Amit az IKT-szolgáltatások megrendelője a NIS2 után követel
Egy olyan megbízónak, aki maga is a NIS2-alapú gondossági kötelezettség alá esik, igazolnia kell, hogy ellátja a kockázatokat az ellátási láncában is. Ha Ön távolelérést, üzemeltetést, alkalmazáskezelést vagy helpdesk-szolgáltatást nyújt ilyen megbízónak, az a szerződésben is visszatükröződik: követelmények arról, hogy kinek van hozzáférése a rendszerekhez, hogyan kerülnek naplózásra az ilyen hozzáférések, és hogy jelzi-e előzetesen az alvállalkozók igénybevételét.
A követelmények maguk eltérőek lehetnek az egyes megbízók és szektorok között, de néhány téma szinte mindig előkerül: hozzáférés-kezelés, az adminisztrációs műveletek naplózása, az Ön oldalán bekövetkezett incidensről való bejelentési időhatárok, és átláthatóság arról, hogy ki más van még bevonva a munkába. Ez utóbbi — az alvállalkozók — sok ICT-szolgáltató számára az a téma, amelyben a kérdőív a leghosszabban időzik.
Miért szerepel ez most a szerződésben
A NIS2-irányelv a 21. cikkében kötelezettséget viselik alatt álló szervezeteket arra kötelezi, hogy értékeljék beszállítóik és szolgáltatóik biztonságát is. Egy olyan megbízó, aki auditálási kötelezettség alatt áll, nem tudja ezt szóbeli biztosítékkal igazolni; szükségére van egy írásbeli megállapodásra, amelyet saját felügyeleti hatósága felé meg tud mutatni. Önnek, mint ICT-szolgáltatónak ez azt jelenti: ugyanez a kérdés jön vissza, csak most egy kiegészítésben vagy a megállapodás mellékletében rögzítve, ahelyett hogy egy külön e-mailben szerepelne.
Ez a forma változása, nem szükségképpen a tartalom változása. Sokkal abból, amit kérnek, mint adminisztrátor valószínűleg már megtette. Az új dolog az, hogy ezt igazolnia kell, egy dátummal és egy névvel együtt.
Hozzáférés az ügyfél rendszereihez: mit pontosan kérnek
Az egyre több megbízó kéri, hogy lássanak egy áttekintést arról, hogy ki férhet hozzá az ő rendszereikhez, milyen jogokkal, és hogyan vonják vissza a hozzáférést, amint valaki elhagyja a csapatot. A többtényezős hitelesítés az adminisztrációs hozzáféréshez mostanra szokásos követelmény, csakúgy mint egy naplókönyv, amely rögzíti, hogy mikor és ki érkezett el egy rendszerhez. Egyes szerződések továbbá egy rögzített kapcsolattartót is követelnek az Ön oldaláról, hogy a megbízó ne legyen függő attól, hogy ki végzi a szolgálatot abban a héten.
Az ügyfél alapvető kérdése mindig ugyanaz: ha valami rosszul megy, ki képes arra, hogy követni, kinek volt milyen hozzáférése és mikor. Ez az oka annak is, hogy olyan általános válaszok, mint "wij werken volgens best practices" ritkán elegendőek — konkrét dokumentumra van szükség, nem pedig egy szándéknyilatkozatra.
Távolelérés: extra figyelem a hitelesítésre és a naplózásra
A távolelérés sok kérdőívben egy külön fejezetet kap, éppen azért, mert aki ott be tud jutni, egy lépésben több ügyfélnél végig kerülhet. A kérdések a kapcsolat titkosításáról szólnak, arról, hogy a távoleléréshez való hozzáférés elkülönül-e az Ön vállalata normál hálózatától, és arról, hogy milyen gyorsan képes bezárni egy munkamenetet, ha visszaélésre gyanakszik. Itt is igaz: nem az a kérdés, hogy mennyire jó a biztonsági megoldása, hanem hogy képes-e ezt bemutatni.
Aki első alkalommal kap ilyen kérdéseket, gyakran egy egyszeri feladatnak érzékeli egy ügyfélhez. A gyakorlatban a bizonyíték, amit egy megbízónak gyűjt, kis módosításokkal a következőhez is felhasználható. a témaköröket szituációnként végigolvasni ötletet ad arra, hogy mely kérdések mely típusú szolgáltatásnál fordulnak elő.
Alvállalkozók: az a kockázat, amelyet Ön egyedül nem kezel
Az ICT-szolgáltatók számára gyakran a legnehezebb rész nem a saját biztonság, hanem az igénybevett felek biztonsága: egy szolgáltatási szállító, egy felügyeleti szolgáltatás, egy szabadúszó szakember. Az olyan megbízó, amely maga is gondoskodási kötelezettséggel tartozik, tudni szeretné, hogy Ön alvállalkozókat vesz-e igénybe, kik azok, és hogy megfelelnek-e az összehasonlítható követelményeknek. Egyes szerződések előírják, hogy a lánc változásairól előzetesen értesítse az adott szervezetet, vagy hogy ugyanezeket a biztonsági követelményeket szerződésben továbbítsa saját szállítóihoz.
Egy kis ICT-cégnek ezt nem mindig könnyű intézni, különösen, ha az alvállalkozó maga nem érti, hogy miért merül fel ezen a pillanaton az adott kérdés. Az első lépés egy egyszerű áttekintés: ki mit végez az Ön számára, és milyen megállapodást rögzített erről. Az áttekintés nélkül minden új kérdőív ismét elölről kezdve kutatómunkát jelent.
Mit ígérhet meg, és mit nem
Célszerű, ha egy szerződésben csak olyan megállapodásokat foglal bele, amelyeket Ön is tudhat alátámasztani. Az olyan megbízó, aki reagálási időkre kérdez egy incidens során, 24/7-es szolgáltatásra vagy arra vonatkozó garanciára, hogy semmi sem sül el, lényegében olyan ígéretre kér, amelyet kevés ICT-szolgáltató tud teljesíteni anélkül, hogy erre külön, drága szolgáltatást hozna létre. Az Ön feladata, és szükség esetén egy jogi tanácsadóé, hogy értékelje, mely záradékok ésszerűek, és melyek túlmutatnak azon, amit a megbízó gondoskodási kötelezettsége valójában megkövetel.
Hogy saját szervezete közvetlenül a NIS2 gondossági kötelezettség alá esik-e — mint kritikus vagy fontos entitás, vagy az ellátási lánc keretében — ehhez néhány kérdéssel lehet tisztában lenniezáltal. Ez a megkülönböztetés határozza meg, hogy csak az Ön ügyfeleinek válaszait készítse elő, vagy saját magának is nyilvántartást kell vezetnie.
Első lépések
Az ajánlattevő számára végül nem a szándéka számít, hanem az, hogy a válasz az ő kérdésére készen áll-e abban a pillanatban, amikor azt megkérdezi. Aki egyszer maazonként rögzített egy státuszt, egy bizonyítékot és egy felelőst, az a következő kérdőív nél nem kell újra keresnie. Nézze meg mennyibe kerül az alkalmazott dossziér és a kérdőívek ha szeretné ezt a felkészülést strukturáltan megvalósítani, vagy olvasson előbb a gyakran feltett kérdéseket arról, hogy az platform hogyan működik.
Kezdje kötelezettségmentesen a ingyenes NIS2-ellenőrzéssel, hogy megtudja, szervezete maga plichtig van-e, ellátási lánc által érintett-e, vagy egyik sem — és olvassa el a tudástárban az ön szektorára vonatkozó témákat.