Politika dobaviteljev za storitve ICT je pregled vsakega subjekta, ki ima v vašem imenu ali ob vaši strani dostop do sistemov, podatkov ali infrastrukture vaših strank, z navedbami, kaj ima dovoljeno vsak subjekt, na kaj je dogovorjeno in kdaj je bilo to nazadnje preverjeno. Pripravite jo, ker je dolžnost skrbnosti, ki je naložena naročnikom, prisiljuje tudi njih, da ocenijo vašo varnost — in ker vi potem zanašate na lastne podizvajalce, programsko opremo za upravljanje na daljavo in partnerje v oblaku, ki si zasluživajo isto oceno.
Jedro je preprosto: kdor lahko dostopa do vaše stranke, bi moral biti na vašem seznamu. To velja za subjekt, ki gosti vaš sistem za upravljanje nalog, za samostojnega podjetnika, ki ponoči uvaja popravke, in za orodje, s katerim nadzirate delovno postajo na daljavo. Politika dobaviteljev ni formalnost za javnost; to je odgovor na vprašanje, ki vam ga bo nekoč postavila vaša lastna stranka: kdo drugega ima dostop do mojih podatkov in kako veste, da to počnejo primerno.
Kdo bi moral biti na seznamu
Začnite široko in nato brisite. Na seznamu so podizvajalci, ki prevzamejo vaše delo, dobavitelji programske opreme, katere orodja imajo dostop do okolij strank, partnerji v oblaku, kamor dajete podatke strank, in samostojni strokovnjaki, ki občasno sodelujejo. Vprašanje, ki si ga postavite za vsak subjekt, ni, kako pomemben je za vašo poslovanje, ampak ali lahko — neposredno ali posredno — dostopa do sistemov ali podatkov vaših strank. Dobavitelj pisarniške opreme ne sodi na seznam; subjekt, ki gosti vašo programsko opremo za spremljanje, pa spada tja.
Privlačno je našteti samo velike, vidne subjekte in manjše podizvajalce preskočiti, ker je razmerje neformalno. To je točno, kje se pogosto zgodi napaka: neformalni dogovor s samostojnim podnetnikom, ki dostopa do stranke z vašimi poverilkami, za stranko ni manj tvegano kot pogodba z velikim subjektom. Tisti, ki se sprašujete, ali je vaša lastna organizacija sama pod dolžnostjo skrbnosti in zato dolžna hraniti ta seznam, lahko to preveriete v nekaj vprašanjih.
Kaj za vsakega dobavitelja zabeležite
Za vsakega dobavitelja je običajno dovolj omejeni nabor podatkov: kakšen dostop ima subjekt (branje, pisanje, upravičenja skrbnika), do katerih sistemov ali podatkov, ali obstoja pogodba s sporazumi o varnosti, kdo je pri vas oseba za stik, in kdaj ste nazadnje spraševali, ali se je kaj spremenilo. Zadnja točka se pogosto pozabi: dobavitelj, ki je bil ocenjen pred dvema letoma in se od takrat ne spremlja več, se v praksi šteje kot neocenjen. Določeni trenutek na leto za pregled seznama preprečuje to.
Izrazi, ki se pojavljajo v takšnih pregledih — dolžnost skrbnosti, dobavna veriga, materialnost — postanejo bolj jasni, če jih najprej razjasnite ločeno od vaše situacije; baza znanja po temah daje za vsak izraz kratek, preverljiv odgovor.
Podizvajalci: posebna točka pozornosti
Podizvajalci si zasluživajo posebno pozornost, ker stranka pogosto ne ve, da obstajajo. Če delo dodelite tretji osebi, ki ima pri tem dostop do sistemov strank, je običajno to sporočiti stranki in zabeležiti, kaj sme ta tretja oseba. Nekatere pogodbe z naročniki prepovedujejo podizvajalstvo brez predhodnega soglasja; preverjanje tega spada med pripravo politike, ne pa v naslednjo razpravo s stranko.
Upravljanje na daljavo kot posebna kategorija
Programska oprema za upravljanje na daljavo — daljinsko upravljanje, spremljanje, upravljanje z nalogami z možnostjo gledanja — si zasluži posebno mesto v pregledu, čeprav ni »dobavitelja« v običajnem smislu. Ta orodja imajo običajno širok dostop do številnih okolij strank hkrati, kar jih naredi privlačne kot napad. Dokumentiranje, kdo lahko dostopa do teh orodij, s katerimi pravicami in s kakšno preverjanjem, je zato ena prvih stvari, ki jo naročnik vprašam, ko se pogovor začne o vaši lastni varnosti.
Od pregleda k odgovoru
Dobaviteljska politika, ki obstaja samo na papirju, ne pomaga, če stranka jutri pošlje vprašalnik. Pregled postane uporaben šele, ko je povezan z dokazilom za vsakega dobavitelja in z lastnikom, ki ga posodablja. Kako tak živi register izgleda v praksi in od kod prihajajo ustrezni odgovori na vprašalnike, je pojasnjeno na strani, ki prikazuje, kako deluje platforma.
Ali želite najprej videti, ali vaša organizacija sama spada pod obveznost skrbi za NIS2 ali je vključena samo preko dobavne verige? Izvedite brezplačno preverjanje ali si oglejte teme — oboje je dostopno brez računa in takoj nudi naslednji korak, ki ustreza vaši situaciji.