IT-szolgáltatói szerződés a NIS2 után: biztonsági kikötések, SLA és incidensbejelentés

A NIS2 utáni IT-szolgáltatói szerződés nem merülhet ki megfelelőségi nyilatkozatban, általános biztonsági kikötésben és havi rendelkezésre állási mutatóban. A szolgáltatási kockázatokat egyértelmű felelősségi renddé, mérhető szolgáltatási szintekké, gyors incidenskommunikációvá, hozzáférhető bizonyítékokká és végrehajtható kilépési tervvé kell alakítania. A kiindulópont a szolgáltatás kritikus jellege, valamint a felek közötti tényleges kontrollmegosztás. Csak ezek ismeretében határozható meg, milyen védelmi intézkedéseket, határidőket, ellenőrzési jogosultságokat és bejelentési kötelezettségeket kell a szerződésbe foglalni.

A szerződés mint kockázatkezelési kontroll

A szerződések felülvizsgálatát nem egy kész biztonsági klauzula átvételével, hanem a szervezeti beszállítói függőségek feltérképezésével célszerű kezdeni. Minden szolgáltatónál azonosítani kell az érintett szolgáltatásokat, folyamatokat, rendszereket, adatokat és helyszíneket, majd értékelni kell a kiesés vagy a biztonsági sérülés következményeit. Elsőként azokat a függőségeket kell elemezni, amelyek zavara leállíthatja a működést, akadályozhatja a kötelezettségek teljesítését vagy megnehezítheti az incidenskezelést. Nem minden IT-szolgáltatás indokol tehát azonos szerződéses biztosítékokat.

A szolgáltató kritikus jellegének besorolását az üzleti hatáselemzésre és a kockázatértékelésre kell alapozni, nem pusztán a szerződés értékére. Kiemelt figyelmet igényelnek azok a szolgáltatások, amelyek folytonosságáért és incidenskezeléséért a vállalkozás felel, miközben a helyreállításhoz szükséges műszaki információkat, eseménynaplókat, biztonsági mentéseket vagy környezetet a szolgáltató ellenőrzi. A szervezeten belül ki kell jelölni a szolgáltatóhoz kapcsolódó kockázat gazdáját is. Enélkül a beszerzés, az IT, az információbiztonság és a folyamattulajdonos felelőssége széttagolt marad.

A szerződés tartalmát működési zavarokra épülő forgatókönyvek alapján kell kialakítani: szolgáltatáskiesés, támadás, adatvesztés vagy adatsérülés, a szolgáltató munkatársainak elérhetetlensége, az alvállalkozói lánc megszakadása, illetve az együttműködés lezárása. Minden forgatókönyvnél rögzíteni kell a felek intézkedéseit, felelősségi körét, az információáramlást és a helyreállítás feltételeit. Ezekből vezethetők le a rendelkezésre állási szintek, a reagálási és helyreállítási idők, a szükséges dokumentáció és az ellenőrzési jogosultságok.

A magas rendelkezésre állás ígérete önmagában nem határozza meg, meddig lehet elérhetetlen egy termelésirányító rendszer, mikortól számítandó a kiesés, illetve ki biztosítja az incidens értékeléséhez szükséges adatokat. Nem garantál hozzáférést az eseménynaplók másolataihoz, az alvállalkozói információkhoz vagy a szolgáltatás biztonságos átadásához szükséges adatokhoz sem. Ezek a hiányosságok rendszerint üzemzavar idején válnak láthatóvá, amikor a felelősségmegosztás már nem maradhat hallgatólagos.

A NIS2-re vagy az irányadó nemzeti kiberbiztonsági követelményekre való hivatkozásnak a kockázatok és felelősségek elemzését kell lezárnia, nem pedig a szerződés operatív tartalmát helyettesítenie. A tágabb irányítási összefüggéseket a NIS2 a termelővállalatoknál: kiket érint, milyen kötelezettségeket vezet be, és hogyan készíthető fel a szervezet anélkül, hogy a kérdést kizárólag IT-feladattá szűkítenénk című anyag mutatja be. A szerződésmódosítások körét minden esetben a szervezet szerepéhez, a szolgáltatás kritikus jellegéhez és a felek közötti tényleges kontrollmegosztáshoz kell igazítani.

