NIS2 i sigurnost lanca opskrbe: kako procjenjivati IT dobavljače, integratore i podizvođače

Sigurnost lanca opskrbe ne počinje slanjem jednakog upitnika svim ugovornim partnerima. Najprije treba utvrditi o kojim dobavljačima ovise procesi organizacije, kakav pristup imaju te kakve bi posljedice izazvali njihova nedostupnost, incident ili zakašnjela reakcija. Tek se na toj osnovi mogu odrediti opseg procjene, potrebni dokazi, ugovorni uvjeti i način nadzora. U suprotnom organizacija provjerava formalnu potpunost dokumentacije, a ne stvarni rizik povezan s IT uslugama, integratorima i podizvođačima.

Dobavljač kao dio otpornosti organizacije

Rizik povezan s dobavljačem ne proizlazi samo iz ranjivosti njegovih sustava ili razine tehničkih mjera zaštite. Nastaje prije svega ondje gdje vanjska usluga, osoblje, softver ili infrastruktura uvjetuju kontinuitet procesa organizacije. Opseg nadzora stoga ne bi trebali određivati vrijednost ugovora, veličina ugovornog partnera ni sama vrsta nabavljene usluge, nego posljedice njezine nedostupnosti, narušavanja povjerljivosti, gubitka cjelovitosti podataka ili zakašnjele reakcije na incident.

Proces treba započeti jasnom dodjelom odgovornosti. Vlasnik poslovnog procesa utvrđuje ovisnost i određuje njezinu operativnu važnost. Funkcija informacijske sigurnosti procjenjuje izloženost, nabava uključuje zahtjeve u kriterije odabira i ugovor, a IT provjerava opseg pristupa i tehnička rješenja. Također treba odrediti tko klasificira rizik, odobrava odstupanja od zahtjeva, nadzire izvršavanje ugovora i koordinira suradnju tijekom incidenta. Bez toga upitnik dobavljača ostaje dokument bez vlasnika, a odgovornost za rizik raspršuje se među organizacijskim jedinicama.

Mali integrator koji održava udaljeni privilegirani pristup proizvodnom okruženju može stvarati veću izloženost od velikog pružatelja uredskih usluga, iako je vrijednost njegova ugovora znatno niža. Kvar, kompromitiranje tehničkog računa ili nedostupnost osoblja integratora mogu izravno zaustaviti proizvodnju ili otežati njezin oporavak. Produbljenom procjenom zato prije svega treba obuhvatiti ugovorne partnere povezane s kritičnim procesima, one s udaljenim ili privilegiranim pristupom, subjekte koji obrađuju važne informacije te sudionike u odgovoru na incidente i oporavku poslovanja.

Tek nakon utvrđivanja tih ovisnosti proces se može ispravno povezati sa zahtjevima NIS2 koji se odnose na upravljanje rizicima, sigurnost lanca opskrbe i odgovornost upravljačkog tijela, uz uvažavanje područja primjene odgovarajućih nacionalnih propisa. Uprava ne bi trebala zamijeniti tehničku procjenu. Njezina je uloga odobriti pravila klasifikacije dobavljača, dodjelu vlasnika rizika i postupak prihvaćanja odstupanja. Korisni pokazatelji uključuju broj kritičnih procesa koji ovise o vanjskim uslugama te broj dobavljača s privilegiranim ili udaljenim pristupom. Širi kontekst tih odluka prikazuje članak NIS2 u upravljačkoj praksi: kako zahtjeve pretvoriti u odluke, odgovornosti i stvarnu otpornost organizacije.

