Ko pasūtītāji prasa no IKT pakalpojumu sniedzējiem pēc NIS2
Pasūtītājam, kurš pats ietilpst NIS2 aprūpes pienākuma jomā, jāpierāda, ka viņš pārvalda arī riskus savā piegādes ķēdē. Ja jūs sniedzat attālinātu vadību, servera nīcināšanu, lietojumprogrammu vadību vai palīdzības centru šādam pasūtītājam, tas parādīsies kontraktā: prasības par to, kam ir piekļuve sistēmām, kā šī piekļuve tiek reģistrēta, un vai jūs iesaistāt apakšuzņēmējus, iepriekš to neminējot.
Prasības atšķiras atkarībā no pasūtītāja un nozares, taču vairāki jautājumi vienmēr parādās: piekļuves vadība, administratīvo darbību reģistrēšana, paziņošanas termiņi gadījuma dēļ no jūsu puses, un informācija par to, kas vēl piedalās darbā. Pēdējais — apakšuzņēmēji — daudziem IKT pakalpojumu sniedzējiem ir jautājums, pie kura anketa paliek ilgāk.
Kāpēc tas tagad ir kontraktā
Direktīva NIS2 pienākumā esošās organizācijas paredz 21. panta 21. punktā izvērtēt arī savu piegādātāju un pakalpojumu sniedzēju drošību. Pasūtītājs, kurš pats ir audita pienākumā, to nevar pierādīt ar mutvārdu solījumu; viņam ir nepieciešams rakstisks nolīgums, ko viņš var parādīt savai paškontroles iestādei. Jums kā IKT pakalpojumu sniedzējam tas nozīmē: tas pats jautājums atgriežas, tikai tagad tas ir fiksēts papildinājumā vai pielikumā līgumam, nevis atsevišķā e-pastā.
Tas ir pārmaiņa formā, ne vienmēr saturā. Liela daļa no tā, ko prasa, jūs kā vadītājs iespējams jau darītu. Jaunums ir tas, ka jūs to jāpierāda, pielikti datums un vārds.
Piekļuve klienta sistēmām: kas tieši tiek prasīts
Pasūtītāji arvien biežāk pieprasa pārskatu par to, kam ir piekļuve, kādas tiesības ir, un kā piekļuve tiek atņemta, tiklīdz kāds pamet komandu. Daudz faktoru autentifikācija administratīvajai piekļuvei tagad ir bieži prasīta prasība, tāpat kā žurnāls, kas reģistrē, kad un kas piekļuva sistēmai. Daži kontrakti papildus pieprasa fiksētu kontaktpunktu no jūsu puses, lai pasūtītājs nebūtu atkarīgs no tā, kurš šonedēļ strādā.
Pasūtītāja pamatjautājums vienmēr ir tas pats: vai viņš, ja kaut kas pieņem nepareizu virzību, var izsekot, kam bija piekļuve un kad. Tas ir arī iemesls, kāpēc vispārīgas atbildes, piemēram, "mēs ievērojam labākās prakses", ir reti pietiekami — tiek prasīts konkrēts pierādījums, nevis nodoms.
Attālinātā vadība: papildu uzmanība autentifikācijai un reģistrēšanai
Attālinātā vadība daudzos anketas formulāros saņem atsevišķu sadaļu, jo uzbrucējs, kurš tur ienāk, var viena soļa dēļ sasniegt vairākus klientus. Jautājumi attiecas uz savienojuma šifrēšanu, uz to, vai piekļuve attālinātajai vadībai ir atdalīta no jūsu uzņēmuma parastā tīkla, un uz to, cik ātri jūs varat pārtraukt sesiju, ja aizdodat aizvainojumus ļaunprātīgai izmantošanai. Arī šeit: runa nav par spriedumu par to, cik laba ir jūsu drošība, bet par to, vai jūs varat to parādīt.
Kam šādi jautājumi bieži pirmo reizi nonāk, bieži uztver to kā vienreizēju darbību vienam klientam. Praksē pierādījums, ko jūs savācat vienam pasūtītājam, ar nelieliem pielāgojumiem var izmantot arī nākamajam. lasīt tēmas pēc situācijas dod priekšstatu par to, kādi jautājumi atgriežas pie kāda veida pakalpojumu sniegšanas.
Apakšuzņēmēji: risks, ko jūs vieni nevariet kontrolēt
Visvairāk izaicinošais elementu daudziem IKT pakalpojumu sniedzējiem ir ne paši drošības pasākumi, bet tādu pušu, kurus viņi pieņem darbā, drošība: mitumvieta, monitoringa pakalpojums, brīvnodarbinātais speciālists. Pārvaldnieks, kas pats ir saistīts ar pienākumiem kiberdraudzībai, vēlas zināt, vai jūs izmantojat apakšuzņēmējus, kuri viņi ir, un vai viņi atbilst salīdzināmām prasībām. Daži līgumi paredz, ka jums jāpaziņo par izmaiņām tolaik iepriekš, vai arī jānosaka tās pašas drošības prasības līgumā ar jūsu pašu piegādātājiem.
Mazam IKT uzņēmumam ne vienmēr ir vienkārši to sakārtot, it īpaši, ja apakšuzņēmējs pats nespēj apjaust, kāpēc šis jautājums pēkšņi tiek uzdots. Pirmais solis ir vienkāršs pārskats: kas jums ko dara, un kāds ir jūsu vienošanās ieraksts par to. Bez šī pārskata katrs jaunais anketas veidlapa atkal ir jauns izpētes darbs.
Ko jūs varat un nevar garantēt
Ir saprātīgi līgumā iekļaut tikai tās garantijas, kuras jūs arī varat pamatot. Pārvaldnieks, kas jautā par reaģēšanas laiku gadījuma notikuma gadījumā, par 24/7 pakalpojumu vai garantiju, ka nekad neko nepalaist, faktiski prasa solījumu, ko maz IKT pakalpojumu sniedzēju var izpildīt bez atsevišķa, dārga pakalpojuma izveidošanas. Jums un, ja nepieciešams, tiesnesim ir jānovērtē, kuras klauzulas ir pamatotas un kuras pārsniedz to, ko pārvaldnieka kiberdraudzības pienākums faktiski prasa.
Vai jūsu pašas organizācija papildus tieši ietilpst NIS2 kiberdraudzības pienākumā — kā būtiska vai svarīga entītija, vai caur ķēdes darbību — var pārbaudīt ar dažiem jautājumiem. Šis atšķirums nosaka, vai jūs tikai gatavojat atbildes saviem klientiem, vai arī pats jāuztur dosje.
Sāc darbu
Pārvaldniekam galu galā nozīme nav jūsu nodomai, bet tam, vai atbilde uz viņa jautājumu ir gatava brīdī, kad viņš to uzdod. Kurš reizi vienreiz pēc katras aizsardzības metodes ir reģistrējis statusu, pierādījumu un atbildīgo, nākamajai anketas veidlapai nav jāmeklē no jauna. Skatīt cik maksā dosje un anketas ja vēlaties šo sagatavošanu strukturēti uztvert, vai vispirms izlasiet bieži uzdotus jautājumus par to, kā platforma darbojas.
Sāciet bez saistības ar bezmaksas NIS2 pārbaudi, lai redzētu, vai jūsu organizācija pati ir saistīta ar pienākumiem, ķēdē iesaistīta, vai ne viena ne otra — un lasiet zināšanu bankā tālāk par tēmām, kas nozīmīgas jūsu nozarei.