NIS2 a bezpečnost dodavatelského řetězce: jak hodnotit dodavatele IT, integrátory a subdodavatele

Bezpečnost dodavatelského řetězce nezačíná rozesláním stejného dotazníku všem smluvním partnerům. Nejprve je nutné určit, na kterých dodavatelích závisejí procesy organizace, jaký přístup mají a jaké dopady by měla jejich nedostupnost, bezpečnostní incident nebo opožděná reakce. Teprve poté lze stanovit rozsah hodnocení, požadované důkazy, smluvní podmínky a způsob průběžného dohledu. Bez tohoto základu organizace kontroluje spíše formální úplnost dokumentace než skutečná rizika spojená se službami IT, integrátory a subdodavateli.

Dodavatel jako součást odolnosti organizace

Riziko spojené s dodavatelem nevychází pouze ze zranitelností jeho systémů nebo z úrovně technických bezpečnostních opatření. Vzniká především tam, kde externí služba, pracovníci, software nebo infrastruktura podmiňují kontinuitu procesu organizace. Rozsah dohledu by proto neměla určovat hodnota smlouvy, velikost dodavatele ani samotný druh nakupované služby, ale dopady její nedostupnosti, narušení důvěrnosti, ztráty integrity dat nebo opožděné reakce na incident.

Proces je třeba zahájit jasným přidělením odpovědností. Vlastník podnikového procesu identifikuje závislost a stanoví její provozní význam. Funkce informační bezpečnosti posuzuje míru expozice, nákup promítá požadavky do kritérií výběru a smlouvy a IT ověřuje rozsah přístupů a technická řešení. Současně musí být určeno, kdo klasifikuje riziko, schvaluje odchylky od požadavků, dohlíží na plnění smlouvy a koordinuje spolupráci při incidentu. Bez tohoto rozdělení rolí zůstává dodavatelský dotazník dokumentem bez vlastníka a riziko se rozplývá mezi jednotlivými útvary.

Malý integrátor se vzdáleným privilegovaným přístupem do výrobního prostředí může představovat vyšší expozici než velký dodavatel kancelářských služeb, přestože hodnota jeho smlouvy je výrazně nižší. Výpadek, kompromitace technického účtu nebo nedostupnost pracovníků integrátora mohou přímo zastavit výrobu nebo zkomplikovat její obnovu. Hloubkové hodnocení se proto má zaměřit zejména na dodavatele napojené na kritické procesy, subjekty se vzdáleným či privilegovaným přístupem, zpracovatele významných informací a partnery zapojené do reakce na incidenty a obnovy provozu.

Teprve po identifikaci těchto závislostí lze proces odpovídajícím způsobem vztáhnout k požadavkům NIS2 na řízení rizik, bezpečnost dodavatelského řetězce a odpovědnost vedení, a to s přihlédnutím k rozsahu vyplývajícímu z příslušné národní právní úpravy. Vrcholové vedení nemá nahrazovat technické posouzení. Mělo by však schválit pravidla klasifikace dodavatelů, přidělování vlastníků rizik a postup pro přijímání odchylek. Užitečnými ukazateli jsou počet kritických procesů závislých na externích službách a počet dodavatelů s privilegovaným nebo vzdáleným přístupem. Širší souvislosti těchto rozhodnutí popisuje NIS2 v manažerské praxi: jak převést požadavky do rozhodování, odpovědností a skutečné odolnosti organizace.

Segmentace podle dopadu a rozsahu přístupu

Jednotný dotazník pro všechny smluvní partnery nezajistí hodnocení přiměřené riziku. Segmentace by měla spojovat dopad nedostupnosti služby, druh zpracovávaných informací, rozsah oprávnění, možnost přenosu incidentu do vlastního prostředí a nahraditelnost dodavatele. Základem klasifikace je doba stanovená v analýze dopadů na činnost, po kterou může proces fungovat bez příslušné služby, a dále počet závislých procesů a lokalit. Hodnota smlouvy a velikost dodavatele mají pouze podpůrný význam, protože nevypovídají o technických závislostech, přípustné době výpadku ani nákladech na bezpečné nahrazení služby.

Prahové hodnoty pro základní hodnocení, rozšířené hodnocení a audit je nutné navázat na měřitelné podmínky. Audit může být namístě u dodavatele, jehož výpadek způsobí překročení přípustné doby přerušení, který má privilegovaný přístup nebo kterého nelze nahradit bez významné technické změny. Rozšířené hodnocení je vhodné při omezeném přístupu, zpracování informací vyžadujících ochranu nebo při existenci závislostí dalších úrovní. Ostatní dodavatelé mohou podléhat základnímu hodnocení, pokud nevytvářejí kumulované riziko.

