Piegādātāju politika IKT pakalpojumu sniegšanai ir pārskats par katru pusi, kurai ir piekļuve jūsu klientu sistēmām, datiem vai infrastruktūrai jūsu vārdā vai paralēli jūsu darbībai, un par katru pusi norādīts, ko tā drīkst darīt, kas ir vienots un kad tas pēdējoreiz tika pārbaudīts. Jūs to izstrādājat, jo uzraudzības pienākums, kas tiek uzlikts uzdevumdevējiem, viņus pavēl arī jūsu drošības izvērtēšanu — un jo jūs savukārt paļaujaties uz apakšuzņēmējiem, tālvaldības programmatūru un mākoņa partneriem, kuriem pienākas tāda pati izvērtēšana.
Būtība ir vienkārša: ikviens, kas var piekļūt jūsu klientam, jāiekļauj jūsu pārskatā. Tas attiecas uz pusi, kas mitina jūsu biļešu sistēmu, uz pašnodarbinātāju, kurš naktīs izvieto programmas, un uz rīku, ar kuru jūs no attāles noraudzāties darbstaciju. Piegādātāju politika nav formalitāte rādībām; tā ir atbilde uz jautājumu, ko jūsu klients jums kādu dienu uzdos: kas vēl var piekļūt manis datiem, un kā jūs zināt, ka viņi to dari pareizi.
Kas jāiekļauj pārskatā
Sāciet plašāk un vēlāk svītrojiet. Pārskatā jāiekļauj apakšuzņēmēji, kuri pārņem jūsu darbu, programmatūras piegādātāji, kuru rīkiem ir piekļuve klientu videi, mākoņa puses, kur jūs novietojat klientu datus, un atsevišķi speciālisti, kuri periodiski piedalās. Jautājums, ko jūs sev par katru pusi uzdodat, nav tas, cik svarīgi viņi ir jūsu uzņēmuma darbībai, bet vai viņi — tieši vai netieši — var piekļūt jūsu klientu sistēmām vai datiem. Birojas nodrošinājuma piegādātājs tur neietilpst; bet puse, kas mitina jūsu monitoringa programmatūru, jau cits.
Ir pievilcīgi iekļaut tikai lielās, redzamās puses un izlaist mazākus apakšuzņēmējus, jo sakarība ir neformāla. Tas ir tieši tas, kur tas bieži palauzas: neformāla vienošanās ar pašnodarbinātāju, kurš ar jūsu piesakies datus pie klienta strādā, klientam nav mazāk riskanta nekā līgums ar lielu pusi. Kurš šaubās, vai viņa pati organizācija pakļaujas uzraudzības pienākumam un tāpēc ir piesaistīta šim pārskatam, var to noskaidrot dažos jautājumos.
Ko jūs par katru piegādātāju piefiksējat
Par katru piegādātāju parasti pietiek ierobežots datu kopums: kāda veida piekļuves tiesības ir pusei (lasīt, rakstīt, administratora tiesības), uz kādām sistēmām vai datiem, vai ir noslēgts līgums ar drošības noteikumiem, kurš ir jūsu kontaktpersona, un kad jūs pēdējoreiz jautājāt, vai kaut kas ir mainījies. Šo pēdējo punktu bieži aizmirst: piegādātājs, kurš tika izvērtēts pirms diviem gadiem un kopš tā laika vairāk nav, praktiski tiek skaitīts par neievērtētu. Fiksēts brīdis reizē gadā, lai pārbaudi sarakstu, to novērš.
Jēdzieni, kas parādās šāda veida pārskatos — uzraudzības pienākums, ķēde, nozīmīgums — kļūst skaidrāki, ja jūs tos vispirms apskatāt neatkarīgi no jūsu situācijas; zināšanu bāze pa tēmām sniedz par katru jēdzienu īsu, izsekojamu atbildi.
Apakšuzņēmēji: atsevišķs pievērības punkts
Apakšuzņēmējiem nepieciešama papildu uzmanība, jo klients bieži nezina, ka viņi pastāv. Ja jūs uzdevumu nodēvējat trešajai pusei, kas pie klientu sistēmām piekļūst, ir pieņemts to ziņot klientam un norādīt, ko šī trešā puse drīkst. Dažiem līgumiem ar piesaistītājiem ir aizliegts apakšuzņēmums bez iepriekšējas atļaujas; to pārbaudīšana jāiekļauj politikas izstrādāšanā, nevis nākamajā diskusijā ar klientu.
Tālvaldības administrēšana kā atsevišķa kategorija
Programmatūra attālai pārvaldībai — attālā pārvaldīšana, monitorēšana, tikešu pārvaldīšana ar skatīšanās funkciju — ir jāņem vērā atsevišķi, lai arī tā nav "piegādātājs" parastajā nozīmē. Šiem rīkiem parasti ir plašas piekļuves tiesības daudzām klientu vidēm vienlaicīgi, kas padara tos pievilcīgus kā uzbrukuma ceļu. Dokumentēt, kurš var piekļūt šiem rīkiem, ar kādām tiesībām un ar kādu verifikāciju, ir tad arī viens no pirmajiem jautājumiem, ko uzdod pasūtītājs, tiklīdz sākas saruna par jūsu paša drošību.
No pārskats uz atbildēm
Piegādātāju politika, kas pastāv tikai uz papīra, nepalīdz, ja klients rīt nosūta anketu. Pārskats kļūst izmantojams tikai tad, ja tas ir saistīts ar pierādījumiem par katru piegādātāju un ar īpašnieku, kas to uztur aktuālu. Kā praktiski izskatās šāds dzīvs reģistrs un no kurienes nāk atbilstošās atbildes uz anketu jautājumiem, ir izskaidrots lapā, kurā parādīts, kā darbojas platforma. lapa, kurā parādīts, kā darbojas platforma.
Vai vēlaties pirmkārt uzzināt, vai jūsu organizācija pati ietilpst NIS2 aprūpes pienākumā vai tikai caur piegādes ķēdi? Veiciet bezmaksas pārbaudi vai pārlūkojiet tēmas — abas var konsultēt bez konta un sniedz nekavējoši turpmāko soli, kas atbilst jūsu situācijai.