Segmentacija prema učinku i razini pristupa

Jedinstveni upitnik za sve ugovorne partnere ne omogućuje procjenu razmjernu riziku. Segmentacija treba povezati posljedice nedostupnosti usluge, vrstu obrađivanih informacija, opseg ovlasti, mogućnost širenja incidenta u vlastito okruženje te zamjenjivost dobavljača. Osnova klasifikacije jest vrijeme tijekom kojeg proces može funkcionirati bez određene usluge, utvrđeno analizom utjecaja na poslovanje, kao i broj ovisnih procesa i lokacija. Vrijednost ugovora i veličina dobavljača imaju pomoćnu ulogu jer ne opisuju tehničke ovisnosti, prihvatljivo trajanje prekida ni trošak sigurne zamjene usluge.

Pragove za osnovnu procjenu, proširenu procjenu i audit treba povezati s mjerljivim kriterijima. Audit može biti potreban za dobavljača čiji bi kvar doveo do prekoračenja dopuštenog vremena prekida, koji ima privilegirani pristup ili kojeg nije moguće zamijeniti bez značajne tehničke promjene. Proširena procjena primjerena je u slučaju ograničenog pristupa, obrade informacija koje zahtijevaju zaštitu ili postojanja ovisnosti u daljnjim razinama lanca. Ostali ugovorni partneri mogu biti obuhvaćeni osnovnom procjenom, pod uvjetom da ne stvaraju kumulaciju rizika.

Kod dobavljača kadrovskog sustava naglasak treba staviti na klasifikaciju informacija, ovlasti i oporavak podataka. Integratora automatizacije treba prvenstveno procjenjivati s obzirom na udaljeni pristup, promjene konfiguracije i sposobnost pružanja podrške nakon incidenta. Podizvođač koji servisira opremu možda nema pristup sustavima, ali njegova nedostupnost može zaustaviti proces zbog nedostatka dijelova, kompetencija ili dokumentacije. Ovisnosti između informacijskih sustava, operativne tehnologije i kontinuiteta proizvodnje detaljnije obrađuje članak NIS2 za proizvodne tvrtke: na koga se odnosi, koje obveze uvodi i kako pripremiti organizaciju bez svođenja teme isključivo na IT.

Klasifikacija ne smije ostati nepromijenjena tijekom cijelog razdoblja suradnje. Treba je ponoviti nakon promjene opsega usluge, pristupa, arhitekture, podizvođača, obrađivanih informacija ili važnosti procesa, a povremeno je treba potvrditi čak i kada ugovorni uvjeti ostanu nepromijenjeni. Time se razina dužne pažnje usklađuje sa stvarnom izloženošću te se može dokazati da nadzor lanca opskrbe proizlazi iz procjene posljedica, a ne iz formalne podjele ugovornih partnera.

Dokazi umjesto izjava

Procjena dobavljača treba obuhvatiti način provođenja kontrola, a ne samo postojanje politika i postupaka. Pitanja treba usmjeriti na upravljanje pristupom, ranjivostima i promjenama, izradu sigurnosnih kopija, praćenje događaja, odgovor na incidente, kontinuitet poslovanja, sigurnost osoblja i nadzor podizvođača. Odgovor „imamo uveden postupak” nije dovoljan ako ne navodi vlasnika aktivnosti, učestalost kontrole, način dokumentiranja rezultata i postupanje s odstupanjima. Znak upozorenja predstavljaju i općeniti materijali koji se ne odnose na ugovorenu uslugu, njezinu lokaciju ili okruženje u kojem se pruža.

Minimalni skup dokaza treba definirati za svaku kategoriju dobavljača prije početka procjene. Kod nižeg rizika mogu biti dovoljni odgovori vlasnika procesa potkrijepljeni važećim dokumentima i primjerima zapisa. S porastom kritičnosti treba zahtijevati rezultate testiranja, operativne zapise, pokazatelje provedbe kontrola i neovisne procjene. Za kritične usluge može biti opravdan tehnički razgovor, udaljena procjena ili audit na lokaciji. Odabir metode trebao bi ovisiti, među ostalim, o mogućnosti provjere mjera zaštite bez pristupa infrastrukturi te o posljedicama netočne izjave. Korisno je evidentirati datum i rezultat posljednjeg testa oporavka važne usluge, kao i vrijeme otklanjanja ranjivosti prema razinama kritičnosti koje je odredio dobavljač.

