NIS2 ir tiekimo grandinės saugumas: kaip vertinti IT tiekėjus, integratorius ir subrangovus

Tiekimo grandinės saugumas neprasideda nuo vienodos anketos išsiuntimo visiems partneriams. Pirmiausia reikia nustatyti, nuo kurių tiekėjų priklauso organizacijos procesai, kokia prieiga jiems suteikta ir kokių padarinių sukeltų jų paslaugų nepasiekiamumas, incidentas ar pavėluota reakcija. Tik tada galima pagrįstai nustatyti vertinimo apimtį, reikalaujamus įrodymus, sutartines sąlygas ir priežiūros būdą. Priešingu atveju organizacija tikrina formalų dokumentų komplektiškumą, o ne realią su IT paslaugomis, integratoriais ir subrangovais susijusią riziką.

Tiekėjas – organizacijos atsparumo dalis

Su tiekėju susijusi rizika kyla ne tik dėl jo sistemų pažeidžiamumų ar techninių saugumo priemonių lygio. Ji pirmiausia atsiranda tada, kai nuo išorinės paslaugos, personalo, programinės įrangos ar infrastruktūros priklauso organizacijos proceso tęstinumas. Todėl priežiūros apimtį turėtų lemti ne sutarties vertė, partnerio dydis ar vien įsigyjamos paslaugos rūšis, bet galimi jos nepasiekiamumo, konfidencialumo pažeidimo, duomenų vientisumo praradimo ar pavėluotos reakcijos į incidentą padariniai.

Procesą reikia pradėti nuo atsakomybės paskirstymo. Verslo proceso savininkas nustato priklausomybę ir įvertina jos veiklos reikšmingumą. Informacijos saugumo funkcija vertina rizikos poveikį, pirkimų funkcija įtraukia reikalavimus į atrankos kriterijus ir sutartį, o IT specialistai patikrina prieigos apimtį bei techninius sprendimus. Taip pat būtina aiškiai nustatyti, kas klasifikuoja riziką, tvirtina reikalavimų išimtis, prižiūri sutarties vykdymą ir koordinuoja bendradarbiavimą incidento metu. To nepadarius, tiekėjo anketa lieka dokumentu be savininko, o atsakomybė už riziką išsiskaido tarp organizacijos padalinių.

Nedidelis integratorius, turintis nuotolinę privilegijuotąją prieigą prie gamybinės aplinkos, gali kelti didesnę riziką nei stambus biuro paslaugų tiekėjas, nors jo sutarties vertė gerokai mažesnė. Gedimas, techninės paskyros perėmimas ar integratoriaus darbuotojų nepasiekiamumas gali tiesiogiai sustabdyti gamybą arba apsunkinti jos atkūrimą. Todėl išsamus vertinimas pirmiausia turėtų apimti partnerius, susijusius su kritiniais procesais, turinčius nuotolinę ar privilegijuotąją prieigą, tvarkančius reikšmingą informaciją arba dalyvaujančius reaguojant į incidentus ir atkuriant veiklą.

Tik nustačius šias priklausomybes procesą galima tinkamai susieti su NIS2 reikalavimais dėl rizikos valdymo, tiekimo grandinės saugumo ir vadovybės atsakomybės, atsižvelgiant į taikytinų nacionalinių teisės aktų nustatytą apimtį. Vadovybė neturėtų pakeisti techninio vertinimo. Jos užduotis – patvirtinti tiekėjų klasifikavimo principus, rizikos savininkų paskyrimą ir išimčių tvirtinimo tvarką. Naudingi rodikliai gali būti nuo išorinių paslaugų priklausomų kritinių procesų skaičius ir tiekėjų, turinčių privilegijuotąją ar nuotolinę prieigą, skaičius. Platesnis šių sprendimų kontekstas pateiktas straipsnyje NIS2 vadovavimo praktikoje: kaip reikalavimus paversti sprendimais, atsakomybe ir realiu organizacijos atsparumu.

Segmentavimas pagal poveikį ir prieigos lygį

Vienodas klausimynas visiems partneriams neužtikrina rizikai proporcingo vertinimo. Segmentuojant reikia kartu vertinti paslaugos nepasiekiamumo padarinius, tvarkomos informacijos pobūdį, suteiktų teisių apimtį, incidento išplitimo į organizacijos aplinką galimybę ir tiekėjo pakeičiamumą. Klasifikavimo pagrindas – veiklos poveikio analizėje nustatytas laikotarpis, kurį procesas gali veikti be konkrečios paslaugos, taip pat priklausomų procesų ir vietų skaičius. Sutarties vertė ir partnerio dydis yra tik papildomi kriterijai, nes jie neatskleidžia techninių priklausomybių, toleruotinos prastovos trukmės ar saugaus paslaugos pakeitimo sąnaudų.

