Politika dodávateľov pre poskytovanie služieb ICT je prehľad každej strany, ktorá má v mene vás alebo vedľa vás prístup k systémom, údajom alebo infraštruktúre vašich klientov, s uvedením toho, čo môže každá strana robiť, čo bolo dohodnuté a kedy to bolo naposledy skontrolované. Pripravujete ju preto, že záväzok starostlivosti ukladaný objednávateľom ich povinuje aj hodnotiť vašu bezpečnosť — a pretože vy na svoj manžel zas spoliehacie na subdodávateľov, softvér na vzdialenú správu a poskytovateľov cloudových služieb, ktorí si zasluhujú rovnakú dôrazu.
Jadro je jednoduché: ktokoľvek, kto má prístup k vášmu klientovi, by mal byť v vašom prehľade. To platí pre stranu, ktorá hostí váš ticketovací systém, pre samostatne zárobkujacej osobu, ktorá v noci nasadzuje záplaty, a pre nástroj, s ktorým sledujete pracovnú stanicu na diaľku. Politika dodávateľov nie je formalitou pre jednanie; je to odpoveď na otázku, ktorú vám váš vlastný klient raz položí: kto ďalší môže pristupovať k mojim údajom a ako viete, že to robia poriadne.
Kto by mal byť v prehľade
Začnite široko a potom vymažte. Do prehľadu patria subdodávatelia, ktorí preberajú vašu prácu, poskytovatelia softvéru, ktorých nástroje majú prístup k prostrediam klientov, poskytovatelia cloudových služieb, u ktorých ukladáte údaje klientov, a jednotliví špecialisti, ktorí sa podieľajú príležitostne. Otázka, ktorú si položíte pre každú stranu, nie je, či sú dôležité pre vaše podnikanie, ale či — priamo alebo nepriamo — majú prístup k systémom alebo údajom vašich klientov. Dodávateľ kancelárskych potrieb tam nepatrí; strana, ktorá hostí váš monitoring software, áno.
Je lákavé zoznamovať len veľké, viditeľné strany a vynechať menších subdodávateľov, pretože je vzťah neformálny. Presne tam sa to často pokazí: neformálna dohoda so samostatne zárobkujúcou osobou, ktorá s vašimi prihlasovacími údajmi pracuje u klienta, nie je pre klienta menej riskantná ako zmluva s veľkou stranou. Ak si niekto nie je istý, či jeho vlastná organizácia spadá pod záväzok starostlivosti a musí tento prehľad viesť, môže si to nechať overiť v niekoľkých otázkach. za pár otázok si to nechať skontrolovať.
Čo zaznamená pre každého dodávateľa
Obmedzený súbor údajov je zvyčajne na každého dodávateľa dostačujúci: aký prístup má strana (čítanie, písanie, práva na správu), ku ktorým systémom alebo údajom, existuje zmluva s dohodami o bezpečnosti, kto je u vás kontaktná osoba a kedy ste naposledy skontrolovali, či sa niečo zmenilo. Tento posledný bod sa často zabúda: dodávateľ, ktorý bol vyhodnotený pred dvoma rokmi a odvtedy už nie, sa v praxi počíta ako nevyhodnotený. Pevný čas raz ročne na prehliadnutie zoznamu zabráni tomu.
Koncepty, ktoré sa objavujú v takýchto prehľadoch — záväzok starostlivosti, dodávateľský reťazec, materiálnosť — sú jasnejšie, ak ich najskôr hľadáte samostatne bez vášho vlastného kontextu; knižnica poznatkov podľa témy poskytuje za každý pojem krátku, overiteľnú odpoveď.
Subdodávatelia: samostatný bod pozornosti
Subdodávatelia si zasluhujú mimoriadnu pozornosť, pretože klient často nevie, že existujú. Ak prácu delegujete tretej strane, ktorá pritom prichádza do klientskych systémov, je zvyčajné to oznámiť klientovi a zaznamenať, čo môže táto tretia strana robiť. Niektoré zmluvy s objednávateľmi zakazujú ďalšiu subdodávateľskú prácu bez predchádzajúceho súhlasu; overenie toho patrí k príprave politiky, nie k ďalšej diskusii s klientom.
Vzdialená správa ako samostatná kategória
Softvér na správu na diaľku — vzdialená správa, monitoring, ticketing s funkciou sledovania — si zaslúži samostatné miesto v prehľade, hoci nie je "dodávateľom" v bežnom zmysle. Tieto nástroje majú zvyčajne široký prístup k mnohým prostrediam zákazníkov naraz, čo ich robí atraktívnymi ako cestu útoku. Zaznamenanie toho, kto má prístup k týmto nástrojom, s akými právami a s akým overením, je preto jednou z prvých vecí, ktorú požaduje objednávateľ, akonáhle sa rozhovor obráti na vlastnú bezpečnosť.
Od prehľadu k odpovedi
Zásada dodávateľa, ktorá existuje len na papieri, nepomôže, ak zákazník zajtra pošle zoznam otázok. Prehľad je použiteľný len vtedy, ak je prepojený s dokladom pre každého dodávateľa a s vlastníkom, ktorý ho udržiava v aktuálnom stave. Ako vyzerá takýto živý register v praxi a odkiaľ pochádzajú prislúšajúce odpovede na zoznamy otázok, je vysvetlené na stránke, ktorá ukazuje, ako platforma funguje.
Chcete si najprv pozrieť, či vaša organizácia spadá priamo pod povinnosti NIS2 alebo je dotknutá iba prostredníctvom dodávateľského reťazca? Vykonajte bezplatný test alebo si prehliadnite témy — obe možnosti sú dostupné bez účtu a okamžite vám poskytnú ďalší krok prispôsobený vašej situácii.