Izjava da se izrađuju sigurnosne kopije dobro pokazuje razliku između uvjeravanja i dokaza. Ona ne objašnjava jesu li kopije odvojene od proizvodnog okruženja, tko ih može izbrisati, koliko se često provode testovi oporavka ni kakav je bio rezultat posljednjeg testa. Također ne određuje tko je odgovoran za obnovu cijele usluge: pružatelj infrastrukture, proizvođač aplikacije, integrator ili klijent. Primjeren dokaz zato nije samo opis pravila, nego i zapis posljednjeg testa, opseg obnovljenih podataka i funkcija, utvrđene nesukladnosti te potvrda da su uklonjeni uzroci neuspjeha. Izbjegavajući odgovor može se prepoznati po nedostatku datuma, opsega, odgovornosti ili mogućnosti povezivanja dokaza s konkretnom uslugom.

Certifikat sustava upravljanja vrijedan je pomoćni dokaz, ali ne oslobađa organizaciju obveze provođenja dužne pažnje. Treba provjeriti njegov opseg, razdoblje valjanosti, obuhvaćene lokacije i usluge te njihovu usklađenost s predmetom nabave. Certifikacija sjedišta ne mora obuhvaćati centar za obradu podataka, tim za održavanje ni podizvođača koji izvodi ključni dio usluge. Certifikat može biti sastavni dio osnovne procjene. Međutim, kod kritične ovisnosti treba ga dopuniti operativnim dokazima, a u slučaju značajnih nedostataka i auditom. Takvu povezanost mjera zaštite s procesnom odgovornošću prikazuje i članak TISAX za predstavnika sustava i inženjera kvalitete – kako povezati informacijsku sigurnost s procesima tvrtke; sigurnost ne bi trebala ostati samo dio IT dokumentacije.

Ugovor kao upravljački mehanizam

Ugovor s kritičnim dobavljačem treba rezultate procjene rizika pretvoriti u obveze koje je moguće provesti i provjeriti. Sama klauzula o povjerljivosti nije dovoljna. Odredbe bi trebale obuhvatiti prijavu događaja, pristup informacijama potrebnima za procjenu posljedica, sudjelovanje dobavljača u analizi i oporavku poslovanja, održavanje dogovorenih mjera zaštite, upravljanje promjenama te pravila angažiranja daljnjih podizvođača. Za konkretnu uslugu treba usuglasiti i parametre dostupnosti, oporavka i čuvanja podataka koji su usklađeni sa zahtjevima poslovnog procesa, a ne samo sa standardnim opisom dobavljačeve usluge.

Ključno je imenovati vlasnika pregovora o sigurnosnim zahtjevima i utvrditi pragove za prihvaćanje ugovornih odstupanja. Nabava može voditi ugovorni postupak, ali ne bi trebala samostalno odlučivati jesu li ograničenje odgovornosti, uskraćivanje prava na audit ili neograničeno povjeravanje usluge podizvođačima prihvatljivi. Takva odstupanja zahtijevaju procjenu vlasnika procesa, informacijske sigurnosti, kontinuiteta poslovanja i pravne funkcije, ovisno o vrsti rizika. Ako dominantni dobavljač ne prihvaća klijentove odredbe, odluka se ne bi trebala svesti na bezuvjetno prihvaćanje njegova predloška. Moguće je procijeniti zamjenske mjere zaštite, ograničiti opseg usluge, pojačati praćenje ili formalno prihvatiti rizik uz obrazloženje i imenovanje vlasnika.