Bazinio, išsamaus vertinimo ir audito ribas reikia susieti su išmatuojamais kriterijais. Audito gali reikėti, jei dėl tiekėjo sutrikimo būtų viršyta toleruotina veiklos pertraukos trukmė, tiekėjas turi privilegijuotąją prieigą arba jo neįmanoma pakeisti be reikšmingų techninių pakeitimų. Išsamus vertinimas tikslingas esant ribotai prieigai, tvarkant saugotiną informaciją arba egzistuojant tolesnės grandies priklausomybėms. Kitiems partneriams gali pakakti bazinio vertinimo, jeigu jie nekelia suminės rizikos.

Vertinant personalo valdymo sistemos tiekėją daugiausia dėmesio reikia skirti informacijos klasifikavimui, prieigos teisėms ir duomenų atkūrimui. Automatikos integratorių pirmiausia reikia vertinti pagal nuotolinės prieigos valdymą, konfigūracijos pakeitimus ir gebėjimą suteikti pagalbą po incidento. Įrangą aptarnaujantis subrangovas gali neturėti prieigos prie sistemų, tačiau dėl jo nepasiekiamumo procesas gali sustoti pritrūkus atsarginių dalių, kompetencijų ar dokumentacijos. IT sistemų, operacinių technologijų ir gamybos tęstinumo priklausomybės išsamiau aptariamos straipsnyje NIS2 gamybos įmonėms: kam taikomi reikalavimai, kokios pareigos nustatomos ir kaip parengti organizaciją neapsiribojant vien IT.

Klasifikacija negali likti nepakitusi visą bendradarbiavimo laikotarpį. Ją reikia peržiūrėti pasikeitus paslaugos apimčiai, prieigai, architektūrai, subrangovams, tvarkomai informacijai ar proceso reikšmingumui. Klasifikaciją taip pat reikia periodiškai patvirtinti net tada, kai sutarties sąlygos nepasikeitė. Tai leidžia parinkti realią riziką atitinkantį deramo patikrinimo lygį ir įrodyti, kad tiekimo grandinės priežiūra grindžiama poveikio vertinimu, o ne formaliu partnerių suskirstymu.

Įrodymai vietoje deklaracijų

Vertinant tiekėją reikia tikrinti, kaip kontrolės priemonės faktiškai taikomos, o ne vien tai, ar parengta politika ir procedūros. Klausimai turėtų apimti prieigos, pažeidžiamumų ir pakeitimų valdymą, atsarginių kopijų kūrimą, įvykių stebėseną, reagavimą į incidentus, veiklos tęstinumą, darbuotojų saugumą ir subrangovų priežiūrą. Atsakymo „turime įdiegtą procedūrą“ nepakanka, jeigu nenurodytas veiksmo savininkas, kontrolės periodiškumas, rezultatų fiksavimo būdas ir išimčių valdymo tvarka. Įspėjamasis ženklas – bendro pobūdžio medžiaga, nesusieta su užsakoma paslauga, jos teikimo vieta ar aplinka.

Minimalų įrodymų rinkinį kiekvienai tiekėjų klasei reikia nustatyti dar prieš pradedant vertinimą. Esant mažesnei rizikai gali pakakti proceso savininko atsakymų, pagrįstų aktualiais dokumentais ir įrašų pavyzdžiais. Didėjant kritiškumui reikia prašyti bandymų rezultatų, veiklos įrašų, kontrolės priemonių vykdymo rodiklių ir nepriklausomų vertinimų. Kritinių paslaugų atveju gali būti tikslingas techninis pokalbis, nuotolinis vertinimas arba auditas vietoje. Vertinimo metodas turėtų priklausyti, be kita ko, nuo galimybės patikrinti saugumo priemones neturint prieigos prie infrastruktūros ir nuo klaidingos deklaracijos galimų padarinių. Taip pat verta registruoti paskutinio reikšmingos paslaugos atkūrimo bandymo datą ir rezultatą bei pažeidžiamumų pašalinimo trukmę pagal tiekėjo taikomus kritiškumo lygius.

