NIS2 kontekstis ei tohiks IT-teenusepakkujaga sõlmitud leping piirduda vastavusdeklaratsiooni, üldise turvaklausli ja igakuise käideldavusnäitajaga. Teenusega seotud riskid tuleb lepingus siduda üheselt määratud vastutuse, mõõdetavate teenustasemete, kiire intsidenditeavituse, tõenditele juurdepääsu ja praktiliselt teostatava väljumisplaaniga. Lähtekoht on teenuse kriitilisus ning pooltevaheline tegelik kontrollijaotus. Alles selle põhjal saab määrata lepingusse lisatavad turvameetmed, tähtajad, kontrolliõigused ja teavitamiskohustused.
Leping kui riskijuhtimise kontrollimehhanism
Lepingute ülevaatamist ei tule alustada valmis turvaklausli mallist, vaid organisatsiooni tarnijasõltuvuste kaardistamisest. Iga teenusepakkuja puhul tuleb kindlaks määrata toetatavad teenused, protsessid, süsteemid, andmed ja asukohad ning seejärel hinnata käideldavuse katkemise või turvarikkumise mõju. Esmajärjekorras analüüsitakse sõltuvusi, mille häire võib peatada tegevuse, piirata kohustuste täitmist või raskendada intsidendi lahendamist. Seetõttu ei vaja kõik IT-teenused ühesuguseid lepingulisi kaitsemeetmeid.
Teenusepakkuja kriitilisuse klassifikatsioon peab lähtuma katkestuse ärimõju analüüsist ja riskihinnangust, mitte üksnes lepingu maksumusest. Erilist tähelepanu vajavad teenused, mille toimepidevuse ja intsidentide käsitlemise eest vastutab ettevõte, kuid mille tehniline teave, sündmuslogid, varukoopiad või taastamiseks vajalik keskkond on teenusepakkuja kontrolli all. Organisatsioon peab määrama ka teenusepakkujaga seotud riski omaniku. Ilma selle rollita jääb vastutus hangete, IT, infoturbe ja protsessiomaniku vahel hajusaks.
Lepingu sisu tuleb kujundada häirestsenaariumide alusel: teenuse rike, küberrünne, andmete kadumine või kahjustumine, teenusepakkuja töötajate kättesaamatus, alltöövõtuahela katkemine ja koostöö lõpetamine. Iga stsenaariumi puhul tuleb kirjeldada poolte tegevused, vastutuse ulatus, infovahetus ja taastamise tingimused. Nendest kokkulepetest tulenevad käideldavustasemed, reageerimis- ja taastamisajad, nõutava dokumentatsiooni ulatus ning kontrolliõigused.
Lubadus tagada kõrge käideldavus ei selgita, kui kaua võib tootmist juhtiv süsteem olla kättesaamatu, millisest hetkest katkestuse aega arvestatakse ega kes esitab intsidendi hindamiseks vajalikud andmed. Samuti ei taga see juurdepääsu sündmuslogide koopiatele, alltöövõtjate teabele või andmetele, mida on vaja teenuse turvaliseks üleviimiseks. Sellised lüngad ilmnevad tavaliselt rikke ajal, kui vastutuse jaotus ei saa enam jääda eelduslikuks.
Viide NIS2-le või kohaldatavatele KSC nõuetele peab riskide ja vastutuse analüüsi täiendama, mitte asendama lepingu operatiivset sisu. Laiemat juhtimiskonteksti käsitleb materjal NIS2 tootmisettevõtetele: kellele see kohaldub, millised kohustused lisanduvad ja kuidas valmistada organisatsioon ette nii, et teema ei piirduks ainult IT-ga. Lepingumuudatuste ulatus tuleb iga kord kohandada organisatsiooni rolli, teenuse kriitilisuse ja pooltevahelise tegeliku kontrollijaotusega.
Teenuse ulatus ja vastutuse jaotus
Kohustuste jaotus tuleb kirjeldada tehnilises lisas, mitte jätta lepingu eseme üldise määratluse tasemele. Lisa peab nimetama teenindatavad varad ja keskkonnad, andmeliigid, andmetöötluse ja teenuse osutamise asukohad, liidesed, toe tööajad ning välistused. Ilma selle teabeta ei saa üheselt määrata, kus lõpeb teenusepakkuja vastutus, milline sündmus käivitab SLA mõõtmise ega kes kaitseb süsteemide kokkupuutepunktides asuvaid komponente.