U dodavatele personálního systému je třeba klást důraz na klasifikaci informací, oprávnění a obnovu dat. Integrátor automatizace se posuzuje zejména z hlediska vzdáleného přístupu, změn konfigurace a schopnosti poskytovat podporu po incidentu. Subdodavatel zajišťující servis zařízení nemusí mít přístup k systémům, jeho nedostupnost však může proces zastavit kvůli chybějícím náhradním dílům, kompetencím nebo dokumentaci. Závislosti mezi informačními systémy, provozními technologiemi a kontinuitou výroby podrobněji rozebírá článek NIS2 pro výrobní podniky: na koho se vztahuje, jaké povinnosti přináší a jak připravit organizaci bez omezení tématu pouze na IT.

Klasifikace nemůže zůstat po celou dobu spolupráce beze změny. Je nutné ji opakovat při změně rozsahu služby, přístupu, architektury, subdodavatelů, zpracovávaných informací nebo významu procesu. Pravidelně ji je vhodné potvrzovat i tehdy, pokud smluvní podmínky zůstaly stejné. Organizace tak může přizpůsobit míru náležité péče skutečné expozici a doložit, že dohled nad dodavatelským řetězcem vychází z posouzení dopadů, nikoli pouze z formálního členění dodavatelů.

Důkazy místo deklarací

Hodnocení dodavatele se má zaměřit na skutečný způsob provádění kontrol, nikoli pouze na existenci směrnic a postupů. Otázky mají pokrývat řízení přístupů, zranitelností a změn, zálohování, monitorování událostí, reakci na incidenty, kontinuitu činností, bezpečnost pracovníků a dohled nad subdodavateli. Odpověď „máme zavedený postup“ není dostatečná, pokud neuvádí vlastníka činnosti, četnost kontroly, způsob dokumentování výsledků a řešení odchylek. Varovným signálem jsou také obecné materiály, které nelze vztáhnout ke konkrétní objednávané službě, lokalitě nebo prostředí jejího poskytování.

Minimální soubor důkazů je třeba určit pro každou třídu dodavatelů ještě před zahájením hodnocení. U nižšího rizika mohou postačovat odpovědi vlastníka procesu podložené aktuální dokumentací a vzorovými záznamy. S rostoucí kritičností je nutné vyžadovat výsledky testů, provozní záznamy, ukazatele účinnosti kontrol a nezávislá posouzení. U kritických služeb může být vhodný technický rozhovor, vzdálené posouzení nebo audit na místě. Volba metody má záviset mimo jiné na tom, zda lze opatření ověřit bez přístupu k infrastruktuře, a na dopadech případného nepravdivého nebo nepřesného prohlášení. Vhodné je evidovat datum a výsledek posledního testu obnovy významné služby i dobu odstraňování zranitelností podle úrovní kritičnosti používaných dodavatelem.

Prohlášení o provádění záloh dobře ilustruje rozdíl mezi ujištěním a důkazem. Samo o sobě nevysvětluje, zda jsou zálohy oddělené od produkčního prostředí, kdo je může odstranit, jak často probíhají testy obnovy ani jak dopadl poslední test. Rovněž neurčuje, kdo odpovídá za obnovení celé služby: poskytovatel infrastruktury, výrobce aplikace, integrátor, nebo zákazník. Přiměřeným důkazem proto není jen popis pravidel, ale také záznam z posledního testu, rozsah obnovených dat a funkcí, zjištěné neshody a potvrzení o odstranění příčin neúspěchu. Vyhýbavou odpověď lze rozpoznat podle chybějících dat, rozsahu, odpovědností nebo nemožnosti přiřadit důkaz ke konkrétní službě.

Certifikát systému managementu je hodnotným podpůrným důkazem, nenahrazuje však náležitou péči. Je nutné ověřit jeho rozsah, dobu platnosti, zahrnuté lokality a služby a porovnat je s předmětem zakázky. Certifikace centrály nemusí zahrnovat datové centrum, tým údržby ani subdodavatele zajišťujícího klíčovou část služby. Certifikát může být součástí základního hodnocení. U kritické závislosti však musí být doplněn provozními důkazy a při významných mezerách také auditem. Toto propojení bezpečnostních opatření s procesní odpovědností popisuje také článek TISAX pro zmocněnce systému a inženýra kvality – jak propojit informační bezpečnost s procesy podniku; bezpečnost nemá zůstat pouze součástí dokumentace IT.

