Ką užsakovas reikalauja iš IKT paslaugų teikėjo po NIS2
Pirkėjas, kuris pats patenka į NIS2 priežiūros pareigą, turi įrodyti, kad jis taip pat kontroliuoja risikus savo tiekimo grandinėje. Jei teikiate nuotolinio valdymo, hostingo, programų valdymo ar pagalbos paslaugų tokiam pirkėjui, tai atsispindi sutartyje: reikalavimai, kurie turi prieigą prie sistemų, kaip ta prieiga registruojama, ir ar jūs naudojate subrangovus neatsižvelgdami į tai, kad tai būtų iš anksto pranešta.
Patys reikalavimai skiriasi priklausomai nuo pirkėjo ir sektoriaus, tačiau keletas temų iš esmės visada pasikartoja: prieigos kontrolė, valdymo veiksmų registravimas, įpareigojimas pranešti apie jūsų pusės incidentą, ir informacija apie tai, kas dar yra suinteresuotas darbais. Pastaroji dalė — subrangovai — yra tema, kurioje daugelis IKT paslaugų teikėjų žymimame klausimyne pakviečia labiausiai.
Kodėl tai dabar yra sutartyje
NIS2 direktyva privalomuose straipsnyje 21 įpareigoja atitinkamas organizacijas taip pat įvertinti savo tiekėjų ir paslaugų teikėjų saugumą. Pirkėjas, kuris pats yra patikrintos pareigos subjektas, negali to įrodyti žodžiu; jam reikia rašytinės sutarties, kurią jis gali parodyti savo reguliacinei institucijai. Jums, kaip IKT paslaugų teikėjui, tai reiškia: tas pats klausimas pasikartoja, tik dabar nustatytas priedo arba prieraišo prie sutarties, o ne atskiro el. pašto.
Tai yra formos pokytis, o ne būtinai turinio pokytis. Daug iš to, kas klausiama, jūs, kaip administratorius, tikriausiai jau darėte. Naujiena yra ta, kad turite tai sugebėti įrodyti, su data ir vardu.
Prieiga prie kliento sistemų: kas tiksliai klausiama
Pirkėjai vis dažniau prašo peržvalgos apie tai, kas pas juos turi prieigą, kokiomis teisėmis, ir kaip ta prieiga atšaukiama, kai kas nors išeina iš komandos. Daugiaetapio autentifikavimo būdas valdymo prieigai šiuo metu yra itin gaustas reikalavimas, taip pat žurnalas, kuriame registruojama, kada ir kurie sistemos buvo pasiektos. Kai kurios sutartys taip pat prašo pastovaus kontaktinio asmens jūsų pusėje, kad pirkėjas nebūtų priklausomas nuo to, kas tą savaitę atlieka darbą.
Pirkėjo iš esmės lygis klausimas visada yra tas pats: ar jis, jei kas nors nutiks, gali sužinoti, kas turėjo prieigą ir kada. Tai taip pat priežastis, kodėl bendri atsakymai, tokie kaip "mes vadovaujamės geriausias praktikas", iš esmės yra nepakankamų — prašoma konkretaus dokumento, o ne ketinimo.
Nuotolinis valdymas: papildomas dėmesys autentifikavimui ir registravimui
Nuotolinis valdymas daugelyje klausimynų gauna atskirą skyrių, būtent todėl, kad atakuotojas, kuris ten pateks, vienu žingsniu gali pasiekti kelis klientus. Klausimai kyla dėl ryšio šifravimo, dėl to, ar prieiga prie nuotolinio valdymo išskirta iš jūsų bendrovės įprasto tinklo, ir dėl to, kaip greitai galite nutraukti sesiją, jei įtariate piktnaudžiavimą. Ir čia galioja: tai yra ne apie nuomonę apie tai, kaip gera jūsų sauga, o apie tai, ar galite ją parodyti.
Tie, kurie tokius klausimus gauna pirmą kartą, tai dažnai bando pamatyti kaip vienalaikę veiklą vienam klientui. Praktikoje dokumentai, kuriuos renkate vienam pirkėjui, su nedideliais pakeitimais taip pat gali būti naudojami kitam. perskaityti temas pagal situaciją suteikia supratimą apie tai, kokie klausimai pasikartoja su kiekvieno tipo paslaugų teikimu.
Subrangovai: rizika, kurią jūs nevaldomate vienas
Sunkiausia dalis daugeliui IKT paslaugų teikėjų yra ne jų pačių saugumas, o partijų, kurias jie pasamdo, saugumas: hosting'o paslaugų teikėjas, monitoringo paslauga, savarankiškas specialistas. Užsakovai, kurie patys yra atsakingi už kibernetinės saugos priemones, nori žinoti, ar naudojatės subrangovais, kas jie yra ir ar jie atitinka panašius reikalavimus. Kai kurie kontraktai reikalauja, kad iš anksto pranešumėte apie pakeitimus šioje grandinėje, arba kad taikytumiete tas pačias saugos reikalavimų normas sutartyse su savo tiekėjais.
Mažam IKT bendrovei tai ne visada lengva suderinti, ypač jei subrangovas pats nežino, kodėl staiga jam iškelta tokia klausimas. Pirmas žingsnis yra paprastas apžvalga: kas ką daro jūsų naudai ir kokią susitarimą dėl to užfiksavote. Be tokios apžvalgos kiekvienas naujas klausimynas reikalauja iš naujo tyrinėti.
Ką galite ir negalite garantuoti
Protinga yra kontakte įtraukti tik tuos garantavimus, kuriuos taip pat galite pagrįsti. Užsakovas, kuris klausia apie veikimo laiką reagavus į incidentą, 24/7 paslaugą arba garantiją, kad niekada nieko negali nutikti, iš esmės prašo pažado, kurį gali duoti tik nedaugelis IKT paslaugų teikėjų, neįrengę tam atskiros, brangios paslaugos. Jūsų ir, jei reikalinga, teisininko pareiga yra nustatyti, kokie punktai yra pagrįsti ir kokie viršija tai, ką iš esmės reikalauja užsakovo atsakomybė dėl kibernetinės saugos.
Ar jūsų organizacija tiesiogiai patenka į NIS2 kibernetinės saugos atsakomybę — kaip esminė ar svarbi įstaiga, arba per grandinės ryšius — galima nustatyti keliais klausimais. Šis skirtumas nulemia, ar tik ruošiate atsakymus savo klientams, ar taip pat turite savo dokumentą.
Pradėkite
Užsakovui galiausiai svarbiausia ne jūsų ketinimas, o tai, ar atsakymas į jo klausimą yra paruoštas tuo metu, kai jis jo prašo. Kas kartą, kai jūs užfiksavote kiekvienos priemonės statusą, įrodymą ir atsakingą asmenį, kitu klausimynu nebereikia iš naujo ieškoti. Peržiūrėkite, kiek kainuoja dokumentas ir klausimynai jei norite šiai paruošai strukturizuoti, arba pirmiausia perskaityti dažniausiai užduodamų klausimų apie tai, kaip šis sarankis veikia.
Pradėkite nemokamai su NIS2 patikra, kad pamatytumėte, ar jūsų organizacija pati yra atsakinga, grandinės atžvilgiu paveikta, ar nei viena, nei kita — ir toliau skaitykite žinių bazėje apie klausimus, kurie yra aktualūs jūsų sektoriui.