Polityka dostawcy dla usług ICT to przegląd każdej strony, która w Twoim imieniu lub obok Ciebie ma dostęp do systemów, danych lub infrastruktury klientów, z określeniem dla każdej strony, co wolno jej robić, jakie są uzgodnione warunki i kiedy ostatnio to sprawdzono. Opracowujesz ją, ponieważ obowiązek opieki, którym obciąża się dających zamówienia, zobowiązuje ich do oceny także Twojego bezpieczeństwa — a Ty z kolei polegasz na podwykonawcach, oprogramowaniu do zdalnego zarządzania i partnerach chmury, którzy zasługują na taką samą ocenę.
Istota jest prosta: każdy, kto może dostać się do Twojego klienta, powinien figurować w Twoim przeglądzie. Dotyczy to strony hostującej Twój system zgłaszania zdarzeń, pracownika na własny rachunek, który nocami wdrażał poprawki, i narzędzia, za pomocą którego obserwujesz zdalnie stację roboczą. Polityka dostawcy nie jest formalną rzeczą na pokaz; to odpowiedź na pytanie, które Twój własny klient kiedyś Ci postawi: kto jeszcze może dostać się do moich danych i skąd wiesz, że robią to prawidłowo.
Kto powinien figurować w przeglądzie
Zacznij szeroko, a następnie wykreśl. W przeglądzie powinni znaleźć się podwykonawcy przejmujący Twoją pracę, dostawcy oprogramowania, których narzędzia mają dostęp do środowisk klientów, partnerzy chmury, u których przechowujesz dane klientów, i sporadziczni specjaliści współpracujący incydentalnie. Pytanie, które zadajesz sobie dla każdej strony, nie dotyczy tego, czy są ważne dla Twojej działalności, ale czy — bezpośrednio lub pośrednio — mogą dostać się do systemów lub danych Twoich klientów. Dostawca materiałów biurowych nie powinien tam figurować; strona hostująca Twoje oprogramowanie do monitorowania — tak.
Kusząco jest uwzględnić tylko duże, widoczne strony i pominąć mniejszych podwykonawców, ponieważ relacja jest nieformalna. To dokładnie miejsce, w którym часто coś idzie nie tak: nieformalna umowa z pracownikiem na własny rachunek pracującym z Twoimi danymi logowania u klienta nie jest dla klienta mniej ryzykowna niż umowa z dużą stroną. Jeśli zastanawiasz się, czy Twoja własna organizacja sama podlega obowiązkowi opieki i dlatego zobowiązana jest do prowadzenia tego przeglądu, możesz to sprawdzić w kilku pytaniach.
Co dla każdego dostawcy dokumentujesz
Dla każdego dostawcy zwykle wystarczy ograniczony zestaw danych: jaki rodzaj dostępu ma strona (odczyt, zapis, uprawnienia administratora), do jakich systemów lub danych, czy istnieje umowa z ustaleniami dotyczącymi bezpieczeństwa, kto u Ciebie jest osobą kontaktową i kiedy ostatnio sprawdziłeś, czy coś się zmieniło. Ten ostatni punkt jest często zapominany: dostawca oceniony dwa lata temu i od tej pory niesprawdzany liczy się w praktyce jako nieoceniony. Ustalony moment raz w roku do przejrzenia listy to unika.
Pojęcia, które pojawiają się w tego rodzaju przeglądach — obowiązek opieki, łańcuch, materialność — stają się jaśniejsze, jeśli oddzielnie od Twojej sytuacji najpierw je sprawdzisz; baza wiedzy na temat każdego zagadnienia podaje dla każdego pojęcia krótką, weryfikowalną odpowiedź.
Podwykonawcy: osobny punkt uwagi
Podwykonawcy zasługują na dodatkową uwagę, ponieważ klient często nie wie, że istnieją. Jeśli powierzasz pracę stronie trzeciej, która w związku z tym dostęp do systemów klientów, zwyczajnie jest to zgłaszać klientowi i ustalić, co ta strona trzecia może robić. Niektóre umowy z dającymi zamówienia zabraniają podwykonawstwa bez wcześniejszej zgody; sprawdzenie tego powinno być częścią opracowywania polityki, a nie następnej dyskusji z klientem.
Zarządzanie zdalne jako osobna kategoria
Oprogramowanie do zarządzania zdalnego — zdalne zarządzanie, monitorowanie, obsługa zgłoszeń z funkcją podglądu — wymaga osobnego miejsca w przeglądzie, choć nie jest "dostawcą" w zwyczajnym sensie. Te narzędzia zazwyczaj mają szeroki dostęp do wielu środowisk klienckich jednocześnie, co czyni je atrakcyjną ścieżką ataku. Rejestracja, kto ma dostęp do tych narzędzi, z jakimi uprawnieniami i z jaką weryfikacją, jest zatem jedną z pierwszych rzeczy, które zleceniodawca pyta, gdy rozmowa dotyczy Waszego własnego bezpieczeństwa.
Od przeglądu do odpowiedzi
Polityka dotycząca dostawców, która istnieje tylko na papierze, nie pomaga, gdy klient jutro wyśle kwestionariusz. Przegląd jest użyteczny dopiero wtedy, gdy jest powiązany z dowodem dla każdego dostawcy i z właścicielem, który go aktualizuje. Jak taki żywy rejestr wygląda w praktyce i skąd pochodzą odpowiedzi na kwestionariusze, wyjaśniono na stronie, która pokazuje, jak działa platforma.
Czy chcielibyście najpierw sprawdzić, czy Wasza organizacja sama podlega obowiązkowi opieki wynikającemu z NIS2, czy też jest dotknięta wyłącznie przez łańcuch dostaw? Wykonajcie bezpłatne sprawdzenie lub przejrzyjcie tematy — oba są dostępne bez konta i natychmiast dają kolejny krok, który pasuje do Waszej sytuacji.