezettség kötelezi őket az Ön biztonsági értékelésének elvégzésére is — és mivel Ön viszont alvállalkozókra, távolfelügyeleti szoftverre és felhőszolgáltatókra támaszkodik, akik ugyanilyen értékelésre érdemeltek.
Az alapelv egyszerű: aki az Ügyfele rendszereihez hozzáférhet, fel kell, hogy szerepeljen az Ön áttekintésében. Ez vonatkozik arra a félre, amely az Ügyfél jegykibocsátási rendszerét üzemelteti, a szabadúszóra, aki éjszaka biztonsági frissítéseket telepít, és arra az eszközre, amellyel távolról egy munkaállomást figyel meg. Egy szállítói politika nem olyan formalitás, amely csupán a megjelenésre szolgál; válasz arra a kérdésre, amelyet az Ügyfele egyszer fel fog tenni Önnek: ki más férhet hozzá az adataimhoz, és hogyan tudja, hogy ők ezt helyesen teszik.
Ki tartozik az áttekintésbe
Kezdje széles körben, majd szűkítsen le. Az áttekintésbe azok az alvállalkozók tartoznak, akik az Ön munkáját végzik, olyan szoftverleveranciers, amelyek eszközei hozzáféréssel rendelkeznek az ügyfél-környezetekhez, felhőszolgáltatók, ahol az Ügyfeleinek adatait tárolják, és olyan szakterületi szakemberek, akik alkalmanként dolgoznak. Az a kérdés, amelyet az egyes felek tekintetében felvet magának: nem az, hogy milyen fontosak az Ön üzleti tevékenységéhez, hanem az, hogy közvetlenül vagy közvetve hozzáférhessenek-e az Ügyfeleinek rendszereihez vagy adataihoz. Irodaszerek szállítója nem tartozik bele; az a fél, amely az Ön monitoringszoftverét üzemelteti, igen.
Csábító a nagy, látható feleket felvenni és a kisebb alvállalkozókat elhagyni, mivel az kapcsolat informális. Éppen ott szokott félrecsúszni: egy informális megállapodás egy szabadúszóval, aki az Ön bejelentkezési adataival az Ügyfele rendszereinél működik, az Ügyfél számára nem kevésbé kockázatos, mint egy nagyobb féllel kötött szerződés. Aki kétségbeesik afelett, hogy az Ön szervezete maga esik-e a gondossági kötelezettség alá, és ezért kötelezett-e ezt az áttekintést fenntartani, azt néhány kérdéssel tisztáztathatja.
Amit szállítónként rögzíteni kell
Szállítónként általában egy korlátozott adatkészlet elegendő: milyen hozzáféréssel rendelkezik a fél (olvasás, írás, felügyeleti jogok), mely rendszerekhez vagy adatokhoz, van-e szerződés biztonsági megállapodásokkal, ki az Önöknél a kapcsolattartó, és mikor kérdezte meg utoljára, hogy történt-e valami változás. Ez utóbbi pont gyakran elmarad: egy szállító, akit két évvel ezelőtt értékeltek, és azóta nem néztek meg, a gyakorlatban értékelhetetlen. Az év egy állandó időpontja az lista végigjárásához ezt megakadályozza.
Az ilyen áttekintésekben visszatérő fogalmak — gondossági kötelezettség, lánc, materialitás — világosabbakká válnak, ha az Ön saját helyzetétől függetlenül először utánanéznek; az ismeretbázis témánként tárgyanként egy rövid, nyomon követhető választ ad.
Alvállalkozók: külön figyelem
Az alvállalkozók külön figyelmet érdemelnek, mert az ügyfél gyakran nem tudja, hogy léteznek. Ha az Ön munkáját kiszervezik egy harmadik félnek, amely közben az ügyfél rendszereihez fér hozzá, szokás ezt közölni az ügyféllel, és rögzíteni, mit tehet ez a harmadik fél. Egyes, megbízóval kötött szerződések tiltják a kiszervezést előzetes beleegyezés nélkül; ennek ellenőrzése az irányelvnek a feltárásához tartozik, nem a klienssel folytatott későbbi tárgyaláshoz.
Távolfelügyeleti önálló kategóriaként
A távoli felügyelet szoftvere — remote management, monitoring, ticketing megtekintési funkcióval — külön helyet érdemel az áttekintésben, még ha nem is "szállító" a szokásos értelemben. Ezek az eszközök általában széles hozzáféréssel rendelkeznek számos ügyfélkörnyezethez egyszerre, ami vonzóvá teszi őket támadási útvonalként. Annak rögzítése, hogy ki férhet hozzá ezekhez az eszközökhöz, milyen jogosultságokkal és milyen ellenőrzéssel, tehát az egyik első dolog, amelyet egy megrendelő kér, amikor a saját biztonságáról folytatott beszélgetés szóba kerül.
Az áttekintéstől a válaszig
Egy szállítói szabályzat, amely csak papíron létezik, nem segít, ha egy ügyfél holnap kérdőívet küld. Az áttekintés csak akkor használható, ha minden szállítóhoz egy bizonyítékkal és egy azt naprakészen tartó tulajdonossal van összekapcsolva. Hogyan néz ki az ilyen élő regiszter a gyakorlatban, és honnan származnak a kapcsolódó kérdőívekre adott válaszok, az alábbiak szerint van kifejtve az a lap, amely bemutatja a platform működését.
Szeretné először megtudni, hogy a szervezete közvetlenül a NIS2 gondossági kötelezettség alá tartozik-e, vagy csak az ellátási láncon keresztül érinti? Végezze el az ingyenes ellenőrzést vagy böngésszen a témák között — mindkettő hozzáférhető fiók nélkül, és azonnal egy lépést javasol, amely a helyzete passzol.