NIS2 a bezpečnosť dodávateľského reťazca: ako hodnotiť dodávateľov IT, integrátorov a subdodávateľov

Bezpečnosť dodávateľského reťazca sa nezačína rozoslaním rovnakého dotazníka všetkým zmluvným partnerom. Najskôr treba určiť, od ktorých dodávateľov závisia procesy organizácie, aký prístup majú a aké následky môže mať ich nedostupnosť, incident alebo oneskorená reakcia. Až na tomto základe možno stanoviť rozsah hodnotenia, požadované dôkazy, zmluvné podmienky a spôsob dohľadu. V opačnom prípade organizácia kontroluje formálnu úplnosť dokumentácie, nie skutočné riziká spojené so službami IT, integrátormi a subdodávateľmi.

Dodávateľ ako súčasť odolnosti organizácie

Riziko spojené s dodávateľom nevzniká iba z dôvodu zraniteľností jeho systémov alebo úrovne technických bezpečnostných opatrení. Rozhodujúce je najmä to, do akej miery externá služba, personál, softvér alebo infraštruktúra podmieňujú kontinuitu procesov organizácie. Rozsah dohľadu by preto nemala určovať hodnota zmluvy, veľkosť dodávateľa ani samotný druh nakupovanej služby, ale dôsledky jej nedostupnosti, narušenia dôvernosti, straty integrity údajov alebo oneskorenej reakcie na incident.

Proces treba začať jednoznačným pridelením zodpovedností. Vlastník podnikateľského procesu identifikuje závislosť a určuje jej prevádzkový význam. Funkcia informačnej bezpečnosti posudzuje mieru expozície, nákup premieta požiadavky do výberových kritérií a zmluvy a IT overuje rozsah prístupov a technické riešenia. Zároveň musí byť jasné, kto klasifikuje riziko, schvaľuje výnimky z požiadaviek, dohliada na plnenie zmluvy a koordinuje spoluprácu počas incidentu. Bez takto nastavených úloh zostáva dodávateľský dotazník dokumentom bez vlastníka a riziko sa rozptyľuje medzi organizačnými útvarmi.

Malý integrátor so vzdialeným privilegovaným prístupom do produkčného prostredia môže predstavovať väčšiu expozíciu než veľký dodávateľ kancelárskych služieb, hoci hodnota jeho zmluvy je výrazne nižšia. Výpadok, kompromitácia technického účtu alebo nedostupnosť pracovníkov integrátora môžu priamo zastaviť výrobu alebo sťažiť jej obnovu. Hĺbkové hodnotenie by sa preto malo týkať najmä partnerov napojených na kritické procesy, dodávateľov so vzdialeným alebo privilegovaným prístupom, subjektov spracúvajúcich významné informácie a organizácií zapojených do reakcie na incidenty či obnovy prevádzky.

Až po identifikovaní týchto závislostí možno proces primerane previazať s požiadavkami NIS2 na riadenie rizík, bezpečnosť dodávateľského reťazca a zodpovednosť vedenia, pri zohľadnení rozsahu vyplývajúceho z príslušných vnútroštátnych predpisov. Vrcholový manažment nemá nahrádzať technické hodnotenie. Mal by však schváliť pravidlá klasifikácie dodávateľov, pridelenie vlastníkov rizík a spôsob schvaľovania výnimiek. Užitočnými ukazovateľmi sú počet kritických procesov závislých od externých služieb a počet dodávateľov s privilegovaným alebo vzdialeným prístupom. Širší kontext týchto rozhodnutí približuje článok NIS2 v manažérskej praxi: ako premietnuť požiadavky do rozhodnutí, zodpovedností a reálnej odolnosti organizácie.