A szolgáltatás hatóköre és a felelősségek

A feladatmegosztást műszaki mellékletben kell részletezni, nem elegendő a szerződés tárgyának általános meghatározásában hagyni. A mellékletnek fel kell sorolnia az érintett eszközöket és környezeteket, az adattípusokat, az adatkezelés és szolgáltatásnyújtás helyszíneit, az interfészeket, a támogatási időszakokat és a kizárásokat. Ezek nélkül nem állapítható meg egyértelműen, hol ér véget a szolgáltató felelőssége, mely esemény indítja el az SLA mérését, és ki védi a rendszerek közötti kapcsolódási pontokat.

A biztonsági intézkedéseket célszerű az elvárt eredmény, a felelős fél és a teljesítést igazoló bizonyíték alapján meghatározni, míg a technológiai részleteket felügyelt műszaki dokumentációban lehet kezelni. Ez csökkenti a szerződés gyors elavulásának kockázatát. A szolgáltató szabványos kontrollkatalógusa csak akkor fogadható el, ha azt összevetették az adott szolgáltatás kockázataival, és a feltárt hiányosságokat pótolták. A felelősségi mátrixnak el kell különítenie a kontroll tulajdonosát, végrehajtóját és az eltérések jóváhagyóját.

Ha a környezetet a szolgáltató adminisztrálja, a szerződésnek a kiemelt jogosultságú hozzáférést is szabályoznia kell: a feladatok szétválasztását, a hitelesítés módját, az adminisztratív műveletek naplózását, valamint a jogosultságok haladéktalan visszavonását szerepkörváltás vagy az együttműködés megszűnése esetén. A biztonsági mentések készítéséről szóló nyilatkozat nem elegendő, ha az ügyfél nem tudja, ki titkosítja és hol tárolja a mentéseket, ki végezheti el a helyreállítást, és mely dokumentum igazolja a helyreállítási próba eredményét.

A szolgáltatónak naprakész nyilvántartást kell vezetnie a szolgáltatásra hatást gyakorló alvállalkozókról, szerepük és az adatkezelés helyszíneinek feltüntetésével, továbbá velük szemben legalább az ügyféllel egyeztetett követelményeket kell érvényesítenie. A szerződésben el kell különíteni az előzetes hozzájárulást igénylő változásokat azoktól, amelyeknél elegendő az értesítés és az ismételt kockázatértékelés. Egy irányítási rendszer tanúsítványa támogathatja az értékelést, de nem helyettesíti az adott szolgáltatásra meghatározott felelősséget. Ezt az összefüggést részletesebben a NIS2 és MSZ EN ISO 27001: mit igazol a tanúsítvány, és mi hiányozhat még a nemzeti követelmények teljesítéséhez című anyag ismerteti.

Ellenőrizhető biztonsági kikötések

Egy biztonsági kikötés akkor válik számonkérhetővé, ha meghatározza az elvárt eredményt, az alkalmazási kört, a végrehajtás gyakoriságát, a teljesítés igazolásának módját és az eltérések kezelésének rendjét. A „legjobb gyakorlatok szerint” vagy „kellő gondossággal” megfogalmazások kiegészíthetik a követelményeket, de önmagukban nem teszik megítélhetővé, hogy a szolgáltató megfelelően teljesítette-e vállalását. Minden kontrollnál meg kell nevezni a követelmény gazdáját, a bizonyítékok megőrzési idejét és a kivétel elfogadására jogosult felet.

Az így kialakított követelményeknek legalább a sérülékenységek és frissítések felügyeletére, a biztonságos konfiguráció fenntartására, a titkosításra, az eseménynaplók védelmére és megőrzésére, a biztonsági mentésekre, a helyreállítási próbákra, a változáskezelésre és a hozzáférés-szabályozásra ki kell terjedniük. A jogosultság-felülvizsgálatok, helyreállítási próbák és jelentések gyakoriságát, valamint a sérülékenységek kezelésének határidejét a szolgáltatás kockázatértékeléséből kell levezetni. Ezek nem lehetnek automatikusan azonosak minden szolgáltatónál.

