Ak vaša spoločnosť pôsobí v oblasti poskytovania služieb v oblasti IKT — správa serverov a sietí, helpdesk s prístupom na diaľku alebo údržba softvéru u zákazníkov — bezpečnostný dotazník, ktorý dostanete, je často rozsiahlejší ako dotazníky od ostatných dodávateľov. Nie je to preto, že vám vašich zákazník neveria, ale preto, že vaša služba má podľa definície prístup k systémom, ktoré vám nepatria. Organizácia s povinnosťou starostlivosti, ktorá hodnotí svoju dodávateľskú reťaz, sa pozadie podrobnejšie u poskytovatela služieb v oblasti IKT ako u dodávateľa kancelárskeho nábytku.
Otázky, ktoré sa v tomto odvetví vracia, sa zvyčajne delia do troch skupín: ako spravujete systémy na diaľku, ako regulujete prístup k systémom zákazníkov a ako sa staváte k subdodávateľom. Nižšie sú uvedené otázky, ktoré sa zvyčajne čítajú v každej skupine a prečo.
Prečo sú poskytovatelia služieb v oblasti IKT samostatnou kategóriou
Organizácia s povinnosťou starostlivosti musí podľa smernice NIS2 posúdiť aj riziká, ktoré vstupujú cez dodávateľov. Účtovňa, ktorá spracováva iba faktúry, predstavuje iné riziko ako strana, ktorá sa môže v noci prihlásiť na server podniku a spustiť aktualizáciu. Dozorné orgány a samotná smernica výslovne spomínajú túto závislosť od služieb v oblasti IKT ako bod pozornosti v dodávateľskom reťazci. Pre vás to znamená, že dotazník sa často netýka vašej kancelárie, ale cesty, ktorú absolvujú vaši zamestnanci a systémy v smere k sieti zákazníka.
Otázky o správe na diaľku
Ak spravujete systémy zákazníkov na diaľku pomocou nástrojov na monitorovanie a správu na diaľku (RMM) alebo prostredníctvom pripojenia VPN, dotazník zvyčajne pýta na bezpečnosť samotného pripojenia. Typické témy sú: či je prístup na diaľku možný iba viacfaktorovú autentifikáciou, či sú relácie registrované a ako dlho sa záznamy uchovávajú, či existuje pevný časový interval, v ktorom sa vykonáva údržba, a čo sa stane, ak sa notebook technika stratí. Pravidelne sa tiež vynára otázka, či je samotný softvér RMM aktualizovaný — zraniteľnosť v tomto programu na správu totiž ihneď ovplyvní všetkých zákazníkov, ktorí sú s ním spravovaní, a to z toho robí pre konzumentov citlivý bod.
Otázky o prístupe k systémom zákazníkov
Druhá skupina otázok sa týka toho, kto presne a ku ktorým systémom má prístup. Myslite na: či pracujete s princípom, že osoba dostane prístup iba k tomu, čo je potrebné na vykonanie úlohy (princíp minimálnych oprávnení), či sa prístup okamžite zruší, keď zamestnnanec odchádza alebo zmení funkciu, a či sú heslá a prístupové kľúče oddelené pre každého zákazníka alebo zdieľané medzi úlohami. Niektoré dotazníky sa pýtajú aj na prehľad o tom, kto mal prístup v určitom období, čo sa dá odpovedať iba v prípade, že sa takýto prehľad už vedie. Kto nemá tieto informácie k dispozícii, často neprehrá preto, že by bezpečnosť bola nedostatočná, ale preto, že odpoveď sa jednoducho nedá poskytnúť dostatočne rýchlo.
Otázky o subdodávateľoch a vlastnom reťazci
Tretia skupina otázok sa často zabúda, kým sa nezavesí na stôl: používate sami subdodávateľov na časti vašej služby, napríklad externého partnera na helpdesk mimo pracovnej doby alebo na špecializovanú správu siete? Zákazník, ktorý si musí zmapovať vlastný reťazec dodávateľov, chce vedieť, či sa ten reťazec u vás končí alebo pokračuje ďalej. Otázky v tejto oblasti sa zvyčajne týkajú toho, či subdodávatelia podliehajú rovnakým požiadavkám na bezpečnosť ako vy sami, a či je zákazník vopred informovaný, keď sa zapája nový subdodávateľ. Toto je tiež miesto, kde sa zoznam otázok môže dostať k informáciám, ktoré nie sú rozumne potrebné na posúdenie rizika; kde sa táto hranica nachádza, nie je v každej situácii rovnaké a zaslúži si samostatné zváženie.
Čo to znamená pre odpoveď, ktorú podávate
Otázky vyššie nie sú samostatný kontrolný zoznam, ale opakujúci sa vzor, a ten vzor sa medzi jednotlivými zákazníkmi v rámci tohto odvetvia málo mení. To z toho robí zmysluplné vedieť vopred, kde stojíte vy – ktoré z týchto tém sú už pridelené zodpovednej osobe a majú dokazovací materiál, a ktoré sú stále neusporiadané. na zopár otázky vidieť, či a ako ste dotknutí poskytuje prvý smer a podrobne rozpracované témy podľa situácie ide hlbšie do špecifických opatrení, ako sú riadenie prístupu a posúdenie dodávateľov. Ak si nie ste istí, či položená otázka padá stále do rozumných hraníc, je to téma na diskusiu so samotným zákazníkom alebo, ak pretrváva neistota, s právnikom; najčastejšie otázky na túto tému poskytuje množstvo podnetov.
Ak chcete bez záväzkov vidieť, ako stojí vaša spoločnosť v porovnaní s týmito zoznamami otázok, urobte si bezplatnú rýchlu kontrolu alebo prelistujte vedomostnú základňu na secria.eu – obe sú dostupné bez účtu.