Segmentácia podľa následkov a rozsahu prístupu

Jednotný dotazník pre všetkých zmluvných partnerov nezabezpečí hodnotenie primerané riziku. Segmentácia by mala spájať následky nedostupnosti služby, druh spracúvaných informácií, rozsah oprávnení, možnosť prenesenia incidentu do vlastného prostredia a nahraditeľnosť dodávateľa. Základom klasifikácie je čas stanovený v analýze vplyvov na činnosť, počas ktorého môže proces fungovať bez konkrétnej služby, ako aj počet závislých procesov a lokalít. Hodnota zmluvy a veľkosť dodávateľa majú iba pomocný význam, pretože nevystihujú technické závislosti, prípustný čas výpadku ani náklady na bezpečné nahradenie služby.

Prahové hodnoty pre základné hodnotenie, rozšírené hodnotenie a audit treba previazať s merateľnými kritériami. Audit môže byť potrebný pri dodávateľovi, ktorého výpadok spôsobí prekročenie prípustného času prerušenia, ktorý má privilegovaný prístup alebo ktorého nemožno nahradiť bez významnej technickej zmeny. Rozšírené hodnotenie je vhodné pri obmedzenom prístupe, spracúvaní informácií vyžadujúcich ochranu alebo pri závislostiach ďalšieho stupňa. Ostatní partneri môžu podliehať základnému hodnoteniu, pokiaľ nevytvárajú kumulované riziko.

Pri dodávateľovi personálneho systému sa treba zamerať na klasifikáciu informácií, oprávnenia a obnovu údajov. Integrátora priemyselnej automatizácie je potrebné hodnotiť najmä z pohľadu vzdialeného prístupu, zmien konfigurácie a schopnosti poskytovať podporu po incidente. Subdodávateľ servisujúci zariadenia nemusí mať prístup k systémom, jeho nedostupnosť však môže zastaviť proces pre chýbajúce náhradné diely, kompetencie alebo dokumentáciu. Závislosti medzi informačnými systémami, prevádzkovými technológiami a kontinuitou výroby podrobnejšie rozoberá článok NIS2 pre výrobné podniky: na koho sa vzťahuje, aké povinnosti zavádza a ako pripraviť organizáciu bez redukovania témy výlučne na IT.

Klasifikácia nemôže zostať bez zmeny počas celého obdobia spolupráce. Treba ju aktualizovať po zmene rozsahu služby, prístupu, architektúry, subdodávateľov, spracúvaných informácií alebo významu procesu. Zároveň ju treba periodicky potvrdzovať aj vtedy, keď sa zmluvné podmienky nezmenili. Takýto prístup umožňuje prispôsobiť úroveň náležitej starostlivosti reálnej expozícii a preukázať, že dohľad nad dodávateľským reťazcom vychádza z hodnotenia následkov, nie iba z formálneho členenia dodávateľov.

Dôkazy namiesto vyhlásení

Hodnotenie dodávateľa sa má zamerať na spôsob vykonávania kontrol, nie iba na existenciu politík a postupov. Otázky treba orientovať na riadenie prístupov, zraniteľností a zmien, zálohovanie, monitorovanie udalostí, reakciu na incidenty, kontinuitu činností, bezpečnosť personálu a dohľad nad subdodávateľmi. Odpoveď „máme zavedený postup“ nestačí, ak neuvádza vlastníka činnosti, frekvenciu kontroly, spôsob zaznamenávania výsledkov a riešenie odchýlok. Varovným signálom sú aj všeobecné materiály, ktoré sa nevzťahujú na objednávanú službu, jej lokalitu alebo konkrétne prostredie poskytovania.

Minimálny súbor dôkazov treba pre každú triedu dodávateľov určiť ešte pred začatím hodnotenia. Pri nižšom riziku môžu postačovať odpovede vlastníka procesu podložené aktuálnymi dokumentmi a ukážkovými záznamami. S rastúcou kritickosťou treba požadovať výsledky testov, prevádzkové záznamy, ukazovatele vykonávania kontrol a nezávislé hodnotenia. Pri kritických službách môže byť primeraný technický rozhovor, vzdialené hodnotenie alebo audit na mieste. Voľba metódy by mala závisieť okrem iného od možnosti overiť opatrenia bez prístupu k infraštruktúre a od následkov nepravdivého alebo nepresného vyhlásenia. Odporúča sa evidovať dátum a výsledok posledného testu obnovy významnej služby, ako aj čas odstraňovania zraniteľností podľa úrovní kritickosti používaných dodávateľom.