Klauzula o obavješćivanju „bez nepotrebnog odgađanja” ima malu operativnu vrijednost ako ne određuje kanal prijave, minimalni sadržaj informacija, kontaktne točke i osobe ovlaštene za donošenje odluka. Dogovoreno vrijeme obavješćivanja mora organizaciji ostaviti stvarnu mogućnost procjene događaja i izvršenja vlastitih obveza. Dobavljač bi trebao dostaviti najmanje opis događaja, popis zahvaćenih usluga i podataka, poznati ili očekivani utjecaj, provedene mjere ograničavanja te rok sljedećeg ažuriranja. Ugovor također treba urediti pristup tehničkim zapisima i sudjelovanje odgovarajućih stručnjaka u analizi uzroka i oporavku usluge.

Jednako tako, samo pravo na audit ne osigurava učinkovitu kontrolu. Ako ugovor ne navodi okolnosti za pokretanje audita, opseg pristupa dokazima, pravila zaštite povjerljivih informacija, troškove te rokove za usuglašavanje i provedbu korektivnih radnji, odredba se može pokazati neprovedivom upravo tijekom incidenta. Opseg ugovornih klauzula treba ovisiti o kritičnosti dobavljača i mogućnosti zamjene usluge. Preopsežan skup zahtjeva koji se poslije ne nadzire stvara privid kontrole i povećava troškove upravljanja ugovorom. Korisno je pratiti broj odstupanja koja zahtijevaju formalno prihvaćanje rizika i pravodobnost ispunjavanja obveza.

Trošak izmjena ugovora ne svodi se na rad pravnika. Obuhvaća ponovnu procjenu dobavljača, pregovore, audite, praćenje dogovorenih parametara i uvođenje dodatnih mjera zaštite. Te ovisnosti treba uzeti u obzir u proračunu opisanom u materijalu Koliko košta provedba NIS2 i uKSC – kako planirati proračun za audit, dokumentaciju, osposobljavanje i mjere zaštite bez skupih pogrešaka. Ugovor ispunjava svoju svrhu tek kada je organizacija imenovala vlasnika nadzora, prikuplja dokaze o ispunjavanju obveza te ima utvrđen postupak za promjenu ili prestanak usluge.

Nadzor nakon potpisivanja ugovora

Početna procjena brzo zastarijeva ako se tijekom suradnje promijene opseg usluge, arhitektura rješenja, vlasništvo dobavljača, lokacija obrade, podizvođači ili razina pristupa sustavima i informacijama. Nadzor zato treba obuhvatiti periodične preglede, čija učestalost proizlazi iz kritičnosti usluge, kao i procjene koje pokreću unaprijed definirani događaji. Dobavljači s velikim utjecajem na kontinuitet poslovanja zahtijevaju češće provjere od ugovornih partnera koji pružaju lako zamjenjive usluge i nemaju privilegirani pristup.

Ciklus praćenja treba imati vlasnika, pragove eskalacije i obvezne zapise. Nije dovoljno pratiti samo parametre pružanja usluge. Treba ih povezati s informacijama o incidentima, rezultatima testova kontinuiteta i oporavka, statusom korektivnih radnji, promjenama podizvođača te signalima pogoršanja operativne sposobnosti dobavljača. Ponovnu procjenu izvan redovitog rasporeda trebali bi, među ostalim, pokrenuti:

• značajna promjena opsega usluge ili pristupa;
• premještanje obrade;
• promjena podizvođača koja utječe na pružanje usluge;
• ponavljano neispunjavanje parametara usluge;
• nezatvaranje nesukladnosti u dogovorenom roku;
• događaj koji upućuje na nedovoljnu sposobnost odgovora.

Dobavljač koji je pri sklapanju ugovora pozitivno ocijenjen nakon godinu dana može koristiti novi podatkovni centar ili povjeriti dio usluge podizvođaču. Naziv i deklarirani opseg usluge mogu ostati isti, ali mijenjaju se tehničke ovisnosti, mjesto obrade, način oporavka i dostupnost dokaza. Bez mehanizma prijave takvih promjena organizacija nadzire povijesni, a ne stvarni profil rizika. Korisni pokazatelji uključuju broj promjena opsega, pristupa ili podizvođača koje zahtijevaju ponovnu procjenu, broj incidenata i odstupanja od parametara usluge te udio korektivnih radnji zatvorenih u dogovorenom roku.