Minden eltérést nyilvántartásba kell venni, az indoklás, a megszüntetési határidő, a kockázatgazda és a kompenzáló kontrollok feltüntetésével. Jóváhagyásuk előtt értékelni kell, hogy a helyettesítő intézkedések valóban a szervezet által elfogadott szintre csökkentik-e a kockázatot.

A rendszeres biztonsági mentésre vonatkozó kikötés hiányos marad, ha nem határozza meg a mentésbe bevont adatokat és rendszereket, a megőrzési időt, a módosítás vagy törlés elleni védelmet, a hozzáférési szabályokat és a helyreállítási próbák gyakoriságát. Azt is rögzíteni kell, hogyan jelenti a szolgáltató a sikertelen mentést vagy próbát, ki hagyja jóvá a korrekciós intézkedést, és mely jelentés igazolja annak lezárását. Ugyanígy a sérülékenységek megszüntetésére vonatkozó kötelezettséghez szükséges az osztályozási módszer, a kockázatarányos reagálási határidők, a frissítések halasztási szabályai és az ideiglenes védelmi intézkedések dokumentálása.

A bizonyítékokat időszakosan átadandó, illetve kérésre hozzáférhető anyagokra célszerű bontani. Az első csoportba tartozhatnak a sérülékenységi összefoglalók, frissítési jelentések, helyreállítási próbaeredmények és jogosultság-felülvizsgálati igazolások. Incidens, jelentős változás vagy eltérés esetén szükség lehet részletes vizsgálati eredményekre, eseménynaplókra, változástörténetre, kivétel-nyilvántartásra és helyesbítő intézkedési tervre. Ezen anyagok körét, felelőseit és megőrzési idejét célszerű összekapcsolni a NIS2-dokumentáció ellenőrzés előtt: milyen szabályzatokra, nyilvántartásokra és bizonyítékokra van ténylegesen szükség című anyagban ismertetett elvekkel.

Az ellenőrzési jogokat fokozatosan, felhőszolgáltatók esetén is végrehajtható módon kell kialakítani. Az első szint dokumentumvizsgálatot és tisztázó megbeszélést jelenthet, a következő független jelentéseket vagy egyeztetett teszteket, míg helyszíni audit emelt kockázat, jelentős incidens vagy nem megfelelő bizonyíték esetére tartható fenn. A szerződésnek szabályoznia kell a határidőket, a bizalmas kezelést, a műszaki hatókört és a megállapítások kezelését, ugyanakkor nem biztosíthat az ügyfélnek közös infrastruktúrában végrehajthatatlan jogosultságokat.

Az ellenálló képességet támogató SLA, nem csupán rendelkezésre állás

Az SLA-t üzleti hatáselemzésből, nem pedig a szolgáltató szabványos paraméterkatalógusából kell levezetni. A folyamattulajdonosnak először meg kell határoznia az elfogadható kiesési időt, a megengedhető adatvesztést, továbbá a leállás termelésre, ügyfélkiszolgálásra, elszámolásokra és jogi kötelezettségekre gyakorolt hatását. Csak ezt követően állapíthatók meg a helyreállítási időcélok, a helyettesítő szolgáltatás és a vészüzem követelményei, valamint a hibajegyek prioritásai. A havi rendelkezésre állási mutató nem mutatja meg, hogy egy kritikus időpontban bekövetkező egyszeri kiesés hosszabb időre állítja-e le a folyamatot, mint amit a szervezet el tud fogadni.

A rendelkezésre állás mellett a szerződésnek rögzítenie kell a bejelentés visszaigazolásának, a diagnosztika megkezdésének, a funkció helyreállításának és a kiváltó ok megszüntetésének idejét, továbbá a helyzetjelentések gyakoriságát, az eszkalációs szinteket és a rendes munkaidőn kívüli működést. A reakcióidő nem azonos a helyreállítási idővel, és egy átmeneti megoldás bevezetése sem jelenti a probléma teljes megszüntetését. A fogalmak elkülönítése lehetővé teszi, hogy az operatív csapat tudja, mikor folytathatja a munkát, a szolgáltatásgazda pedig azt, mikorra kell a szolgáltatónak befejeznie a gyökérok-elemzést és tartós helyesbítő intézkedést bevezetnie.

