Dacă firma dvs. activează în serviciile IT — gestionarea de servere și rețele, un helpdesk cu acces de la distanță, sau întreținerea software-ului la clienți — atunci lista de întrebări de securitate pe care o primiți este adesea mai voluminoasă decât cea a altor furnizori. Nu se întâmplă pentru că clientul dvs. vă desconfiază, ci pentru că serviciul dvs. oferă prin definiție acces la sisteme care nu vă aparțin. O organizație care are obligații de diligență și evaluează lanțul su de furnizori va privi mai atent la un furnizor de servicii IT decât la un furnizor de mobilier de birou.
Întrebările care se repetă în acest sector se încadrează de obicei în trei grupuri: cum gestionați de la distanță, cum reglementați accesul la sistemele clienților, și cum tratați subcontractanții. Mai jos se prezintă pentru fiecare grupă ceea ce se cere de obicei și de ce.
De ce furnizorii de servicii IT constituie o categorie separată
Conform Directivei NIS2, o organizație care are obligații de diligență trebuie să evalueze și riscurile care vin prin furnizori. Un birou de contabilitate care procesează doar facturi prezintă un risc diferit decât o parte care se poate conecta noaptea la serverul companiei pentru a rula o actualizare. Autoritățile de supraveghere și însuși directiva menționează în mod explicit această dependență de serviciile IT ca punct de atenție în lanțul de valoare. Pentru dvs. aceasta înseamnă că lista de întrebări nu se referă adesea la biroul dvs., ci la calea pe care o parcurg angajații și sistemele dvs. către rețeaua clientului.
Întrebări privind gestionarea de la distanță
Dacă gestionați sistemele clienților de la distanță, cu instrumente pentru monitorizare și gestionare de la distanță (RMM) sau printr-o conexiune VPN, lista de întrebări întreabă de obicei despre securitatea acelei conexiuni în sine. Subiectele tipice sunt: dacă accesul de la distanță este posibil doar cu autentificare multifactorială, dacă sesiunile sunt înregistrate și cât timp se păstrează acele înregistrări, dacă există o fereastră de timp fixă în care are loc întreținerea, și ce se întâmplă dacă laptopul unui tehnician este furat sau se pierde. De asemenea, apare frecvent întrebarea dacă software-ul RMM în sine este ținut la zi — o vulnerabilitate în acel program de gestionare afectează dintr-odată toți clienții care sunt gestionați cu el, ceea ce o face un punct sensibil pentru utilizatori.
Întrebări privind accesul la sistemele clienților
Al doilea grup de întrebări se referă la cine exact poate accesa ce sisteme. Gândiți-vă la: lucrați după principiul că o persoană primește acces doar la ceea ce este necesar pentru sarcină (principiul cu cel mai mic nivel de privilegiu), accesul se retrage imediat când un angajat pleacă sau schimbă funcția, și sunt parolele și cheile de acces separate pentru fiecare client sau partajate între sarcini. Unele liste de întrebări cer și o evidență a cui a avut acces la un moment dat, ceva ce se poate răspunde doar dacă acea evidență este deja ținută. Cei care nu au pe mână acest fel de informații pierd adesea nu pentru că securitatea lipsește, ci pur și simplu pentru că răspunsul nu poate fi furnizat suficient de repede.
Întrebări privind subcontractanții și lanțul propriu de furnizori
Cea de-a treia grup de întrebări este adesea uitată până când ajunge pe masă: utilizați dumneavoastră subcontractanți pentru părți ale serviciului, cum ar fi o parte externă pentru helpdesk în afara orelor de birou sau pentru gestionarea specializată a rețelei? Un client care trebuie să-și cartografieze propria lanț, dorește să știe dacă lantul se oprește la dumneavoastră sau continuă mai departe. Întrebările pe această temă se referă, de obicei, la faptul dacă subcontractanții primesc aceleași cerințe de securitate pe care le aplicați dumneavoastră, și dacă clientul este informat în prealabil atunci când se angajează un nou subcontractant. Acesta este și punctul în care chestionarul de securitate poate merge prea departe în informații care nu sunt în mod rezonabil necesare pentru evaluarea riscului; locul unde se trasează acea linie nu este același în fiecare situație și merită o evaluare distinctă.
Ce înseamnă aceasta pentru răspunsul pe care-l dați
Întrebările de mai sus nu sunt o simplă listă de verificare, ci un model recurent, iar acel model se schimbă puțin de la client la client în cadrul acestui sector. Aceasta face ca merită să știți dinainte unde vă situați dumneavoastră — care dintre aceste subiecte au deja un proprietar și o dovadă, și care sunt încă nerezolvate. într-o serie de câteva întrebări dacă și cum sunteți afectați oferă o primă direcție în acest sens, și subiectele elaborate în funcție de situație intră în detalii cu privire la măsuri specifice, cum ar fi controlul accesului și evaluarea furnizorilor. Dacă vă întrebați dacă o întrebare pusă se situează încă în limite rezonabile, aceasta este ceva de discutat cu clientul însuși sau, dacă nedumerirea persistă, cu un jurist; cele mai frecvente întrebări pe această temă oferă o serie de puncte de plecare.
Dacă doriți să vedeți fără obligații unde se situează afacerea dumneavoastră în raport cu acest tip de chestionare, faceți scanarea rapidă gratuită sau răsfoiți baza de cunoștințe pe secria.eu — ambele sunt accesibile fără cont.