Čo požaduje objednávateľ od poskytovania ICT služieb po NIS2
Objednávateľ, ktorý sám podlieha povinnosti starostlivosti podľa NIS2, musí preukázať, že riadi aj riziká vo svojom dodávateľskom reťazci. Ak poskytujete vzdialenú správu, hosting, správu aplikácií alebo helpdesk takémuto objednávateľovi, objaví sa to v zmluve: požiadavky na to, kto má prístup k systémom, ako sa tento prístup zaznamenáva, a či nasadzujete subdodávateľov bez toho, aby ste to vopred nahlásili.
Samotné požiadavky sa líšia v závislosti od objednávateľa a odvetvia, ale určité témy sa objavujú takmer vždy: riadenie prístupu, zaznamenávanie správcovských akcií, lehoty na nahlásenie incidentu na vašej strane a prehľad o tom, kto je ďalej zapojený do práce. Posledné — subdodávatelia — je pre mnohých poskytovateľov služieb ICT téma, na ktorej sa návrh otázok najdlhšie zaostaví.
Prečo sa to teraz objavuje v zmluve
Smernica NIS2 zaväzuje povinné subjekty v článku 21, aby tiež posúdili bezpečnosť svojich dodávateľov a poskytovateľov služieb. Objednávateľ, ktorý sám podlieha povinnosti auditu, to nemôže preukázať ústnym zusťanom; potrebuje písomnú dohodu, ktorú môže predložiť svojmu vlastnému dohľadnému orgánu. Pre vás ako poskytovateľa služieb ICT to znamená: rovnaká otázka sa objavuje znova, teraz však zakotvená v dodatku alebo prílohe k zmluve namiesto v samostatnom e-maile.
Toto je posun vo forme, nie nevyhnutne v obsahu. Väčšinu z toho, čo sa pýta, ste ako správca pravdepodobne už robili. Nové je, že to musíte vedieť preukázať, s dátumom a menom.
Prístup k zákazníckym systémom: čo sa presne pýta
Objednávatelia stále viac žiadajú prehľad o tom, kto k nim má prístup, s akými právami, a ako sa tento prístup odvolá, len čo niekto opustí tím. Viacfaktorová autentifikácia pre správcovský prístup je medzitým často kladená požiadavka, rovnako ako záznam, ktorý sleduje, kedy a kým bol systém prístupný. Niektoré zmluvy ďalej požadujú pevný kontaktný bod na vašej strane, aby objednávateľ nezávisel od toho, kto práve slúži.
Základná otázka objednávateľa je vždy rovnaká: ak sa niečo pokazí, môže vystopovať, kto mal prístup kam a kedy. To je tiež dôvod, prečo všeobecné odpovede ako "pracujeme podľa osvedčených postupov" zriedkakedy postačujú — pýta sa konkrétny dôkaz, nie úmysel.
Vzdialená správa: osobitná pozornosť autentifikácii a zaznamenávaniu
Vzdialená správa dostáva v mnohých návrhoch otázok samostatný oddiel, práve preto, lebo útočník, ktorý sa tam dostane, môže na jednom kroku dosiahnuť viacerých zákazníkov. Otázky sa týkajú šifrovania spojenia, či je prístup k vzdialennej správe nezávislý od bežnej siete vašej spoločnosti, a ako rýchlo môžete ukončiť reláciu, ak máte podozrenie na zneužitie. Tu tiež platí: nejde o posúdenie toho, ako dobrá je vaša bezpečnosť, ale o to, či to môžete preukázať.
Kto takéto otázky dostane po prvýkrát, často to zažíva ako jednorazovú akciu pre jedného zákazníka. V praxi je dôkaz, ktorý zbieraš pre jedného objednávateľa, s malými úpravami možné použiť aj pre ďalšieho. čítať jednotlivé témy podľa situácie poskytnúť predstavu o tom, ktoré otázky sa objavujú u ktorého typu služby.
Subdodávatelia: riziko, ktoré nemáte úplne pod kontrolou
Najväčšou výzvou pre mnohých poskytovateľov ICT služieb nie je ich vlastná bezpečnosť, ale bezpečnosť strán, ktoré si angažujú: poskytovateľ hostingu, monitorovacia služba, nezávislý špecialista. Objednávateľ, ktorý je sám predmetom povinnosti starostlivosti, chce vedieť, či používate subdodávateľov, kto sú a či spĺňajú porovnateľné požiadavky. Niektoré zmluvy vás zaväzujú, aby ste zmeny v tomto reťazci nahlásili vopred, alebo aby ste rovnaké bezpečnostné požiadavky zmluvne preniesli na vlastných dodávateľov.
Pre malú ICT spoločnosť to nie je vždy jednoduché usporiadať, najmä ak si subdodávateľ neuvedomuje, prečo sa táto otázka zrazu pýta. Prvým krokom je jednoduchý prehľad: kto pre vás robí čo a akú dohodu ste si podľa toho v zmluve dohodli. Bez tohto prehľadu je každá nová otázka opäť nanovo zisťovacou prácou.
Čo môžete a nemôžete sľúbiť
Je rozumné do zmluvy zahrnúť len záväzky, ktoré môžete aj zdôvodniť. Objednávateľ, ktorý sa pýta na doby odozvy v prípade incidentu, na 24/7 službu alebo na záruku, že sa nikdy nič nestane, v skutočnosti žiada sľub, ktorý len málo poskytovateľov ICT služieb môže splniť bez zavedenia samostatnej, nákladnej služby. Na vás a v prípade potreby na právnika je, aby posúdili, ktoré klauzuly sú rozumné a ktoré presahujú to, čo výkon povinnosti starostlivosti objednávateľa skutočne vyžaduje.
Či vaša vlastná organizácia podľa toho priamo podlieha povinnosti starostlivosti podľa NIS2 — ako subjekt spadajúci pod režim pre subjekty v kritických sektoroch alebo dôležité subjekty, alebo prostredníctvom záväznosti v reťazci — je možné skontrolovať pomocou niekoľko otázok. Toto rozlišovanie určuje, či iba pripravujete odpovede pre svojich klientov, alebo či musíte viesť aj vlastný záznami.
Začnite
Pre objednávateľa sa nakoniec neráta vaša úmysel, ale či je odpoveď na jeho otázku pripravená v čase, keď ju položí. Ten, kto raz pre každé opatrenie zdokumentuje stav, dôkazný materiál a zodpovedného člena, pri ďalšom dotazníku nemusí znova hľadať. Pozrite si, čo si dossier a dotazníky vyžadujú, ak chcete túto prípravu vykonávať systematicky, alebo si najskôr prečítajte často kladené otázky o tom, ako táto platforma funguje.
Začnite bez záväzku s bezplatnou kontrolou NIS2, aby ste zistili, či vaša organizácia podlieha povinnosti starostlivosti, či je zasiahnutá v reťazci, alebo ani jedno — a pokračujte ďalším čítaním v knižnici znalostí o témach, ktoré platia pre váš sektor.