Egy termelési folyamatot vezérlő rendszer kritikus incidense azonnali eszkalációt és a vészüzem elindításáig folyamatos kommunikációt tehet szükségessé. Ugyanez a hiba egy oktatási környezetben alacsonyabb prioritást kaphat. A besorolást ezért az üzleti hatásra, nem pusztán a hiba műszaki leírására kell alapozni. Ha a szervezet megbízható előzményadatokkal rendelkezik, a küszöbértékek meghatározásakor figyelembe kell vennie a tényleges reagálási és helyreállítási időket, a rendelkezésre állási eredményeket és az ismétlődő hibák számát.

A mérési mechanizmusnak meg kell határoznia az adatforrást, az időzónát, a mérés kezdetét és végét, az egyeztetett szolgáltatási időket, a karbantartási ablakokat és az incidensbesorolás módosításának szabályait. A mérésből kizárt eseményeket zárt és ellenőrizhető jegyzékben kell rögzíteni. A kizárások nem terjedhetnek ki a szolgáltató felelősségi körében maradó eseményekre. Az operatív felkészültséggel való összhang a NIS2-audit termelővállalatnál – hogyan ellenőrizhető, hogy a szervezet felkészült-e az új kötelezettségekre keretében értékelhető.

A szolgáltatási jóváírások és jelképes kompenzációk nem állítják helyre a folyamatot, és nem mérséklik a leállás hatásait. Nagyobb jelentősége van a helyreállítási terv benyújtására vonatkozó kötelezettségnek, a vezetői eszkalációnak, a további ellenálló-képességi próbáknak, valamint a szerződés megszüntetésére biztosított jognak, ha a szolgáltató tartósan vagy ismételten nem teljesíti az elfogadott szinteket. A pénzügyi szankció erősítheti az elszámoltathatóságot, de nem helyettesíti a szolgáltatás helyreállítását, a kiváltó ok megszüntetését és az ismétlődés megelőzését.

Incidensek és bejelentési kötelezettségek

A szerződésnek elő kell írnia, hogy a szolgáltató haladéktalanul jelezzen minden olyan eseményt, amely hatással lehet a szolgáltatásra, az adatokra, az üzletmenet-folytonosságra vagy az ügyfél biztonságára. Az első értesítés nem tehető függővé a kiváltó ok, a kár mértéke vagy az esemény jogi minősítésének teljes bizonyosságú megállapításától. A szerződéses határidőt úgy kell kialakítani, hogy az ügyfélnek elegendő ideje maradjon saját értékelésére és az esetleges külső bejelentési határidők betartására. A határidőt a szolgáltatás kritikus jellege és a folyamatosan elérhető kapcsolattartási pont rendelkezésre állása alapján, nem pedig a felek szervezeti kényelme szerint kell meghatározni.

Az információáramlást első figyelmeztetésre, helyzetjelentésekre, esemény utáni jelentésre és gyökérok-elemzésre kell bontani. Minden szakaszban meg kell határozni az adatok körét, az engedélyezett csatornát, a címzetteket, a frissítések gyakoriságát és az elérhetetlenség esetén alkalmazandó eszkalációt. Az első értesítésnek legalább az észlelés időpontját, az érintett eszközöket és szolgáltatásokat, a várható hatást, a megtett intézkedéseket, a rendelkezésre álló műszaki indikátorokat, a továbbterjedés kockázatának értékelését és a következő frissítés időpontját tartalmaznia kell. A kapcsolattartói jegyzékben helyetteseket is fel kell tüntetni, és annak működőképességét időszakosan, a rendes munkaidőn kívül is ellenőrizni kell.

Ha a szolgáltató szokatlan hálózati forgalmat észlel egy kulcsfontosságú alkalmazást működtető környezetben, még annak eldöntése előtt figyelmeztetnie kell az ügyfelet, hogy történt-e tényleges biztonsági sérülés. Az ügyfél aktiválja saját incidenskezelési folyamatát, kijelöli a döntések felelősét, bevonja az incidenskezelő csapatot és adott esetben a biztosítót, továbbá meghatározza, ki hagyja jóvá a külső bejelentést és az ügyfélkommunikációt. A szolgáltató megőrzi az egyeztetett naplókat és műszaki nyomokat, támogatja az elemzést, a hatások korlátozását és az esemény kiterjedésének megállapítását, de nem veszi át az ügyfél hatósági felelősségét.

