Ha vállalata az ICT-szolgáltatásban működik — szerverek és hálózatok felügyelete, távelérési lehetőséggel rendelkező helpdesk, vagy szoftverek karbantartása az ügyfelekeknél — akkor az Ön által kapott biztonsági kérdőív gyakran terjedelmesebb, mint más szállítóké. Ez nem azért van, mert az ügyfél nem bízik meg az Önben, hanem azért, mert a szolgáltatás természeténél fogva olyan rendszerekhez biztosít hozzáférést, amelyek nem az Önök tulajdonát képezik. Az egy zorgplichtnak megfelelő szervezet, amely értékláncát vizsgálja, az ICT-szolgáltatónál mélyebbre néz, mint egy irodabútorokat szállító szállítónál.
Az ebben a szektorban visszatérő kérdések általában három csoportra oszlanak: hogyan kezeli távolról, hogyan szabályozza az ügyfélrendszerekhez való hozzáférést, és hogyan kezel alvállalkozókat. Az alábbiakban csoportonként felsorolunk néhány tipikus kérdést és azok okait.
Miért képeznek az ICT-szolgáltatók külön kategóriát
A NIS2-irányelv szerint a szervezet azt is meg kell hogy vizsgálja, milyen kockázatok érkeznek a szállítókon keresztül. Egy könyvelési iroda, amely csak számlákat dolgoz fel, más kockázatot jelent, mint egy fél, amely éjszaka bejelentkezhet a vállalati kiszolgálóra egy frissítés futtatásához. A felügyeleti hatóságok és az irányelv maga az ICT-szolgáltatásoktól való függőséget kifejezetten figyelemre méltó pontként említi az értékláncban. Ön számára ez azt jelenti, hogy a kérdőív gyakran nem az irodájára vonatkozik, hanem arra az útvonalra, amelyet alkalmazottai és rendszerei az ügyfél hálózatához megtesznek.
Kérdések a távolátvételről
Ha távolról kezeli az ügyfelek rendszereit, távelérési és felügyeleti (RMM) eszközökkel vagy VPN-kapcsolaton keresztül, a kérdőív általában a kapcsolat biztonságáról kérdez. A szokásos témák: a távelérés csak többfaktoros hitelesítéssel lehetséges-e, a munkamenetek naplózásra kerülnek-e és meddig őrzik meg a naplókat, van-e rögzített időablak a karbantartásra, és mi történik, ha egy szerelő laptopja eltörik vagy elveszett. Szintén rendszeresen visszatérő kérdés az, hogy az RMM-szoftver maga naprakészen tartott-e — egy sebezhetőség ebben a felügyeleti programban egyetlen lépésben érinti az összes ügyfelet, akit vele felügyelnek, és ez az ügyfelek számára egy érzékeny pont.
Kérdések az ügyfélrendszerekhez való hozzáférésről
A második kérdéscsoportról arról szól, hogy pontosan ki mely rendszerekhez férhet hozzá. Gondoljon erre: az a vezérelv alkalmazódik-e, hogy valaki csak az adott feladatához szükséges hozzáférést kapja (least privilege), a hozzáférés közvetlenül visszavonásra kerül-e, amint egy alkalmazott elmegy vagy funkciót vált, valamint az jelszavak és hozzáférési kulcsok ügyfélonként szétválasztottak vagy megosztottak az ügyfelek között. Egyes kérdőívek azt is megkérdezik, hogy ki férhetett hozzá egy adott időszakban, amit csak akkor lehet megválaszolni, ha ezt az áttekintést már nyilvántartják. Aki nem rendelkezik ilyen információval, gyakran nem azért veszít, mert a biztonság hiányos, hanem azért, mert a válasz egyszerűen nem szállítható gyorsan.
Kérdések az alvállalkozókról és a saját értékláncról
A harmadik kérdéscsalád gyakran feledésbe merül, amíg elő nem kerül: saját maga használ-e alvállalkozókat a szolgáltatás egyes részeihez, például külső felet a ügyfélszolgálathoz irodán kívüli órákban vagy speciális hálózatkezeléshez? Az a megrendelő, aki saját ellátási láncát fel kell, hogy térképezze, szeretné tudni, hogy az ellátási lánc önnél végződik-e, vagy tovább folytatódik. Az ezzel kapcsolatos kérdések általában arra vonatkoznak, hogy az alvállalkozók ugyanazokat a biztonsági követelményeket kapják-e, mint ahogyan ön járul el, és hogy az ügyfelet előzetesen értesítik-e új alvállalkozó bevonása esetén. Ez az a pont is, ahol a kérdéssor olyan információk felé tolódhat el, amelyek az kockázatértékeléshez nem feltétlenül szükségesek; ahol van ez a határ, nem minden helyzetben azonos, és megérdemel egy önálló mérlegelést.
Ez mit jelent az ön által adott válaszra
A fenti kérdések nem önálló ellenőrzési lista, hanem egy ismétlődő minta, és ez a minta keveset változik ügyféltől ügyfelig ezen a szektoron belül. Ez megéri azt, hogy előre tudjuk, hol állnak az ügyek — melyik ezek közül az térítések már le vannak bízva egy tulajdonosnak és egy bizonyítéknak, és melyek még lazán állnak. néhány kérdésben látni, hogy és hogyan érinti ön csináljuk ennek egy első irányát adja meg, és a kidolgozott témák helyzeteként mélyebben foglalkozik bizonyos intézkedésekkel, például a hozzáféréskezeléssel és a szállítói értékeléssel. Ha kétségei vannak, hogy egy feltett kérdés még ésszerű határok között van-e, azt az ügyfélével vagy tartós bizonytalanság esetén egy jogásszal érdemes megbeszélni; a leggyakrabban feltett kérdések erről a témáról számos kiindulópontot ad.
Ha szeretne kötelezettség nélkül látni, hogy a vállalata hol áll az ilyen kérdéssorokhoz képest, végezze el az ingyenes gyorsleolvasást, vagy böngéssze a tudásbázist a secria.eu webhelyén — mindkettő elérhető fiók nélkül.