Teiginys, kad atsarginės kopijos daromos, gerai parodo skirtumą tarp patikinimo ir įrodymo. Iš jo neaišku, ar kopijos atskirtos nuo gamybinės aplinkos, kas gali jas pašalinti, kaip dažnai atliekami atkūrimo bandymai ir koks buvo paskutinio bandymo rezultatas. Taip pat neaišku, kas atsako už visos paslaugos atkūrimą – infrastruktūros tiekėjas, programos gamintojas, integratorius ar klientas. Todėl tinkamas įrodymas yra ne tik taisyklių aprašas, bet ir paskutinio bandymo įrašas, atkurtų duomenų bei funkcijų apimtis, nustatytos neatitiktys ir patvirtinimas, kad nesėkmių priežastys pašalintos. Išsisukinėjantį atsakymą galima atpažinti iš datų, apimties ir atsakomybės nenurodymo arba negalėjimo susieti įrodymo su konkrečia paslauga.

Vadybos sistemos sertifikatas yra vertingas papildomas įrodymas, tačiau jis neatleidžia nuo deramo patikrinimo. Reikia patikrinti sertifikato taikymo sritį, galiojimo laikotarpį, įtrauktas vietas ir paslaugas bei jų atitiktį pirkimo objektui. Centrinės būstinės sertifikavimas nebūtinai apima duomenų tvarkymo centrą, priežiūros komandą ar subrangovą, atliekantį esminę paslaugos dalį. Sertifikatas gali būti bazinio vertinimo dalis, tačiau kritinės priklausomybės atveju jį reikia papildyti veiklos įrodymais, o nustačius reikšmingų spragų – ir auditu. Toks saugumo priemonių susiejimas su procesine atsakomybe taip pat pristatomas straipsnyje TISAX vadybos sistemos atstovui ir kokybės inžinieriui: kaip susieti informacijos saugumą su įmonės procesais. Saugumas neturėtų likti vien IT dokumentacijos dalimi.

Sutartis kaip valdymo priemonė

Sutartis su kritiniu tiekėju turėtų perkelti rizikos vertinimo rezultatą į įvykdomus ir patikrinamus įsipareigojimus. Vien konfidencialumo nuostatos nepakanka. Sutarties sąlygos turėtų apimti pranešimą apie įvykius, prieigą prie informacijai, reikalingai jų poveikiui įvertinti, tiekėjo dalyvavimą atliekant analizę ir atkuriant veiklą, sutartų saugumo priemonių palaikymą, pakeitimų valdymą bei tolesnių subrangovų pasitelkimo taisykles. Konkrečiai paslaugai taip pat reikia suderinti prieinamumo, atkūrimo ir saugojimo parametrus, atitinkančius verslo proceso reikalavimus, o ne vien standartinį tiekėjo paslaugos aprašą.

Svarbu paskirti už saugumo reikalavimų derinimą atsakingą asmenį ir nustatyti sutartinių išimčių tvirtinimo ribas. Pirkimų funkcija gali koordinuoti sutarties sudarymo procesą, tačiau neturėtų viena spręsti, ar priimtinas atsakomybės apribojimas, atsisakymas suteikti audito teisę arba nevaržoma galimybė perduoti paslaugas subrangovams. Atsižvelgiant į rizikos pobūdį, tokias išimtis turėtų įvertinti proceso savininkas, informacijos saugumo, veiklos tęstinumo ir teisės funkcijos. Jeigu dominuojantis tiekėjas nesutinka su kliento sąlygomis, sprendimas neturėtų apsiriboti besąlygišku jo sutarties šablono priėmimu. Galima įvertinti alternatyvias kontrolės priemones, apriboti paslaugos apimtį, sustiprinti stebėseną arba oficialiai prisiimti riziką, nurodant pagrindimą ir rizikos savininką.

Nuostata apie pranešimą „nepagrįstai nedelsiant“ turi mažai praktinės vertės, jeigu nenustatytas pranešimo kanalas, minimalus informacijos turinys, kontaktiniai asmenys ir sprendimus priimti įgalioti darbuotojai. Sutartas pranešimo laikas turi suteikti organizacijai realią galimybę įvertinti įvykį ir įvykdyti savo pareigas. Tiekėjas turėtų pateikti bent įvykio aprašymą, paveiktų paslaugų ir duomenų sąrašą, žinomą ar numatomą poveikį, pritaikytas poveikio mažinimo priemones ir kito informacijos atnaujinimo terminą. Sutartyje taip pat turėtų būti reglamentuota prieiga prie techninių žurnalų ir reikiamų specialistų dalyvavimas analizuojant priežastis bei atkuriant paslaugą.