Smlouva jako nástroj řízení

Smlouva s kritickým dodavatelem má převést výsledky hodnocení rizik do povinností, které lze splnit a ověřit. Samotná doložka o mlčenlivosti nestačí. Ujednání mají zahrnovat hlášení událostí, přístup k informacím potřebným pro posouzení jejich dopadů, účast dodavatele na analýze a obnově provozu, udržování dohodnutých bezpečnostních opatření, řízení změn a pravidla pro využívání dalších subdodavatelů. Pro konkrétní službu je rovněž nutné sjednat parametry dostupnosti, obnovy a uchovávání dat, které odpovídají požadavkům podnikového procesu, nikoli pouze standardnímu popisu služby dodavatele.

Zásadní je určit vlastníka vyjednávání bezpečnostních požadavků a nastavit limity pro schvalování smluvních odchylek. Nákup může řídit smluvní proces, neměl by však sám rozhodovat, zda je přijatelné omezení odpovědnosti, odmítnutí auditu nebo volné zadávání služeb subdodavatelům. Takové odchylky vyžadují podle povahy rizika posouzení vlastníkem procesu, informační bezpečností, řízením kontinuity a právní funkcí. Pokud dominantní dodavatel nepřijme ustanovení zákazníka, rozhodnutí nemá spočívat v bezpodmínečném přijetí jeho vzorové smlouvy. Lze posoudit náhradní opatření, omezit rozsah služby, posílit monitorování nebo riziko formálně přijmout s odůvodněním a určením jeho vlastníka.

Ustanovení o oznámení „bez zbytečného odkladu“ má malou provozní hodnotu, pokud neurčuje komunikační kanál, minimální rozsah informací, kontaktní místa a osoby oprávněné rozhodovat. Dohodnutá lhůta pro oznámení musí organizaci ponechat reálný prostor k posouzení události a splnění vlastních povinností. Dodavatel má předat alespoň popis události, označení dotčených služeb a dat, známý nebo předpokládaný dopad, přijatá opatření ke zmírnění následků a termín další aktualizace. Smlouva má také upravovat přístup k technickým záznamům a účast příslušných specialistů na analýze příčin a obnově služby.

Stejně tak samotné právo na audit nezajišťuje účinnou kontrolu. Pokud smlouva nestanoví podmínky pro zahájení auditu, rozsah přístupu k důkazům, pravidla ochrany důvěrných informací, náklady a lhůty pro dohodnutí a realizaci nápravných opatření, může být toto ustanovení neproveditelné právě v době incidentu. Rozsah smluvních doložek má odpovídat kritičnosti dodavatele a možnosti službu nahradit. Nadměrný soubor požadavků, na jehož plnění následně nikdo nedohlíží, vytváří pouze zdání kontroly a zvyšuje náklady na správu smlouvy. Vhodné je sledovat počet odchylek vyžadujících formální přijetí rizika a včasnost plnění závazků.

Náklady na změny smluv se neomezují na práci právníka. Zahrnují opakované hodnocení dodavatelů, vyjednávání, audity, monitorování dohodnutých parametrů a zavedení dodatečných opatření. Tyto závislosti je nutné zohlednit v rozpočtu popsaném v materiálu Kolik stojí zavedení NIS2 a uKSC – jak sestavit rozpočet na audit, dokumentaci, školení a bezpečnostní opatření bez nákladných chyb. Smlouva plní svou řídicí funkci až tehdy, když organizace určila vlastníka dohledu, shromažďuje důkazy o plnění povinností a má nastavený postup pro změnu nebo ukončení služby.

Dohled po podpisu smlouvy

Vstupní hodnocení rychle ztrácí platnost, pokud se v průběhu spolupráce mění rozsah služby, architektura řešení, vlastník dodavatele, místo zpracování, subdodavatelé nebo úroveň přístupu k systémům a informacím. Dohled proto musí zahrnovat pravidelné přezkumy s četností odvozenou od kritičnosti služby i hodnocení vyvolaná konkrétními událostmi. Dodavatelé s vysokým dopadem na kontinuitu činností vyžadují častější kontrolu než snadno nahraditelní poskytovatelé bez privilegovaného přístupu.

Cyklus monitorování musí mít svého vlastníka, stanovené úrovně eskalace a požadované záznamy. Nestačí kontrolovat parametry poskytování služby. Je nutné je propojovat s informacemi o incidentech, výsledky testů kontinuity a obnovy, stavem nápravných opatření, změnami subdodavatelů a signály zhoršující se provozní způsobilosti dodavatele. Mimořádné přehodnocení by měly vyvolat zejména:

• významná změna rozsahu služby nebo přístupu;
• přesun zpracování;
• změna subdodavatele ovlivňujícího poskytování služby;
• opakované nedodržování parametrů služby;
• neuzavření neshody ve stanoveném termínu;
• událost poukazující na nedostatečnou schopnost reakce.

