En leverantörspolicy för ICT-tjänsteleverans är en översikt över varje part som i ditt ställe eller vid sidan om har åtkomst till dina kunders system, data eller infrastruktur, med specifikation för varje part om vad de får göra, vad som avtalats och när det senast kontrollerats. Du upprättar den eftersom den skyldighet som åläggs uppdragsgivare förpliktar dem att även bedöma din säkerhet — och eftersom du i sin tur förlitar dig på underentreprenörer, fjärrhanteringsprogram och molnpartner som förtjänar samma bedömning.
Kärnan är enkel: den som kan komma till din kund bör finnas i din översikt. Det gäller den part som är värd för ditt ticketsystem, frilansaren som distribuerar uppdateringar på natten, och verktyget med vilket du övervakar en arbetsstation på distans. En leverantörspolicy är ingen formalitet för skenet; det är svaret på den fråga som din egen kund någon gång kommer att ställa till dig: vem annan kan komma till mina uppgifter, och hur vet du att de gör det korrekt.
Vem bör finnas i översikten
Börja brett och begränsa sedan. I översikten bör ingå underentreprenörer som övertar arbete från dig, programleverantörer vars verktyg har åtkomst till kundmiljöer, molnpartner där du lagrar kunders data, och enskilda specialister som medverkar tillfälligt. Den fråga du ställer dig själv för varje part är inte om de är viktig för din verksamhet, utan om de — direkt eller indirekt — kan komma åt dina kunders system eller uppgifter. En leverantör av kontorsvaror bör inte finnas med; en part som är värd för ditt övervakningsprogram bör finnas med.
Det är frestande att endast inkludera de stora, synliga parterna och utelämna mindre underentreprenörer eftersom relationen är informell. Det är just där det ofta går fel: en informell överenskommelse med en frilansare som arbetar med dina autentiseringsuppgifter hos en kund är inte mindre riskfylld för kunden än ett avtal med en stor part. Den som är osäker på om den egna organisationen själv omfattas av skyldigheten och därför måste underhålla denna översikt kan få det klargjort på några frågor.
Vad du registrerar per leverantör
Per leverantör är vanligtvis en begränsad uppsättning data tillräcklig: vilken typ av åtkomst har parten (läsa, skriva, administratörsrättigheter), till vilka system eller uppgifter, finns det ett avtal med säkerhetsavtal, vem är din kontaktperson, och när frågade du senast om något hade ändrats. Den sista punkten glöms ofta bort: en leverantör som bedömdes för två år sedan och inte har kontrollerats sedan dess räknas i praktiken som ej bedömd. Ett fast tillfälle varje år för att gå igenom listan förhindrar detta.
De begrepp som förekommer i sådana här översikter — skyldighet, försörjningskedja, väsentlighet — blir tydligare om du först slår upp dem separat från din egen situation; kunskapsdatabasen per ämne ger för varje begrepp ett kort, verifierat svar.
Underentreprenörer: en särskild fokuspunkt
Underentreprenörer förtjänar extra uppmärksamhet eftersom kunden ofta inte vet att de existerar. Om du outsourcar arbete till en tredje part som därigenom får åtkomst till kundsystem, är det vanligt att meddela kunden om detta och dokumentera vad denna tredje part får göra. Vissa avtal med uppdragsgivare förbjuder underentreprenöring utan förhandssamtycke; att kontrollera detta bör ingå i arbetet med att upprätta policyn, inte i nästa diskussion med kunden.
Fjärrhantering som egen kategori
Programvara för fjärrhantering — remote management, monitoring, ticketing med övervaakningsfunktion — förtjänar en separat plats i överblicken, även om det inte är en "leverantör" i vanlig mening. Dessa verktyg har vanligtvis bred åtkomst till många kundmiljöer samtidigt, vilket gör dem attraktiva som angreppspunkt. Att dokumentera vem som kan komma åt dessa verktyg, med vilka rättigheter och vilken verifiering är därför en av de första sakerna som en uppdragsgivare frågar om så snart samtalet handlar om er egen säkerhet.
Från överblick till svar
En leverantörspolicy som bara finns på papper hjälper inte när en kund skickar en frågelista i morgon. Överblicken är först användbar när den är kopplad till ett bevisstycke per leverantör och till en ansvarig som håller det aktuellt. Hur ett sådant levande register ser ut i praktiken och varifrån motsvarande svar på frågelistor kommer förklaras på sidan som visar hur plattformen fungerar.
Vill ni först se om er organisation själv faller under NIS2-åtgärdsskyldigheten eller bara påverkas via leveranskedjan? Gör den kostnadsfria kontrollen eller bläddra genom ämnena — båda kan konsulteras utan konto och ger omedelbar nästa steg som passar er situation.