Vyhlásenie o vykonávaní záloh dobre ilustruje rozdiel medzi uistením a dôkazom. Nevysvetľuje, či sú zálohy oddelené od produkčného prostredia, kto ich môže odstrániť, ako často prebiehajú testy obnovy ani aký bol výsledok posledného testu. Rovnako neurčuje, kto zodpovedá za obnovenie celej služby: poskytovateľ infraštruktúry, výrobca aplikácie, integrátor alebo zákazník. Primeraným dôkazom preto nie je iba opis pravidiel, ale aj záznam z posledného testu, rozsah obnovených údajov a funkcií, zistené nezhody a potvrdenie odstránenia príčin neúspechu. Vyhýbavú odpoveď možno rozpoznať podľa chýbajúcich dátumov, rozsahu, zodpovedností alebo nemožnosti priradiť dôkaz ku konkrétnej službe.

Certifikát systému manažérstva je hodnotným podporným dôkazom, ale nenahrádza náležitú starostlivosť. Treba overiť rozsah certifikácie, platnosť, zahrnuté lokality a služby, ako aj ich zhodu s predmetom zákazky. Certifikácia centrály nemusí zahŕňať dátové centrum, tím údržby ani subdodávateľa zabezpečujúceho kľúčovú časť služby. Certifikát môže byť súčasťou základného hodnotenia. Pri kritickej závislosti ho však treba doplniť prevádzkovými dôkazmi a pri významných nedostatkoch aj auditom. Takéto prepojenie bezpečnostných opatrení s procesnou zodpovednosťou približuje aj článok TISAX pre predstaviteľa systému a inžiniera kvality – ako prepojiť informačnú bezpečnosť s procesmi organizácie; bezpečnosť nemá zostať iba súčasťou dokumentácie IT.

Zmluva ako nástroj riadenia

Zmluva s kritickým dodávateľom by mala výsledok hodnotenia rizík pretaviť do vykonateľných a overiteľných povinností. Samotná doložka o mlčanlivosti nestačí. Ustanovenia by mali zahŕňať oznamovanie udalostí, prístup k informáciám potrebným na posúdenie ich následkov, účasť dodávateľa na analýze a obnove prevádzky, udržiavanie dohodnutých bezpečnostných opatrení, riadenie zmien a pravidlá využívania ďalších subdodávateľov. Pre konkrétnu službu treba dohodnúť aj parametre dostupnosti, obnovy a uchovávania údajov, ktoré zodpovedajú požiadavkám podnikateľského procesu, nielen štandardnému opisu služby dodávateľa.

Kľúčové je určiť vlastníka rokovaní o bezpečnostných požiadavkách a prahové hodnoty na schvaľovanie zmluvných výnimiek. Nákup môže riadiť zmluvný proces, nemal by však samostatne rozhodovať o tom, či je prípustné obmedzenie zodpovednosti, odmietnutie práva na audit alebo voľné prenášanie služieb na subdodávateľov. Takéto výnimky vyžadujú podľa povahy rizika posúdenie vlastníkom procesu, informačnou bezpečnosťou, kontinuitou činností a právnou funkciou. Ak dominantný dodávateľ neprijme ustanovenia zákazníka, rozhodnutie sa nemá obmedziť na bezpodmienečné prijatie jeho vzorovej zmluvy. Organizácia môže posúdiť náhradné opatrenia, obmedziť rozsah služby, posilniť monitorovanie alebo formálne akceptovať riziko s odôvodnením a určeným vlastníkom.

Doložka o oznámení „bez zbytočného odkladu“ má nízku prevádzkovú hodnotu, ak neurčuje komunikačný kanál, minimálny rozsah informácií, kontaktné miesta a osoby oprávnené prijímať rozhodnutia. Dohodnutý čas oznámenia musí organizácii ponechať reálnu možnosť posúdiť udalosť a splniť vlastné povinnosti. Dodávateľ by mal poskytnúť minimálne opis udalosti, identifikáciu dotknutých služieb a údajov, známy alebo predpokladaný vplyv, prijaté opatrenia na obmedzenie následkov a termín ďalšej aktualizácie. Zmluva by mala upravovať aj prístup k technickým záznamom a zapojenie príslušných odborníkov do analýzy príčin a obnovy služby.