Vien teisė atlikti auditą taip pat neužtikrina veiksmingos kontrolės. Jeigu sutartyje nenurodytos audito inicijavimo sąlygos, prieigos prie įrodymų apimtis, konfidencialios informacijos apsaugos taisyklės, sąnaudos ir korekcinių veiksmų suderinimo bei įgyvendinimo terminai, nuostata gali būti neįgyvendinama būtent incidento metu. Sutartinių sąlygų apimtis turėtų priklausyti nuo tiekėjo kritiškumo ir paslaugos pakeičiamumo. Perteklinis reikalavimų sąrašas, kurio vėliau niekas neprižiūri, sukuria kontrolės regimybę ir didina sutarties administravimo sąnaudas. Verta stebėti išimčių, kurioms būtinas formalus rizikos prisiėmimas, skaičių ir įsipareigojimų įvykdymą laiku.

Sutarčių pakeitimo sąnaudos neapsiriboja teisininko darbu. Jos apima pakartotinį tiekėjų vertinimą, derybas, auditus, sutartų parametrų stebėseną ir papildomų saugumo priemonių diegimą. Šias priklausomybes reikia įtraukti į biudžetą, aptariamą straipsnyje Kiek kainuoja NIS2 ir uKSC įgyvendinimas: kaip sudaryti audito, dokumentacijos, mokymų ir saugumo priemonių biudžetą išvengiant brangių klaidų. Sutartis savo funkciją atlieka tik tada, kai organizacija yra paskyrusi priežiūros savininką, kaupia įsipareigojimų vykdymo įrodymus ir turi nustatytą veiksmų tvarką paslaugai pasikeitus arba pasibaigus.

Priežiūra po sutarties pasirašymo

Pradinis vertinimas greitai praranda aktualumą, jeigu bendradarbiavimo metu keičiasi paslaugos apimtis, sprendimo architektūra, tiekėjo savininkas, duomenų tvarkymo vieta, subrangovai ar prieigos prie sistemų ir informacijos lygis. Todėl priežiūra turėtų apimti periodines peržiūras, kurių dažnumą lemia paslaugos kritiškumas, ir konkrečių įvykių inicijuojamus vertinimus. Didelį poveikį veiklos tęstinumui turintys tiekėjai turi būti tikrinami dažniau nei lengvai pakeičiamų paslaugų teikėjai, neturintys privilegijuotosios prieigos.

Stebėsenos ciklas turi turėti savininką, eskalavimo ribas ir privalomus įrašus. Nepakanka tikrinti vien paslaugos lygio parametrų. Juos reikia vertinti kartu su informacija apie incidentus, tęstinumo ir atkūrimo bandymų rezultatais, korekcinių veiksmų būkle, subrangovų pakeitimais ir požymiais, kad tiekėjo veiklos pajėgumas prastėja. Neplaninį pakartotinį vertinimą, be kita ko, turėtų inicijuoti:

• reikšmingas paslaugos apimties ar prieigos pakeitimas;
• duomenų tvarkymo perkėlimas;
• paslaugos teikimui poveikį darančio subrangovo pakeitimas;
• pasikartojantys paslaugos parametrų pažeidimai;
• neatitikties nepašalinimas nustatytu laiku;
• įvykis, rodantis nepakankamą reagavimo pajėgumą.

Teigiamai įvertintas tiekėjas po metų gali pradėti naudotis nauju duomenų centru arba perduoti dalį paslaugos subrangovui. Paslaugos pavadinimas ir deklaruojama apimtis nepasikeičia, tačiau pasikeičia techninės priklausomybės, duomenų tvarkymo vieta, atkūrimo būdas ir įrodymų prieinamumas. Nesant pranešimo apie tokius pakeitimus mechanizmo, organizacija prižiūri istorinį, o ne faktinį rizikos profilį. Naudingi rodikliai – paslaugos apimties, prieigos ar subrangovų pakeitimų, dėl kurių reikėjo pakartotinio vertinimo, skaičius, incidentų ir paslaugos parametrų pažeidimų skaičius bei sutartu laiku užbaigtų korekcinių veiksmų dalis.

