Če vaše podjetje deluje v storitvah IKT — upravljanje strežnikov in omrežij, helpdesk z dostopom na daljavo ali vzdrževanje programske opreme pri naročnikih — je vprašalnik o varnosti, ki ga prejmete, pogosto obsežnejši kot vprašalniki drugih ponudnikov. To ne pomeni, da vas vaš naročnik ne zaupa, temveč kerva storitev po definiciji omogoča dostop do sistemov, ki niso vaši. Organizacija s posebnimi obveznostmi, ki ocenjuje svojo dobavno verigo, pri ponudniku storitev IKT pogleda globlje kot pri dobavitelju pisarniskega pohištva.
Vprašanja, ki se pojavljajo v tem sektorju, se običajno delijo v tri skupine: kako upravljate na daljavo, kako urejate dostop do sistemov naročnikov in kako ravnate s podizvajalci. V nadaljevanju je za vsako skupino navedeno, kaj se običajno sprašuje in zakaj.
Zakaj so ponudniki storitev IKT posebna kategorija
Organizacija s posebnimi obveznostmi mora po direktivi NIS2 oceniti tudi tveganja, ki prihajajo prek dobaviteljev. Računovodski biro, ki le obdeluje račune, predstavlja drugo tveganje kot podjetje, ki se lahko ponoči prijavi na poslovni strežnik za izvedbo posodobitve. Nadzorni organi in sama direktiva posebej omenjajo to odvisnost od storitev IKT kot točko pozornosti v okviru vrednostne verige. Za vas to pomeni, da se vprašalnik pogosto ne nanaša na vašo pisarno, temveč na pot, ki jo prepotuje vaši zaposleni in sistemi do omrežja naročnika.
Vprašanja o upravljanju na daljavo
Če upravljate sisteme naročnikov na daljavo z orodji za oddaljeno spremljanje in upravljanje (RMM) ali preko povezave VPN, se v vprašalniku običajno sprašuje o varnosti te povezave. Tipične teme so: ali je dostop na daljavo mogoč samo z večfaktorsko avtentikacijo, ali se seje beležijo in kako dolgo se dnevniki hranijo, ali obstaja obdobje, v katerem je vzdrževanje dovoljeno, in kaj se zgodi, če se prenosni računalnik montažerja izgubi ali ukrade. Pogosto se pojavljajo tudi vprašanja, ali se sama programska oprema RMM redno posodablja — ranljivost v tem programu za upravljanje namreč neposredno vpliva na vse naročnike, ki jih upravljate z njo, in to je za njih občutljivo vprašanje.
Vprašanja o dostopu do sistemov naročnikov
Druga skupina vprašanj se nanaša na to, kdo ima dostop do katerih sistemov. Mislimo na: ali delujete po principu, da ima posameznik dostop samo do tega, kar je potrebno za nalogo (najmanjši dostopu), se dostop takoj odvzame, ko zaposleni odide ali se mu spremi funkcija, ter ali se gesla in dostopni ključi ločijo po naročniku ali se delijo med nalogami. Nekateri vprašalniki sprašujejo tudi za pregled, kdo je imel dostop v določenem obdobju — to je mogoče odgovoriti le, če se tak pregled že vodi. Tisti, ki takšnih informacij nima pripravljene, pogosto izgubijo ne zato, ker bi bil varnostni sistem nezadosten, temveč preprosto zato, ker odgovora ni mogoče hitro zagotoviti.
Vprašanja o podizvajalcih in lastni dobavni verigi
Tretja skupina vprašanj se pogosto pozabi, dokler se pojavi: ali sami uporabljate podizvajalce za dele storitve, na primer zunanjo stranko za helpdesk zunaj delovnega časa ali za specializirano upravljanje omrežja? Naročnik, ki mora preslikati svojo verigo, želi vedeti, ali se veriga pri vas konča ali se nadaljuje. Vprašanja o tem se običajno nanašajo na to, ali se podizvajalcem naložijo enake varnostne zahteve kot jih imate sami, in ali je stranka vnaprej obveščena, če je aktiviran novi podizvajalec. To je tudi točka, kjer se vprašalnik lahko razširi na informacije, ki niso razumno potrebne za oceno tveganja; tam, kjer je ta meja, se ne ujema v vsaki situaciji in si zasluži lastno presojo.
Kaj to pomeni za odgovor, ki ga podajate
Zgornja vprašanja niso samostojni seznam, temveč ponavljajoči se vzorec, in ta vzorec se malo spreminja od stranke do stranke v tej panogi. To ga naredi vredno, da vnaprej veste, kje se vi nahajate — kateri od teh tem so že zaupani lastniku in dokazilu, in kateri še niso rešeni. na nekaj vprašanj videti, ali in kako ste prizadeti tam daje prvo smer, in obdelana vprašanja po situaciji se poglobi v specifične ukrepe, kot so upravljanje dostopa in ocena dobaviteljev. Če se sprašujete, ali je zastavljeno vprašanje še v razumnih mejah, je to nekaj, kar je vredno obravnavati s samo stranko ali, če ostanejo dvomi, s pravnikom; najpogostejša vprašanja na to temo daje številne opore.
Če želite brez obvez videti, kje je vaše podjetje glede takih vprašalnikov, naredite brezplačen hitri pregled ali brskajte po bazi znanja na secria.eu — oboje je dostopno brez računa.