Rovnako ani samotné právo na audit nezabezpečuje účinnú kontrolu. Ak zmluva neurčuje podmienky začatia auditu, rozsah prístupu k dôkazom, pravidlá ochrany dôverných informácií, náklady a lehoty na dohodnutie a vykonanie nápravných opatrení, ustanovenie môže byť nevykonateľné práve počas incidentu. Rozsah zmluvných požiadaviek by mal závisieť od kritickosti dodávateľa a možnosti nahradiť službu. Nadmerný katalóg požiadaviek bez následného dohľadu vytvára iba zdanie kontroly a zvyšuje náklady na správu zmluvy. Vhodné je sledovať počet výnimiek vyžadujúcich formálnu akceptáciu rizika a včasnosť plnenia záväzkov.

Náklady na zmeny zmlúv nepredstavuje iba práca právnika. Zahŕňajú opätovné hodnotenie dodávateľov, rokovania, audity, monitorovanie dohodnutých parametrov a zavedenie dodatočných opatrení. Tieto závislosti treba zohľadniť v rozpočte opísanom v materiáli Koľko stojí implementácia NIS2 a uKSC – ako zostaviť rozpočet na audit, dokumentáciu, školenia a bezpečnostné opatrenia bez nákladných chýb. Zmluva plní svoju riadiacu funkciu až vtedy, keď organizácia určila vlastníka dohľadu, zhromažďuje dôkazy o plnení povinností a má stanovený postup pri zmene alebo ukončení služby.

Dohľad po podpise zmluvy

Úvodné hodnotenie rýchlo stráca aktuálnosť, ak sa počas spolupráce mení rozsah služby, architektúra riešenia, vlastník dodávateľa, miesto spracúvania, subdodávatelia alebo úroveň prístupu k systémom a informáciám. Dohľad preto musí zahŕňať pravidelné preskúmania, ktorých frekvencia vychádza z kritickosti služby, ako aj hodnotenia spúšťané konkrétnymi udalosťami. Dodávatelia s vysokým vplyvom na kontinuitu činností vyžadujú častejšiu kontrolu než poskytovatelia ľahko nahraditeľných služieb bez privilegovaného prístupu.

Cyklus monitorovania musí mať vlastníka, prahové hodnoty eskalácie a požadované záznamy. Nestačí sledovať len parametre poskytovania služby. Treba ich prepájať s informáciami o incidentoch, výsledkami testov kontinuity a obnovy, stavom nápravných opatrení, zmenami subdodávateľov a signálmi zhoršovania prevádzkovej spôsobilosti dodávateľa. Mimoriadne prehodnotenie by mali spúšťať najmä:

• významná zmena rozsahu služby alebo prístupu;
• presun spracúvania;
• zmena subdodávateľa ovplyvňujúceho poskytovanie služby;
• opakované neplnenie parametrov služby;
• neuzatvorenie nezhody v stanovenej lehote;
• udalosť poukazujúca na nedostatočnú schopnosť reagovať.

Dodávateľ, ktorý bol pri uzatváraní zmluvy hodnotený pozitívne, môže po roku využívať nové dátové centrum alebo zveriť časť služby subdodávateľovi. Názov a deklarovaný rozsah služby zostanú nezmenené, zmenia sa však technické závislosti, miesto spracúvania, spôsob obnovy a dostupnosť dôkazov. Bez mechanizmu oznamovania takýchto zmien organizácia dohliada na historický, nie aktuálny rizikový profil. Užitočnými ukazovateľmi sú počet zmien rozsahu, prístupu alebo subdodávateľov vyžadujúcich opätovné hodnotenie, počet incidentov a porušení parametrov služby a podiel nápravných opatrení uzatvorených v dohodnutej lehote.

