O politică de furnizori pentru serviciile ICT este o trecere în revistă a fiecărei părți care are acces, în numele dvs. sau alături de dvs., la sisteme, date sau infrastructură ale clienților dvs., cu precizarea, pentru fiecare parte, a ceea ce i se permite, cu ce s-a convenit și când a fost verificat pentru ultima dată. O elaborați pentru că obligația de diligență care se impune mandanților dvs. îi obligă pe aceștia să vă evalueze și securitatea — și pentru că voi, la rândul vostru, vă bazați pe subcontractanți, software de gestionare de la distanță și parteneri cloud care merită aceeași evaluare.
Esența este simplă: oricine poate accesa la clientul dvs. trebuie să apară în trecerea în revistă. Aceasta se aplică părții care găzduiește sistemul dvs. de ticketing, persoanei cu activitate independentă care implementează patch-uri noaptea, și instrumentului cu care monitorizați la distanță o stație de lucru. O politică de furnizori nu este o formalitate pentru public; este răspunsul la întrebarea pe care propriul dvs. client v-o va pune într-o zi: cine mai poate accesa datele mele și cum știți că aceștia o fac corespunzător.
Cine trebuie să apară în trecerea în revistă
Începeți pe scară largă și apoi eliminați. În trecerea în revistă trebuie incluși subcontractanții care preiau munci de la voi, furnizorii de software ale căror instrumente au acces la mediile clienților, partenerii cloud în care depuneți date ale clienților, și specialiști independenți care colaborează ocazional. Întrebarea pe care v-o puneți pentru fiecare parte nu este dacă sunt importanți pentru funcționarea afacerii dvs., ci dacă — direct sau indirect — pot accesa sisteme sau date ale clienților dvs. Un furnizor de materiale de birou nu trebuie inclus; o parte care găzduiește software-ul dvs. de monitorizare trebuie.
Este tentant să includeți doar părțile mari și vizibile și să omiteți subcontractanții mai mici, deoarece relația este informală. Acesta este exact locul în care lucrurile devin adesea greșite: un acord informal cu o persoană cu activitate independentă care lucrează la un client cu acreditările dvs. nu este mai puțin riscant pentru client decât un contract cu o parte mare. Oricine se întreabă dacă propria organizație cade sub obligația de diligență și trebuie deci să mențină această trecere în revistă poate să o clarifice în câteva întrebări.
Ce înregistrați pentru fiecare furnizor
Pentru fiecare furnizor, de obicei, este suficient un set limitat de date: ce fel de acces are partea (citire, scriere, drepturi de administrare), la ce sisteme sau date, existe un contract cu acorduri privind securitatea, cine este la voi persoana de contact, și când ați verificat pentru ultima dată dacă s-a schimbat ceva. Ultimul punct este adesea uitat: un furnizor evaluat acum doi ani și de atunci nerevizuit nu numără în practică drept evaluat. Un moment fix anual pentru a examina lista previne această situație.
Conceptele care revin în astfel de treceri în revistă — obligația de diligență, lanțul de aprovizionare, materialitate — devin mai clare dacă le studiați mai întâi, independent de situația dvs.; banca de cunoștințe pe subiect oferă pentru fiecare concept un răspuns scurt, traçabil.
Subcontractanți: un punct de atenție distinct
Subcontractanții merită atenție suplimentară, deoarece clientul adesea nu știe că există. Dacă externalizeți o muncă către o terță parte care prin aceasta accesează sisteme ale clienților, este obișnuit să comunicați aceasta clientului și să stabiliți ce poate face acea terță parte. Unele contracte cu mandanți interzic subcontractarea fără aprobarea prealabilă; verifikarea acesteia face parte din elaborarea politicii, nu din următoarea discuție cu clientul.
Gestionarea de la distanță ca categorie distinctă
Software pentru gestionarea de la distanță — management de la distanță, monitorizare, gestionarea tichetelor cu funcție de vizualizare — merită o poziție separată în prezentare, chiar dacă nu este un „furnizor
De la prezentare generală la răspuns
O politică privind furnizorii care există doar pe hârtie nu ajută dacă un client trimite mâine un chestionar. Inventarul devine util doar atunci când este legat de o dovadă per furnizor și de un proprietar care o menține actualizată. Modul în care un register viu funcționează în practică și de unde provin răspunsurile aferente chestionarelor sunt explicate pe pagina care arată cum funcționează platforma.
Doriți mai întâi să verificați dacă organizația dumneavoastră se încadrează direct în obligația de diligență a NIS2 sau doar prin lanțul de aprovizionare? Efectuați verificarea gratuită sau răsfoiți printre subiecte — ambele pot fi consultate fără cont și oferă imediat o etapă următoare adaptată situației dumneavoastră.