Nustatyta neatitiktis nebūtinai reiškia, kad bendradarbiavimą reikia automatiškai nutraukti. Sprendžiant reikia atsižvelgti į neatitikties poveikį, jos pašalinimo trukmę, galimybę pakeisti paslaugą ir pereinamojo laikotarpio riziką. Organizacija gali įpareigoti tiekėją atlikti korekcinius veiksmus, taikyti kompensacines priemones, laikinai prisiimti riziką ir nustatyti pakartotinės peržiūros terminą, apriboti prieigos apimtį arba pradėti tiekėjo pakeitimo planą. Kiekvienam sprendimui turi būti paskirtas savininkas, nustatytas terminas, užbaigimo kriterijus ir veiksmingumą, o ne tik užduoties atlikimą patvirtinantis įrodymas.

Viso mechanizmo veiksmingumą reikia periodiškai tikrinti remiantis įrašais, reagavimo pratybomis ir organizacijos gebėjimu priimti sprendimus pasikeitus rizikai. Planuojant tokį patikrinimą gali būti naudingas straipsnis NIS2 auditas gamybos įmonėje: kaip patikrinti, ar organizacija pasirengusi naujiems įpareigojimams. Auditas turėtų patvirtinti ne tik peržiūrų grafiko buvimą, bet ir tai, ar įspėjamieji signalai lemia eskalavimą, neatitiktys uždaromos pagal nustatytus kriterijus, o tiekėjo rizika išlieka susieta su organizacijos procesų tęstinumu.

Auditui parengta tiekėjų vertinimo programa

Tiekėjų priežiūros programa auditui parengta tada, kai ji veikia kaip vientisas sprendimų priėmimo mechanizmas, o ne kaip klausimynų, sutartinių nuostatų ir išskaidytų registrų rinkinys. Minimali programos apimtis turėtų apimti tiekėjų registrą su procesinėmis ir techninėmis priklausomybėmis, segmentavimo kriterijus, sprendimų priėmimo vaidmenis, atskirų klasių reikalavimus, įrodymų vertinimą, sutartines taisykles, stebėseną, eskalavimą ir veiksmus nutraukiant bendradarbiavimą. Audito programa ir rizikos registras turėtų būti grindžiami tomis pačiomis klasifikacijomis, savininkų vaidmenimis ir rizikos priėmimo kriterijais.

Esant ribotiems ištekliams, bandomajai grupei reikėtų pasirinkti tiekėjus, aptarnaujančius kritinius procesus, turinčius privilegijuotąją prieigą arba sunkiai pakeičiamus. Vėliau vertinimo apimtį galima plėsti atsižvelgiant į rizikos lygį ir pirmųjų vertinimų rezultatus. Bandymas vienu metu įtraukti visą partnerių bazę paprastai didina administracines sąnaudas, nesukurdamas proporcingos vertės. Vadovybė turėtų patvirtinti vertinimų eiliškumą, spragų šalinimo planą bei biudžetą ir priimti sprendimus dėl rizikų, viršijančių nustatytus veiklos įgaliojimus.

Audito metu nuoseklus vieno sprendimo atsekamumas yra įtikinamesnis už išplėtotą procedūrą: tiekėjo klasifikavimas, reikalavimų pagrindimas, įvertinti įrodymai, tinkamos sutarties sąlygos, stebėsenos ir neatitikčių įrašai bei formalus rizikos prisiėmimas arba sprendimas dėl korekcinių veiksmų. Pasirengimą galima matuoti pagal programoje klasifikuotų ir įvertintų tiekėjų dalį, kritinių tiekėjų vertinimo grafiko įvykdymą ir rizikų, neturinčių savininko, reagavimo termino ar patvirtinto sprendimo, skaičių.

Nuorodos į standartus ir teisės aktus turėtų užbaigti proceso projektavimą, o ne pakeisti jo logiką. NIS2 reikalavimus reikia paversti atsakomybe, kriterijais, įrašais ir patikrinamais įrodymais, atsižvelgiant į taikytinus nacionalinius įgyvendinamuosius teisės aktus ir jų taikymo organizacijai apimtį. Šio požiūrio sektorinis pavyzdys pateiktas straipsnyje ISO 19443 – galimybė patekti į Lenkijos branduolinės energetikos tiekimo grandinę, kuriame tiekėjų kvalifikavimas ir priežiūra prisideda prie organizacijos gebėjimo saugiai įgyvendinti reikalavimus.