Om ditt företag arbetar med IT-tjänster — hantering av servrar och nätverk, en helpdesk med fjärråtkomst, eller underhåll av programvara hos kunder — tenderar säkerhetsfrågeformuläret du får ofta att vara mer omfattande än för andra leverantörer. Det beror inte på att kunden misstror dig, utan på att din tjänst per definition ger åtkomst till system som inte äger du. En organisation med skyddsplikt som bedömer sin leverantörskedja granskar en IT-tjänsteleverantör djupare än en möbelleverantör.
De frågor som återkommer i denna sektor delas vanligtvis in i tre grupper: hur du hanterar fjärrsystem, hur du reglerar åtkomst till kundsystem, och hur du hanterar underleverantörer. Nedan presenteras för varje grupp vad som vanligtvis efterfrågas och varför.
Varför IT-tjänsteleverantörer utgör en separat kategori
En organisation med skyddsplikt måste enligt riktlinje (EU) 2022/2555 också bedöma risker som kommer via leverantörer. Ett redovisningskontor som bara hanterar fakturor utgör en annan risk än en part som kan logga in på företagsservern på natten för att köra en uppdatering. Tillsynsmyndigheter och själva riktlinjen nämner denna beroende av IT-tjänster uttryckligen som en försiktighetsåtgärd inom värdekedjorna. För dig innebär detta att frågeformuläret ofta inte handlar om ditt kontor, utan om vägen som dina medarbetare och system tar till kundens nätverk.
Frågor om fjärrhantering
Om du hanterar kundsystem på distans med verktyg för fjärrövervakning och hantering (RMM) eller via en VPN-anslutning, frågar frågeformuläret vanligtvis om säkerheten för själva anslutningen. Typiska ämnen är: om fjärråtkomst endast kan ske med flerfaktorsautentisering, om sessioner loggas och hur länge loggarna sparas, om det finns ett fast tidsintervall för när underhåll genomförs, och vad som händer om en teknikers bärbar dator blir stulen eller försvinner. Det är också vanligt att fråga om själva RMM-programvaran uppdateras regelbundet — en sårbarhet i det hanteringsprogrammet påverkar omedelbar alla kunder som hanteras med det, vilket gör det till ett känsligt område för mottagarna.
Frågor om åtkomst till kundsystem
Den andra gruppen frågor handlar om vem exakt som kan komma åt vilka system. Tänk på: arbetar du enligt principen att någon endast får åtkomst till vad som behövs för uppgiften (minsta behörighet), återkallas åtkomst omedelbar när en medarbetare lämnar eller byter funktion, och är lösenord och åtkomstnycklar skilda per kund eller delas mellan uppdrag. Vissa frågeformulär frågar också om en översikt över vem som haft åtkomst under en viss period — något som endast kan besvaras om denna översikt redan upprätthålls. Vem som inte har sådan information redo förlorar ofta inte för att säkerheten är bristfällig, utan för att svaret helt enkelt inte kan levereras tillräckligt snabbt.
Frågor om underleverantörer och egen leverantörskedja
Den tredje gruppen av frågor glöms ofta bort tills den kommer upp på bordet: använder du själv underentreprenörer för delar av tjänsten, till exempel en extern part för helpdesk utanför kontorstid eller för specialiserad nätverksadministration? En köpare som måste kartlägga sin egen försörjningskedja vill veta om kedjan stannar hos dig eller fortsätter vidare. Frågor om detta handlar vanligtvis om huruvida underentreprenörer får samma säkerhetskrav ställda på sig som du själv tillämpar, och om kunden informeras i förväg när en ny underentreprenör tas i anspråk. Detta är också den punkt där enkäten kan gå för långt och kräva information som inte rimligen är nödvändig för att bedöma risken; var denna gräns går är inte densamma i varje situation och förtjänar en egen övervägning.
Vad detta betyder för det svar du ger
Frågorna ovan är inte en lös checklista utan ett återkommande mönster, och det mönstret förändras lite från kund till kund inom denna sektor. Det gör det värt att på förhand veta var du själv står — vilket av dessa ämnen som redan är tilldelade en ansvarig person och ett bevisstycke, och vilka som ännu ligger löst. se i ett par frågor om och hur du påverkas ger där en första vägledning, och de utarbetade ämnena per situation går djupare in på specifika åtgärder som åtkomsthantering och leverantörbedömning. Om du är osäker på om en ställd fråga fortfarande faller inom rimliga gränser, är det något att diskutera med kunden själv eller, vid fortsatt otydlighet, med en jurist; de vanligaste frågorna om detta ämne ger ett antal anknytningspunkter.
Vill du utan förpliktelser se var ditt företag står i förhållande till den här typen av enkäter, gör då den kostnadsfria snabbkontroll eller bläddra genom kunskapsdatabasen på secria.eu — båda är tillgängliga utan konto.