Dodavatel, který byl při uzavření smlouvy hodnocen kladně, může po roce využívat nové datové centrum nebo svěřit část služby subdodavateli. Název a deklarovaný rozsah služby zůstávají stejné, mění se však technické závislosti, místo zpracování, způsob obnovy a dostupnost důkazů. Bez mechanismu pro oznamování těchto změn organizace dohlíží na historický, nikoli skutečný rizikový profil. Užitečnými ukazateli jsou počet změn rozsahu, přístupů nebo subdodavatelů vyžadujících nové hodnocení, počet incidentů a porušení parametrů služby a podíl nápravných opatření uzavřených v dohodnutém termínu.

Zjištěná neshoda nemusí automaticky znamenat ukončení spolupráce. Rozhodnutí má zohlednit dopad neshody, dobu potřebnou k jejímu odstranění, možnost náhrady služby a riziko přechodného období. Organizace může dodavateli uložit nápravná opatření, zavést kompenzační opatření, dočasně přijmout riziko s termínem nového přezkumu, omezit rozsah přístupu nebo aktivovat plán nahrazení dodavatele. Každá varianta vyžaduje vlastníka rozhodnutí, termín, kritérium uzavření a důkaz potvrzující účinnost, nikoli pouze splnění úkolu.

Účinnost celého mechanismu je třeba pravidelně ověřovat na základě záznamů, nácviků reakce a schopnosti organizace přijímat rozhodnutí při změně rizika. Užitečným vodítkem při plánování takového ověření je článek Audit NIS2 ve výrobním podniku – jak ověřit připravenost organizace na nové povinnosti. Audit má potvrdit nejen existenci harmonogramu přezkumů, ale také to, zda varovné signály vedou k eskalaci, neshody se uzavírají podle stanovených kritérií a rizika dodavatelů zůstávají propojena s kontinuitou procesů organizace.

Program hodnocení připravený k auditu

Program dohledu nad dodavateli je připravený k auditu tehdy, pokud tvoří jeden ucelený rozhodovací mechanismus, nikoli soubor dotazníků, smluvních doložek a roztříštěných registrů. Jeho minimální rozsah zahrnuje registr dodavatelů s procesními a technickými závislostmi, kritéria segmentace, rozhodovací role, požadavky pro jednotlivé třídy, hodnocení důkazů, smluvní pravidla, monitorování, eskalaci a postup při ukončení spolupráce. Program auditů a registr rizik mají používat stejné klasifikace, role vlastníků a kritéria přijatelnosti.

Při omezených zdrojích je vhodné vybrat pilotní skupinu z dodavatelů podporujících kritické procesy, disponujících privilegovaným přístupem nebo obtížně nahraditelných. Rozsah lze následně rozšiřovat podle úrovně rizika a výsledků prvních hodnocení. Snaha zahrnout současně celou dodavatelskou základnu obvykle zvyšuje administrativní náklady bez odpovídajícího přínosu. Vedení má schválit pořadí hodnocení, plán odstraňování nedostatků a rozpočet a rozhodovat o rizicích překračujících stanovené provozní pravomoci.

Při auditu je přesvědčivější než rozsáhlá směrnice konzistentní auditní stopa jednoho rozhodnutí: klasifikace dodavatele, odůvodnění požadavků, vyhodnocené důkazy, odpovídající smluvní podmínky, záznamy z monitorování a neshod a formální přijetí rizika nebo rozhodnutí o nápravných opatřeních. Připravenost lze měřit podílem dodavatelů klasifikovaných a hodnocených v rámci programu, plněním harmonogramu hodnocení kritických dodavatelů a počtem rizik bez vlastníka, termínu reakce nebo schváleného rozhodnutí.

Normativní a právní rámec má návrh procesu završovat, nikoli nahrazovat jeho logiku. Požadavky NIS2 je nutné převést do odpovědností, kritérií, záznamů a ověřitelných důkazů s přihlédnutím k příslušným národním prováděcím předpisům a rozsahu, v němž se na organizaci vztahují. Odvětvovým příkladem tohoto přístupu je ISO 19443 — vstupenka do dodavatelského řetězce polské jaderné energetiky, kde kvalifikace a dohled nad dodavateli spoluvytvářejí schopnost organizace bezpečně plnit stanovené požadavky.