Jeśli Twoja firma świadczy usługi ICT — zarządzanie serwerami i sieciami, helpdesk z dostępem zdalnym lub konserwację oprogramowania u klientów — lista kontrolna bezpieczeństwa, którą otrzymujesz, jest zwykle obszerniejsza niż w przypadku innych dostawców. Nie wynika to z braku zaufania do Ciebie ze strony klienta, ale z faktu, że Twoja usługa z definicji daje dostęp do systemów, które do Ciebie nie należą. Organizacja zobowiązana do wywiązywania się ze swoich obowiązków podczas oceny swojego łańcucha dostaw zwraca większą uwagę na dostawcę usług ICT niż na dostawcę mebli biurowych.
Pytania pojawiające się w tej branży zwykle dzielą się na trzy grupy: jak zarządzasz zdalnie, jak regulujesz dostęp do systemów klientów i jak postępujesz z podwykonawcami. Poniżej dla każdej grupy znajduje się informacja o tym, co zwykle jest pytane i dlaczego.
Dlaczego dostawcy usług ICT stanowią odrębną kategorię
Organizacja zobowiązana do wywiązywania się ze swoich obowiązków musi zgodnie z dyrektywą NIS2 również oceniać zagrożenia przychodzące z dostawców. Biuro rachunkowe, które jedynie przetwarza faktury, stanowi inne zagrożenie niż podmiot, który może zalogować się na serwer firmy w nocy, aby przeprowadzić aktualizację. Organy nadzoru i sama dyrektywa wyraźnie wskazują tę zależność od usług ICT jako punkt uwagi w ramach łańcucha wartości. Dla Ciebie oznacza to, że lista kontrolna zwykle nie dotyczy Twojego biura, ale drogi, którą przebywają Twoi pracownicy i systemy, aby dotrzeć do sieci klienta.
Pytania dotyczące zarządzania zdalnego
Jeśli zarządzasz systemami klientów zdalnie, za pomocą narzędzi do zdalnego monitorowania i zarządzania (RMM) lub połączenia VPN, lista kontrolna zwykle pyta o bezpieczeństwo samego połączenia. Typowe zagadnienia to: czy dostęp zdalny jest możliwy tylko poprzez uwierzytelnianie wieloskładnikowe, czy sesje są rejestrowane i jak długo te logi są przechowywane, czy istnieje ustalony okres okna, w którym odbywa się konserwacja, i co się dzieje, gdy laptop pracownika zostaje skradziony lub zagubiony. Regularnie pojawia się również pytanie, czy samo oprogramowanie RMM jest na bieżąco aktualizowane — luka w tym programie zarządzającym jednocześnie dotyczy wszystkich klientów, którzy go wykorzystują, co stanowi dla nich wrażliwy punkt.
Pytania dotyczące dostępu do systemów klientów
Druga grupa pytań dotyczy tego, kto dokładnie ma dostęp do jakich systemów. Pomyśl o: czy pracujesz zgodnie z zasadą, że osoba ma dostęp tylko do tego, co jest potrzebne do zadania (least privilege), czy dostęp jest natychmiast usuwany, gdy pracownik odchodzi lub zmienia funkcję, oraz czy hasła i klucze dostępu są rozdzielone dla każdego klienta, czy wspólne dla wielu zleceń. Niektóre listy kontrolne pytają również o przegląd tego, kto miał dostęp w określonym okresie, coś, na co można odpowiedzieć tylko wtedy, gdy taki przegląd jest już prowadzony. Osoby, które nie mają takiej informacji na wstrzymaniu, często tracą kontrakt nie dlatego, że bezpieczeństwo jest niewystarczające, ale po prostu dlatego, że odpowiedź nie może być dostarczona wystarczająco szybko.
Pytania dotyczące podwykonawców i własnego łańcucha dostaw
Trzecia grupa pytań jest często zapominana aż do momentu, gdy pojawiają się: czy sami korzystacie z podwykonawców do części usługi, na przykład ze strony zewnętrznej do obsługi helpdesku poza godzinami biura lub do specjalistycznego zarządzania siecią? Odbiorca, który musi sam zmapować swoją łańcuch dostaw, chce wiedzieć, czy ten łańcuch kończy się u was, czy ciągle się rozciąga. Pytania na ten temat zwykle dotyczą tego, czy podwykonawcy otrzymują te same wymogi bezpieczeństwa co wy sami, oraz czy klient jest wcześniej powiadamiany, gdy zostaje zaangażowany nowy podwykonawca. To również punkt, w którym lista pytań może przekroczyć granicę i sięgnąć informacji, które niekoniecznie są potrzebne do oceny ryzyka; gdzie ta granica leży, nie jest zawsze takie samo w każdej sytuacji i zasługuje na osobną ocenę.
Co to oznacza dla odpowiedzi, którą udzielasz
Pytania powyżej nie są luźną listą kontrolną, ale powtarzającym się wzorem, a ten wzór zmienia się niewiele od klienta do klienta w obrębie tego sektora. To czyni to warte zapamiętania, aby wiedzieć z góry, gdzie stoisz — które z tych zagadnień są już przydzielone właścicielowi i mają dowód, a które pozostają nierozwiązane. w kilku pytaniach zobaczyć, czy i jak jesteście objęci daje tam pierwszy kierunek, oraz opracowane zagadnienia dla każdej sytuacji zagłębia się w konkretne środki, takie jak zarządzanie dostępem i ocena dostawców. Jeśli wątpicie, czy postawione pytanie mieści się jeszcze w rozsądnych granicach, jest to coś do omówienia z samym klientem lub, jeśli niejasność się utrzymuje, z prawnikiem; najczęściej zadawane pytania na ten temat zawiera kilka punktów zaczepienia.
Jeśli chcecie bez zobowiązań zobaczyć, gdzie wasze przedsiębiorstwo stoi w stosunku do takich list pytań, wykonajcie bezpłatną szybką skanowanie lub przejrzyjcie bazę wiedzy na secria.eu — oba są dostępne bez konta.