Turvameetmeid on otstarbekas kirjeldada nõutava tulemuse, vastutava poole ja täitmist kinnitava tõendi kaudu, jättes tehnoloogilised üksikasjad kontrollitud tehnilisse dokumentatsiooni. See vähendab lepingu kiire vananemise riski. Teenusepakkuja standardse turvameetmete kataloogi saab aktsepteerida alles pärast selle võrdlemist konkreetse teenuse riskidega ja tuvastatud lünkade kõrvaldamist. Vastutusmaatriks peab eristama kontrollimeetme omanikku, rakendajat ja erandite heakskiitjat.
| Valdkond | Tellija | Teenusepakkuja või alltöövõtja | Nõutav tõend |
|---|---|---|---|
| Juurdepääsud ja konfiguratsioon | Kinnitab rollid ja nõuded | Annab, registreerib ja tühistab õigused; haldab konfiguratsiooni | Juurdepääsuõiguste register, ülevaatuste protokollid, muudatuste ajalugu |
| Uuendused, nõrkused ja kaitse pahavara eest | Määrab lubatud hooldusaknad ja erandid | Seirab, hindab ja rakendab kaitsemeetmeid | Nõrkuste aruanne, uuenduste ja erandite register |
| Sündmuste logimine | Määrab logide nõutava ulatuse ja kättesaadavuse | Kogub, kaitseb ja teeb logid kättesaadavaks | Logide näidis ning säilitusaja ja juurdepääsukontrolli kinnitus |
| Varundamine ja taastamine | Määrab toimepidevuse nõuded | Teeb varukoopiaid ja korraldab taastamisteste | Varundamise ja taastamistesti aruanne |
| Andmete kustutamine | Kinnitab ulatuse ja tähtaja | Kustutab andmed ja nende koopiad kokkulepitud meetodil | Kustutamisakt või muu kustutamistõend |
Kui keskkonda haldab teenusepakkuja, peab leping täiendavalt reguleerima privilegeeritud juurdepääsu: ülesannete lahusust, autentimisviisi, administraatorite tegevuste logimist ning õiguste viivitamatut tühistamist rolli muutumisel või koostöö lõppemisel. Pelgalt kinnitus varukoopiate tegemise kohta ei ole piisav, kui klient ei tea, kes neid krüpteerib, kus neid säilitatakse, kellel on taastamisõigus ja milline dokument tõendab taastamistesti tulemust.
Teenusepakkuja peab pidama ajakohast nimekirja teenust mõjutavatest alltöövõtjatest koos nende rollide ja andmetöötluse asukohtade kirjeldusega ning kehtestama neile kliendiga kokkulepitust mitte leebemad nõuded. Lepingus tuleb eristada muudatusi, mis vajavad eelnevat nõusolekut, ja muudatusi, mille puhul piisab teavitamisest ning riski uuest hindamisest. Juhtimissüsteemi sertifikaat võib hindamist toetada, kuid ei asenda konkreetse teenuse kohta kokku lepitud vastutust. Seda seost käsitleb põhjalikumalt materjal NIS2 ja EVS EN ISO 27001: mida sertifikaat annab ning millest jääb KSC nõuete täitmiseks veel puudu.
Kontrollitavad turvaklauslid
Turvaklausel muutub hinnatavaks alles siis, kui selles on määratud oodatav tulemus, kohaldamisala, tegevuse sagedus, täitmise tõendamise viis ja erandite käsitlemise kord. Väljendid „kooskõlas parimate tavadega” või „nõuetekohase hoolsusega” võivad nõudeid täiendada, kuid nende alusel ei saa hinnata, kas teenusepakkuja täitis kohustuse korrektselt. Iga kontrollimeetme puhul tuleb määrata nõude omanik, tõendite säilitusaeg ja pool, kellel on õigus erand heaks kiita.
Selliselt koostatud nõuded peavad hõlmama vähemalt nõrkuste ja uuenduste haldust, turvalise konfiguratsiooni säilitamist, krüpteerimist, sündmuslogide kaitset ja säilitamist, varundamist, taastamisteste, muudatuste haldust ning juurdepääsukontrolli. Juurdepääsuõiguste ülevaatuse, taastamistestide ja aruandluse sagedus ning nõrkuste kõrvaldamise tähtajad tuleb määrata teenuse riskihinnangu põhjal. Need ei peaks olema kõigile teenusepakkujatele ühesugused.
Kõik kõrvalekalded tuleb kanda registrisse koos põhjenduse, kõrvaldamistähtaja, riski omaniku ja kompenseerivate meetmetega. Erandi heakskiitmisel tuleb hinnata, kas asendusmeetmed vähendavad riski tegelikult organisatsiooni aktsepteeritud tasemeni.
