Ja jūsu uzņēmums darbojas IKT pakalpojumu sniegšanā — serveru un tīklu pārvaldē, palīdzības deskā ar attālu piekļuvi vai programmatūras uzturēšanā pie klientiem — tad drošības jautājumu saraksts, kuru jūs saņemat, bieži ir plašāks nekā citu piegādātāju saraksti. Tas nenotiek tāpēc, ka jūsu klients jums neuzticas, bet tāpēc, ka jūsu pakalpojums pēc definīcijas nodrošina piekļuvi sistēmām, kas nav jūsu īpašumā. Organizācija, kurai ir rūpes par drošību un kura novērtē savu piegādes ķēdi, IKT pakalpojuma sniedzējam uzdos padziļinātākus jautājumus nekā mēbeļu piegādātājam.
Jautājumi, kas šajā nozarē parasti tiek uzdoti, parasti iedala trīs kategorijās: kā jūs pārvaldāt no attāles, kā jūs regulējat piekļuvi klienta sistēmām un kā jūs rīkojaties ar apakšuzņēmumiem. Tālāk katrai kategorijai aprakstīts, kas parasti tiek jautāts un kāpēc.
Kāpēc IKT pakalpojumu sniedzēji veido atsevišķu kategoriju
Saskaņā ar Direktīvu (ES) 2022/2555 organizācijai, kurai ir rūpes par drošību, jānovērtē arī riski, kas rodas caur piegādātājiem. Grāmatvedības birojs, kas tikai apstrādā rēķinus, rada citu risku nekā puse, kas var naktī ielogoties uzņēmuma serverī, lai ieviestu atjauninājumu. Uzraudzības iestādes un pati direktīva skaidri norāda uz atkarību no IKT pakalpojumiem kā uzmanības punktu piegādes ķēdē. Jums tas nozīmē, ka jautājumu saraksts bieži attiecas nevis uz jūsu biroju, bet uz ceļu, ko jūsu darbinieki un sistēmas veic, lai nokļūtu pie klienta tīkla.
Jautājumi par attālās pārvaldīšanas praksi
Ja jūs attāli pārvaldāt klienta sistēmas, izmantojot attālās uzraudzības un pārvaldīšanas rīkus (RMM) vai VPN savienojumu, tad jautājumu saraksts parasti prasa par paša šī savienojuma drošību. Tipiski temati ir: vai attālo piekļuvi var veikt tikai ar vairāku faktoru autentifikāciju, vai sesijas tiek reģistrētas un cik ilgi šīs reģistrācijas tiek saglabātas, vai ir noteikts laika logs, kurā notiek apkope, un kas notiek, ja montiera klēpjdators tiek nozagts vai pazaudēts. Bieži tiek jautāts arī par to, vai pati RMM programmatūra tiek savlaicīgi atjaunināta — ļaunums šajā pārvaldīšanas programmā vienlaikus ietekmē visus klientus, kas tiek pārvaldīti ar tās palīdzību, tāpēc tas ir jūtīgs punkts to, kas iegādājas šos pakalpojumus.
Jautājumi par piekļuvi klienta sistēmām
Otrā jautājumu grupa attiecas uz to, kas precīzi var piekļūt kādām sistēmām. Piemēram: vai jūs izmantojat principu, ka persona piekļuvi saņem tikai tam, kas nepieciešams uzdevuma veikšanai (minimāls nepieciešamības princips), vai piekļuve tiek nekavējoties atņemta, kad darbinieks aiziet vai maina amatu, un vai paroles un piekļuves atslēgas ir atsevišķas katram klientam vai tiek dalītas starp dažādiem uzdevumiem. Daži jautājumu saraksti prasa arī pārskatu par to, kas ir piekļuvojis konkrētām sistēmām noteiktā laika periodā — uz šo jautājumu var atbildēt tikai tad, ja šāds pārskats jau tiek uzturēts. Tas, kas šādu informāciju neatraisīti nesniedz, bieži vien zaudē nevis tāpēc, ka drošība ir nepietiekama, bet vienkārši tāpēc, ka atbildi nevar ātri pietiekami iegūt.
Jautājumi par apakšuzņēmumiem un savu piegādes ķēdi
Trešais jautājumu kopums bieži tiek aizmirsts, līdz tas tiek uzdots: vai jūs paši izmantojat apakšuzņēmējus atsevišķiem pakalpojuma komponentiem, piemēram, ārēju puses e-pastu vai specializētu tīkla vadību? Klients, kurš pieprasa savu piegādes ķēdi kartēt, vēlas zināt, vai ķēde beidzas jūsu līmenī vai turpinās tālāk. Šādi jautājumi parasti attiecas uz to, vai apakšuzņēmējiem tiek piemēroti tādi paši drošības standarti kā jums pašiem, un vai klients tiek iepriekš informēts, pirms tiek iesaistīts jauns apakšuzņēmējs. Tas ir arī vietums, kur jautājumu saraksts var pāriet uz informāciju, kas nav pamatotas nepieciešamas riska novērtēšanai; robežas vieta nav vienāda visos gadījumos un prasa atsevišķu apsvērtni.
Ko tas nozīmē jūsu sniegtajā atbildē
Iepriekš minētie jautājumi nav atsevišķs kontrolrakstulis, bet gan atkārtojošs modelis, un šis modelis dažu starp šīs nozares klientiem nemainās. Tas padara vērtīgu zināt iepriekš, kur jūs paši stāvat — kuri no šiem tematiem jau ir uzticēti īpašniekam un pierādījumam, un kuri vēl ir nesekami. niecīgā jautājumu skaitā redzēt, vai un kā jūs tiekat skarts sniedz pirmo virzību, un detalizēti izstrādātie temati pēc situācijas padziļinās konkrētos pasākumus, piemēram, piekļuves kontroli un piegādātāju novērtēšanu. Ja jūs šaubāties, vai uzdotais jautājums joprojām ietilpst saprātīgās robežās, tas ir jēga apspriest ar pašu klientu vai, pastāvējot nepārtrauktiem neskaidrijumiem, ar jurausku; bieži uzdotie jautājumi par šo tēmu sniedz vairākus iespējamos ievadus.
Ja vēlaties bez obligācijām redzēt, kur jūsu uzņēmums stāv salīdzinājumā ar šādi veidotiem jautājumu sarakstiem, veiciet bezmaksas ātro skenēšanu vai pārlūkojiet zināšanu banku vietnē secria.eu — abas iespējas ir pieejamas bez konta.