Co wymaga zamawiający od usługodawcy ICT po NIS2
Zamawiający, który sam podlega obowiązkowi dbałości o bezpieczeństwo NIS2, musi wykazać, że kontroluje również ryzyko w swoim łańcuchu dostaw. Jeśli świadczą Państwo zarządzanie zdalne, hosting, zarządzanie aplikacjami lub helpdesk dla takiego zamawiającego, znajdzie się to w umowie: wymogi dotyczące tego, kto ma dostęp do systemów, jak dostęp jest rejestrowany oraz czy korzystacie z podwykonawców bez wcześniejszego powiadomienia.
Wymogi te różnią się w zależności od zamawiającego i sektora, ale szereg tematów pojawia się niemal zawsze: zarządzanie dostępem, rejestrowanie czynności administracyjnych, terminy powiadomienia o incydencie u Państwa, oraz wgląd w to, kto jeszcze jest zaangażowany w pracę. Ten ostatni punkt — podwykonawcy — to dla wielu usługodawców ICT temat, przy którym kwestionariusz zatrzymuje się najdłużej.
Dlaczego pojawia się to teraz w umowie
Dyrektywa NIS2 zobowiązuje organizacje podlegające, w artykule 21, do oceny również bezpieczeństwa ich dostawców i usługodawców. Zamawiający, który sam podlega obowiązkowi przeglądu, nie może tego wykazać poprzez ustne zapewnienie; potrzebuje pisemnej umowy, którą może przedłożyć swoemu własnemu organowi nadzoru. Dla Państwa jako usługodawcy ICT oznacza to: to samo pytanie powraca, tyle że teraz jest ujęte w aneks lub załącznik do umowy zamiast w samodzielnym e-mailu.
To zmiana formy, niekoniecznie treści. Wiele z tego, co się prosi, jako administrator prawdopodobnie już robiliście. Nowością jest to, że musicie być w stanie to wykazać, z datą i nazwiskiem.
Dostęp do systemów klienta: co dokładnie się prosi
Zamawiający coraz częściej proszą o przegląd osób, które mają u nich dostęp, z jakimi uprawnieniami oraz jak dostęp jest odbierany, gdy ktoś opuści zespół. Uwierzytelnianie wieloskładnikowe dla dostępu administracyjnego jest już powszechnym wymogiem, podobnie jak rejestr śledzący, kiedy i przez kogo system został dostępu. Niektóre umowy dodatkowo proszą o stały punkt kontaktowy po Państwa stronie, aby zamawiający nie był zależny od tego, kto akurat ma dyżur.
Podstawowe pytanie zamawiającego jest zawsze takie samo: czy może ustalić, jeśli coś pójdzie nie tak, kto miał dostęp gdzie i kiedy. To również powód, dla którego ogólne odpowiedzi takie jak "pracujemy zgodnie z najlepszymi praktykami" rzadko wystarczają — prosi się o konkretny dowód, a nie o intencję.
Zarządzanie zdalne: dodatkową uwagę na uwierzytelnianie i rejestrowanie
Zarządzanie zdalne otrzymuje w wielu kwestionariuszach osobny rozdział, właśnie dlatego, że osoba atakująca, która tam wejdzie, może w jednym kroku trafić do wielu klientów. Pytania dotyczą szyfrowania połączenia, tego, czy dostęp do zarządzania zdalnego jest oddzielony od zwykłej sieci Państwa firmy, oraz jak szybko możecie zakończyć sesję, jeśli podejrzewamy nadużycie. Tutaj również obowiązuje: nie chodzi o ocenę tego, jak dobra jest Państwa bezpieczeństwo, ale o to, czy możecie to pokazać.
Kto po raz pierwszy otrzymuje tego typu pytania, często doświadcza tego jako jednorazowego działania dla jednego klienta. W praktyce dowód zebrany dla jednego zamawiającego, z drobnymi modyfikacjami, jest możliwe do wykorzystania dla następnego. przeczytać tematy dla każdej sytuacji daje obraz tego, które pytania powracają przy jakim typie usług.
Podwykonawcy: ryzyko, które nie macie całkowicie pod kontrolą
Najtrudniejszą częścią dla wielu dostawców usług ICT nie jest jej własne bezpieczeństwo, ale bezpieczeństwo stron, które zatrudniają: dostawcy hostingowego, usługi monitorowania, niezależnego specjalisty. Zamawiający, który sam podlega obowiązkowi staranności, chce wiedzieć, czy korzystacie z podwykonawców, kim oni są i czy spełniają porównywalne wymogi. Niektóre umowy zobowiązują was do uprzedniego powiadomienia o zmianach w łańcuchu dostaw lub do przekazania tych samych wymogów bezpieczeństwa poprzez umowę swoim własnym dostawcom.
Dla małego przedsiębiorstwa ICT nie zawsze jest to łatwe do zorganizowania, zwłaszcza jeśli podwykonawca sam nie ma pojęcia, dlaczego to pytanie nagle się pojawia. Pierwszym krokiem jest prosty przegląd: kto coś dla was robi i jakie porozumienie w tym zakresie zostało ustalone. Bez tego przeglądu każda nowa lista kontrolna to ponownie pracochłonna analiza.
Co możecie i czego nie możecie obiecać
Rozsądnie jest umieszczać w umowie tylko te zobowiązania, które potraficie uzasadnić. Zamawiający, który pyta o czasy reakcji w przypadku incydentu, usługę 24/7 lub gwarancję, że nigdy nic się nie stanie, w rzeczywistości prosi o obietnicę, którą niewiele przedsiębiorstw świadczących usługi ICT może spełnić bez założenia osobnej, kosztownej usługi. To od was, a w razie potrzeby od prawnika, zależy ocena, które klauzule są rozsądne, a które wykraczają poza to, co obowiązek staranności zamawiającego faktycznie wymaga.
Czy sama wasza organizacja bezpośrednio podlega obowiązkowi staranności NIS2 — jako podmiot kluczowy lub ważny, czy poprzez działalność w łańcuchu dostaw — można sprawdzić za pomocą kilku pytań. To rozróżnienie określa, czy tylko przygotowujecie odpowiedzi dla swoich klientów, czy też musicie sami prowadzić rejestr.
Zacznijcie
Dla zamawiającego nie ma znaczenia wasza intencja, ale to, czy odpowiedź na jego pytanie będzie dostępna w momencie, gdy o nią poprosi. Kto raz ustali status, dowód i właściciela dla każdego wariantu, nie musi szukać od nowa przy następnej liście kontrolnej. Sprawdzcie ile kosztuje rejestr i listy kontrolne jeśli chcecie strukturalnie podejść do tej przygotowawczej pracy, lub przeczytajcie najpierw najczęściej zadawane pytania dotyczące działania platformy.
Zacznijcie nieobowiązkowo od bezpłatnej kontroli NIS2, aby sprawdzić, czy wasza organizacja sama podlega obowiązkowi, jest dotknięta łańcuchem dostaw, czy nie — i przeczytajcie dalej w bazie wiedzy na tematy istotne dla waszego sektora.