Utvrđena nesukladnost ne mora automatski značiti prekid suradnje. Odluka treba uzeti u obzir učinak nesukladnosti, vrijeme potrebno za njezino uklanjanje, mogućnost zamjene usluge i rizik prijelaznog razdoblja. Organizacija može od dobavljača zahtijevati korektivne radnje, primijeniti kompenzacijske mjere, privremeno prihvatiti rizik uz određen rok ponovnog pregleda, ograničiti opseg pristupa ili pokrenuti plan zamjene dobavljača. Svaka opcija zahtijeva vlasnika odluke, rok, kriterij zatvaranja i dokaz koji potvrđuje učinkovitost, a ne samo izvršenje zadatka.

Učinkovitost cijelog mehanizma treba periodično provjeravati na temelju zapisa, vježbi odgovora i sposobnosti organizacije da donese odluku nakon promjene rizika. Korisna referenca za planiranje takve provjere jest članak NIS2 audit u proizvodnoj tvrtki – kako provjeriti je li organizacija spremna za nove obveze. Audit bi trebao potvrditi ne samo postojanje rasporeda pregleda nego i vode li upozoravajući signali do eskalacije, zatvaraju li se nesukladnosti prema utvrđenim kriterijima te ostaje li rizik dobavljača povezan s kontinuitetom procesa organizacije.

Program procjene spreman za audit

Program nadzora dobavljača spreman je za audit kada čini jedinstven mehanizam odlučivanja, a ne skup upitnika, ugovornih klauzula i nepovezanih evidencija. Njegov minimalni opseg obuhvaća registar dobavljača s procesnim i tehničkim ovisnostima, kriterije segmentacije, uloge u odlučivanju, zahtjeve za pojedine kategorije, procjenu dokaza, ugovorna pravila, praćenje, eskalaciju i postupanje pri završetku suradnje. Program audita i registar rizika trebali bi koristiti iste klasifikacije, vlasničke uloge i kriterije prihvatljivosti.

Kada su resursi ograničeni, pilot-skupinu treba odabrati među dobavljačima koji podržavaju kritične procese, imaju privilegirani pristup ili ih je teško zamijeniti. Opseg se zatim može proširivati u skladu s razinom rizika i rezultatima prvih procjena. Pokušaj istodobnog obuhvaćanja cijele baze ugovornih partnera obično povećava administrativne troškove bez razmjerne koristi. Uprava treba odobriti redoslijed procjena, plan uklanjanja nedostataka i proračun te odlučivati o rizicima koji prelaze utvrđene operativne ovlasti.

Tijekom audita uvjerljiviji je dosljedan trag jedne odluke nego opsežan postupak: klasifikacija dobavljača, obrazloženje zahtjeva, ocijenjeni dokazi, odgovarajući ugovorni uvjeti, zapisi praćenja i nesukladnosti te formalno prihvaćanje rizika ili odluka o korektivnim radnjama. Spremnost se može mjeriti udjelom dobavljača klasificiranih i procijenjenih u okviru programa, provedbom rasporeda procjena kritičnih dobavljača te brojem rizika bez vlasnika, roka za reakciju ili odobrene odluke.

Normativni i pravni okvir treba zaokružiti projektiranje procesa, a ne zamijeniti njegovu logiku. Zahtjeve NIS2 treba pretvoriti u odgovornosti, kriterije, zapise i provjerljive dokaze, uz uvažavanje odgovarajućih nacionalnih provedbenih propisa i opsega u kojem se primjenjuju na organizaciju. Sektorski primjer takvog pristupa prikazuje članak ISO 19443 — ulaznica u lanac opskrbe poljske nuklearne industrije, gdje kvalifikacija i nadzor dobavljača izravno pridonose sposobnosti organizacije da sigurno ispunjava zahtjeve.