IKT paslaugų tiekėjų politika – tai visų šalių, kurios jūsų vardu arba šalia jūsų turi prieigą prie jūsų klientų sistemų, duomenų arba infrastruktūros, apžvalga; nurodant, ką kiekviena šalis gali daryti, kokios sutuoktinės ir kada tai buvo paskutinį kartą patikrinta. Jūs ją rengate, nes zondplicht (pareiga rūpintis saugumu) uždedama užsakovams ir verčia juos vertinti ir jūsų saugumą – o jūs savo ruožtu pasitikite subrangovais, nuotolinės valdymo programomis ir debesų partneriais, kurie nusipelno tos pačios vertinimo.
Esmė paprasta: kas gali pasiekti jūsų kliento duomenis, turėtų būti jūsų apžvalgoje. Tai taikoma puslapi, kuriame talpinamas jūsų tiesioginių atsiliepimų sistema, žmonėms, kurie naktimis taikyti pataisas, ir įrankiui, kuriuo nuotoliniu būdu stebite darbuotojo kompiuterį. Tiekėjų politika nėra formalybė; tai atsakas į klausimą, kurį jūsums gali užduoti jūsų klientas: kas dar gali pasiekti mano duomenis ir kaip žinote, kad jie tai daro tinkamai.
Kas turėtų būti apžvalgoje
Pradėkite plačiai ir tada pašalinkite. Apžvalgoje turėtų būti subrangove, atlikę jūsų darbą, programinės įrangos tiekėjai, kurių įrankiai turi prieigą prie kliento aplinkos, debesų partneriai, kuriems perduodate kliento duomenis, ir atskiri specialistai, dirbantys iš esmės. Klausimas, kurį jūs sau užduodate dėl kiekvieno tiekėjo, yra ne tai, ar jie svarbūs jūsų veiklai, o tai, ar jie – tiesioginiu ar netiesioginiu būdu – gali pasiekti kliento sistemas arba duomenis. Biuro reikmenų tiekėjas neturėtų būti; šalis, kurioje talpinamas jūsų stebėjimo programas, turėtų.
Pagunda pasiimti tik dideles, matomą partijas ir praleisti mažesnius subrangovus, nes santykis yra neoficialus. Tai kaip tik tada, kai dažnai šlamsta: neoficialioji sutarty su zzp'er, kurie jūsų prisijungimo duomenimis dirba su klientu, nėra mažiau rizikinga klientui nei didžiosios šalies sutartis. Tie dvejoja, ar nuosava organizacija buvo paskelbta zondplicht ir turi šią apžvalgą atnaujinti, gali tikrinti keliais klausimai.
Ką užfiksate dėl kiekvieno tiekėjo
Dėl kiekvieno tiekėjo paprastai pakanka riboto duomenų rinkinio: kokią prieigą turi šalis (skaityti, rašyti, administratoriaus teisės), kokioms sistemoms arba duomenims, ar yra sutartis su saugumo susitarymais, kas yra jūsų kontaktinis asmuo, ir kada paskutinį kartą paklausėte, ar kas nors pasikeitė. Šis paskutnis punktas dažnai pamiršamas: tiekėjas, kuris buvo įvertintas prieš dvejus metus ir nuo tada nebevertas, praktikoje skaičiuojamas kaip nevertas. Pastovus metinis tvarkaraštis apžvalgai keliauti per sąrašą nuo to sulaikyti.
Sąvokos, kurios pasirodo šiuose apžvalgose – zondplicht, keten, svarbumas – tampa aiškesnės, jei jas iš pradžių kiek atskyrus nuo jūsų situacijos; žinių bankas pagal temą pateikia kiekvienos sąvokos trumpą, tikslią atsaką.
Subrangove: atskiras dėmesio punktas
Subrangove nusipelno ypatingos dėmesio, nes klientas dažnai nežino, kad jie egzistuoja. Jei darbus jūs pasitikėję trečiajai šaliai, kuri jei pasiekia kliento sistemas, yra įprasta tai pranešti klientui ir nustatyti, ką ta šalis gali daryti. Kai kurie užsakovo kontraktai draudžia subkontraktor naudoti be išankstinio leidimo; tai tikrinti priklauso politikai sudaryti, o ne seančiai diskusijai su klientu.
Nuotolinė adminstracijos kaip atskira kategorija
Nuotolinės valdymo programinė įranga — nuotolinė vadyba, stebėsena, tikieto sistema su peržiūros funkcija — nusipelno atskiros vietos apžvalgoje, nors tai nėra "tiekėjas" įprastiniu pamatavimo atžvilgiu. Šie įrankiai paprastai turi platų prieigą prie daugelio kliento aplinkų vienu metu, todėl jie yra patrauklūs kaip atakos kelias. Įrašyti, kas gali prieiti šiuos įrankius, su kokiomis teisėmis ir kokiu patvirtinimu, yra vienas iš pirmųjų dalykų, kurio patvirtinti užsakovas paprašo, kai pokalbis kreipiasi į jūsų paties saugą.
Nuo apžvalgos prie atsakymo
Tiekėjo politika, kuri egzistuoja tik popierinėje formoje, nepadeda, kai rytoj klientas išsiuntė klausimyną. Apžvalga naudinga tik tada, kai ji susieta su įrodymu pagal kiekvieną tiekėją ir su savininku, kuris ją laiko atnaujintą. Kaip toks veikiantis registras atrodo praktikoje ir iš kur susijusios atsakymai į klausimynus, paaiškinta puslapyje, kuriame parodyta, kaip veikia platforma.
Ar pirmiausia norėtumėte sužinoti, ar jūsų organizacija pati patenka į NIS2 pareigos taikymo sritį, ar tik per tiekimo grandinę? Atlikite nemokamą patikrą arba naršykite temomis — abi galimos naudoti be paskyros ir iš karto suteikia tolesnį žingsnį, tinkantį jūsų situacijai.