A kikötésekben szabályozni kell a bizonyítékok megőrzését és hozzáférhetővé tételét, integritásuk védelmét, a döntések dokumentálását, valamint a bejelentésekhez és a későbbi gyökérok-elemzéshez szükséges adatok előkészítését. A külső bejelentések határidejét, címzettjeit és tartalmát minden esetben az aktuális jogi helyzet, a szervezet státusza és az esemény jellege alapján kell ellenőrizni. Az értesítések, döntések, eszkalációk és intézkedések nyilvántartását össze kell kapcsolni a NIS2-dokumentáció ellenőrzés előtti felkészítéséről szóló anyaggal, a megfelelési ütemezést pedig a NIS2 bevezetése a nemzeti nyilvántartásba vétel után – intézkedési terv 2027. április 3-ig című útmutatóval.

Bevezetés, felügyelet és biztonságos kilépés

A szerződésmódosítás aláírása nem zárja le a szolgáltatóirányítás folyamatát. A szerződés gazdájának rendszeresen felül kell vizsgálnia az SLA-eredményeket, az incidenseket, az eltéréseket, a helyesbítő intézkedéseket, az alvállalkozói változásokat és a követelmények teljesítését igazoló bizonyítékok aktualitását. A felügyelet alapja olyan szerződésnyilvántartás, amely legalább a megújítás időpontját, a felelőst, a szolgáltatás kritikus besorolását és a biztonsági intézkedések egyeztetettségi állapotát tartalmazza. A megfelelőségi nyilatkozat nem helyettesíti a jelentéseket, a vizsgálati eredményeket és a kötelezettségek teljesítését igazoló feljegyzéseket.

A szerződés megújítása vagy a szolgáltatás lényeges módosítása előtt ismételten értékelni kell annak kritikus jellegét, műszaki és folyamatfüggőségeit, az egy szolgáltatónál kialakuló koncentrációt, a kontrollok végrehajthatóságát és az alternatív megoldásra való áttérés lehetőségét. A felülvizsgálat alapján eldönthető, hogy elegendő-e a szerződés módosítása, vagy új beszerzési eljárás szükséges. Ha egy stratégiai szolgáltató elutasítja az auditot vagy a feltételek módosítását, a szervezetnek dokumentálnia kell a hiányosságot, majd választania kell a kompenzáló kontroll bevezetése, a fennmaradó kockázat formális elfogadása vagy a szolgáltatóváltás között.

A kilépési tervnek már a felmondás előtt végrehajthatónak kell lennie. Ki kell terjednie az adatok használható formátumban történő visszaadására és átvitelére, a migráció támogatására, az átmeneti időszak folytonosságára, a hozzáférések visszavonására, a másolatok törlésére és e lépések igazolására. Ezzel egyidejűleg meg kell őrizni a jogi, bizonyítási és auditcélból szükséges feljegyzéseket. Gyakorlati ellenőrzésként próba-visszaállítás végezhető egy másik szolgáltatónál, az adatok teljességének, a migrációs időnek és a korábbi fiókok kikapcsolhatóságának vizsgálatával.

A szerződésállomány korszerűsítését a legnagyobb üzleti hatású szolgáltatásokkal kell kezdeni, a hiányosságokat pedig következményük és sürgősségük szerint kell rangsorolni. A kialakított mechanizmusok eredményességét incidensgyakorlattal és mintavételes bizonyítékaudittal célszerű ellenőrizni. Az SLA-k, incidensek, eltérések, helyesbítő intézkedések és kilépési próbák felülvizsgálati eredményei mutatják meg, hogy a követelmények a gyakorlatban is működnek-e, vagy csak szerződéses szövegként léteznek.

Az értékelés köre összekapcsolható a NIS2-audit termelővállalatnál – hogyan ellenőrizhető, hogy a szervezet felkészült-e az új kötelezettségekre című anyaggal. A szervezet kötelezettségeit minden esetben a státuszának figyelembevételével kell meghatározni, amelyet a NIS2 irányelv – kikre vonatkozik, és mely vállalkozásoknak kell teljesíteniük az új követelményeket? című anyag ismertet.