Zistená nezhoda nemusí automaticky znamenať ukončenie spolupráce. Rozhodnutie by malo zohľadniť vplyv nezhody, čas potrebný na jej odstránenie, možnosť nahradiť službu a riziko prechodného obdobia. Organizácia môže požadovať nápravné opatrenia, zaviesť kompenzačné opatrenia, dočasne akceptovať riziko s určeným termínom ďalšieho preskúmania, obmedziť rozsah prístupu alebo aktivovať plán nahradenia dodávateľa. Každý postup potrebuje vlastníka rozhodnutia, termín, kritérium uzatvorenia a dôkaz potvrdzujúci účinnosť, nie iba vykonanie úlohy.

Účinnosť celého mechanizmu treba pravidelne preverovať na základe záznamov, skúšok reakcie a schopnosti organizácie rozhodovať po zmene rizika. Užitočným východiskom pri plánovaní takéhoto preverenia je článok Audit NIS2 vo výrobnom podniku – ako overiť pripravenosť organizácie na nové povinnosti. Audit by nemal potvrdiť iba existenciu harmonogramu preskúmaní, ale aj to, či varovné signály vedú k eskalácii, nezhody sa uzatvárajú podľa stanovených kritérií a riziko dodávateľa zostáva prepojené s kontinuitou procesov organizácie.

Program hodnotenia pripravený na audit

Program dohľadu nad dodávateľmi je pripravený na audit vtedy, keď tvorí jeden ucelený rozhodovací mechanizmus, nie súbor dotazníkov, zmluvných doložiek a rozptýlených registrov. Jeho minimálny rozsah zahŕňa register dodávateľov s procesnými a technickými závislosťami, kritériá segmentácie, rozhodovacie úlohy, požiadavky pre jednotlivé triedy, hodnotenie dôkazov, zmluvné pravidlá, monitorovanie, eskaláciu a postup pri ukončení spolupráce. Program auditov a register rizík by mali používať rovnaké klasifikácie, vlastnícke úlohy a kritériá akceptácie.

Pri obmedzených zdrojoch treba pilotnú skupinu vybrať spomedzi dodávateľov podporujúcich kritické procesy, disponujúcich privilegovaným prístupom alebo ťažko nahraditeľných. Rozsah možno následne rozširovať podľa úrovne rizika a výsledkov prvých hodnotení. Snaha zahrnúť celú databázu dodávateľov naraz spravidla zvyšuje administratívne náklady bez primeranej pridanej hodnoty. Vrcholový manažment by mal schváliť poradie hodnotení, plán odstraňovania nedostatkov a rozpočet a zároveň rozhodovať o rizikách presahujúcich schválené prevádzkové právomoci.

Počas auditu je presvedčivejšia konzistentná stopa jedného rozhodnutia než rozsiahly postup: klasifikácia dodávateľa, odôvodnenie požiadaviek, vyhodnotené dôkazy, primerané zmluvné podmienky, záznamy monitorovania a nezhôd a formálna akceptácia rizika alebo rozhodnutie o nápravných opatreniach. Pripravenosť možno merať podielom dodávateľov klasifikovaných a vyhodnotených v rámci programu, plnením harmonogramu hodnotení kritických dodávateľov a počtom rizík bez vlastníka, lehoty reakcie alebo schváleného rozhodnutia.

Normatívne a právne východiská majú procesný návrh uzatvárať, nie nahrádzať jeho logiku. Požiadavky NIS2 treba premietnuť do zodpovedností, kritérií, záznamov a overiteľných dôkazov pri zohľadnení príslušných vnútroštátnych vykonávacích predpisov a rozsahu, v akom sa na organizáciu vzťahujú. Odvetvovým príkladom takéhoto prístupu je článok ISO 19443 — vstupenka do dodávateľského reťazca poľskej jadrovej energetiky, kde kvalifikácia a dohľad nad dodávateľmi spoluvytvárajú schopnosť organizácie bezpečne plniť požiadavky.