Jei jūsų įmonė veikia ICT paslaugų teikimo srityje — serverių ir tinklų valdymas, pagalbos tarnyba su nuotoliniu pasikalimu arba programinės įrangos priežiūra pas klientus — jūsų gauta saugumo klausimyna dažnai būna žymiai ilgesnė nei kitų tiekėjų. Taip yra ne todėl, kad jūsų klientas jums nepasitiki, bet todėl, kad jūsų paslauga iš esmės suteikia prieigą prie sistemų, kurios nėra jūsų nuosavybė. Žaliavų tiekėjų grandinę vertinanti organizacija, turinti priežiūros pareigą, ICT paslaugų teikėją tiria nuodugniau nei biuro baldų tiekėją.
Šioje sektoriuje pasikartojantys klausimai paprastai sudaro tris grupes: kaip valdote nuotoliniu būdu, kaip reguliuojate prieigą prie kliento sistemų ir kaip elgiatės su subrangos dalyviais. Toliau kiekvienoje grupėje pateikiama, kas paprastai klausiama ir kodėl.
Kodėl ICT paslaugų teikėjai sudaro atskirą kategoriją
Pagal NIS2 direktyvą organizacija, turinti priežiūros pareigą, turi taip pat įvertinti rizikos, kurie į įmonę patenka per tiekėjus. Buhalterinė įmonė, tik apdorojanti sąskaitas, sudaro kitokią riziką nei šalis, galinti nakties metu prisijungti prie verslo serverio atnaujinimui diegti. Priežiūros organai ir pati direktyva specialiai nurodo šią priklausomybę nuo ICT paslaugų kaip dėmesio tašką vertės grandinėje. Jums tai reiškia, kad klausimyna dažnai skirta ne jūsų biurui, o keliui, kurį jūsų darbuotojai ir sistemos nueina į kliento tinklą.
Klausimai apie nuotolinio valdymo
Jei nuotoliniu būdu valdote kliento sistemas naudodami nuotolinio stebėjimo ir valdymo (RMM) įrankius arba per VPN ryšį, klausimyna paprastai tiria to ryšio patį saugumą. Tipiški tematika yra šie: ar nuotoline prieiga galima tik su daugialipiu autentikavimu, ar seansai registruojami ir kaip ilgai saugomos tos žurnalo įrašai, ar yra fiksuotas laiko langas, kuriame atliekama priežiūra, ir kas nutinka, jei techniko nešiojamasis kompiuteris būtų pavogtas arba pamėtytas. Taip pat reguliariai iškyla klausimas, ar pati RMM programinė įranga yra nuolat atnaujinama — pažeidžiamumas tame valdymo programe iš karto paveiktų visus klientus, kurie su juo valdomi, todėl tai tampa jautrią dalimi žiūrint iš kliento pusės.
Klausimai apie prieigą prie kliento sistemų
Antroji klausimų grupė skirta tam, kurie iš esmės gali prisijungti prie kokių sistemų. Pagalvokite apie: ar laikotės principo, kad žmogus gauna prieigą tik tam, kas reikalinga užduočiai (minimalios privilegijos), ar prieiga iš karto panaikinama, kai darbuotojas išeina arba keičia pareigybę, ir ar slaptažodžiai bei prieigos raktai yra atskiri kiekvienam klientui ar bendrinami tarp užduočių. Kai kurie klausimynai klausia ir apie tą, kurie turėjo prieigą per tam tikrą laikotarpį, o tai galima atsakyti tik jei tas peržvalga jau yra vedama. Kurie šios informacijos neatlaiko paruošti, dažnai praranda ne todėl, kad saugumas būtų nepakankamas, bet paprasčiausiai todėl, kad atsakymas negali būti greitai suteiktas.
Klausimai apie subrangos dalyvius ir savo grandinę
Trečia klausimų grupe dažnai užmarščima, kol nepasirodo diskusijoje: patys naudojate subrangovus tam tikroms paslaugos dalims, pavyzdžiui, išorinei šaliai, teikiančiai pagalbą po darbo valandų, arba specializuotam tinklo administravimui? Klientas, kuris turi sumaptyti savo tiekimo grandinę, nori žinoti, ar grandinė pas jus sustabdoma, ar ji tęsiasi toliau. Klausimai šiuo klausimu paprastai susiję su tuo, ar subrangovai gauna tuos pačius saugumo reikalavimus, kuriuos laikotės jūs, ir ar klientui iš anksto pranešama, kai įdarbinamas naujas subrangovas. Tai taip pat vieta, kur klausimynas gali žengti per ribas ir ieškoti informacijos, kuri nėra pagrįstai būtina rizikai įvertinti; to, kur yra ta riba, ne visose situacijose yra vienoda ir nusipelno atskirto svarstymo.
Ką tai reiškia jūsų duodamam atsakymui
Aukščiau nurodyti klausimai nėra atskiras patikrinimo sąrašas, bet pasikartojantis modelis, ir tas modelis maža skiriasi nuo kliento iki kliento šiame sektoriuje. Tai daro verta iš anksto žinoti, kur jūs patys stovite – kurie iš šių dalykų jau priskirti savininkui ir įrodymams, o kurie vis dar netvarkingai. keliais klausimais sužinoti, ar ir kaip jus tai veikia suteikia pirmąją kryptį, ir išsamūs temos, priklausomai nuo situacijos, gilina specifines priemones, tokias kaip prieigos kontrolė ir tiekėjo įvertinimas. Jei abejojate, ar pradėtas klausimas vis dar yra pagrįstose ribose, tai yra kažkas, ką reikėtų aptarti su pačiu klientu arba, jei abejonė išlieka, su teisininku; dažniausiai užduodami klausimai šiuo klausimu, suteikia kelis atskaitos taškus.
Jei norite be jokių įsipareigojimų pamatyti, kaip jūsų įmonė stovėtina tokiam klausimynui, atlikite nemokamą greitą skenavimą arba naršykite žinių banką ties secria.eu – abu yra prieinami be paskyros.