Nõue teha regulaarselt varukoopiaid jääb puudulikuks, kui selles ei määrata varundatavaid andmeid ja süsteeme, säilitusaega, kaitset muutmise või kustutamise eest, juurdepääsureegleid ega taastamistestide sagedust. Samuti peab olema kirjeldatud, kuidas teenusepakkuja teatab ebaõnnestunud varundamisest või testist, kes kinnitab parandusmeetmed ja millise aruandega tõendatakse nende lõpetamist. Samamoodi tuleb nõrkuste kõrvaldamise kohustuses määrata klassifitseerimise viis, riskist sõltuvad reageerimistähtajad, uuenduste edasilükkamise reeglid ja ajutiste kaitsemeetmete dokumenteerimine.
Tõendid tuleb jagada perioodiliselt esitatavateks ja nõudmisel kättesaadavaks tehtavateks. Esimesse rühma võivad kuuluda nõrkuste koondaruanded, uuenduste aruanded, taastamistestide tulemused ja juurdepääsuõiguste ülevaatuste kinnitused. Intsidendi, olulise muudatuse või kõrvalekalde korral võivad olla vajalikud üksikasjalikud testitulemused, sündmuslogid, muudatuste ajalugu, erandite register ja parandusmeetmete plaan. Nende materjalide ulatus, omanikud ja säilitusaeg on otstarbekas siduda põhimõtetega, mida kirjeldab materjal NIS2 ja KSC dokumentatsioon enne kontrolli: milliseid põhimõtteid, registreid ja tõendeid tegelikult vajatakse.
Kontrolliõigus peab olema astmeline ja reaalselt rakendatav ka pilveteenuse pakkuja puhul. Esimene tase võib hõlmata dokumentide ülevaatust ja selgitavat kohtumist, järgmine sõltumatuid aruandeid või kokkulepitud teste. Kohapealse auditi võib reserveerida kõrgendatud riski, olulise intsidendi või usaldusväärsete tõendite puudumise puhuks. Leping peab reguleerima tähtaegu, konfidentsiaalsust, tehnilist ulatust ja leidude kõrvaldamist, andmata kliendile õigusi, mida ei ole jagatud keskkonnas võimalik teostada.
SLA peab toetama vastupidavust, mitte ainult käideldavust
SLA peab põhinema ärimõju analüüsil, mitte teenusepakkuja standardsete parameetrite kataloogil. Protsessiomanik määrab esmalt talutava katkestusaja, lubatava andmekao ning kättesaamatuse mõju tootmisele, klienditeenindusele, arveldustele ja õiguslike kohustuste täitmisele. Alles seejärel määratakse taastamisaja eesmärgid, asendusteenuse ja avariirežiimi nõuded ning pöördumiste prioriteedid. Igakuine käideldavusnäitaja ei vasta küsimusele, kas üks kriitilisel hetkel toimuv rike võib peatada protsessi kauemaks, kui organisatsioon suudab taluda.
Lisaks käideldavusele peab leping määrama pöördumise kinnitamise, diagnoosi alustamise, funktsiooni taastamise ja algpõhjuse kõrvaldamise aja, teavituste sageduse, eskalatsioonitasemed ning töökorralduse väljaspool tavapärast tööaega. Reageerimisaeg ei ole sama mis taastamisaeg ning ajutise lahenduse kasutuselevõtt ei tähenda probleemi lõplikku kõrvaldamist. Mõistete eristamine võimaldab operatiivmeeskonnal teada, millal töövõime taastub, ja teenuse omanikul hinnata, millal teenusepakkuja lõpetab algpõhjuse analüüsi ning rakendab püsiva parandusmeetme.
Tootmisprotsessi juhtiva süsteemi kriitiline intsident võib nõuda viivitamatut eskalatsiooni ja pidevat infovahetust kuni avariirežiimi käivitamiseni. Sama tehniline viga koolituskeskkonnas võib saada madalama prioriteedi. Klassifikatsioon peab seetõttu põhinema ärimõjul, mitte üksnes vea tehnilisel kirjeldusel. Usaldusväärsete ajalooliste andmete olemasolul tuleb lävendite määramisel arvestada tegelikke reageerimis- ja taastamisaegu, käideldavustulemusi ning korduvate rikete arvu.
Mõõtmismehhanism peab määrama andmeallika, ajavööndi, arvestuse algus- ja lõpphetke, kokkulepitud teenindusajad, hooldusaknad ning intsidendiklassi muutmise reeglid. Mõõtmisest välistatavad juhtumid tuleb esitada suletud ja kontrollitava loeteluna. Välistused ei tohi hõlmata sündmusi, mis jäävad teenusepakkuja vastutusalasse. Kokkulepete vastavust tegelikule operatiivsele valmisolekule saab hinnata materjalis NIS2 audit tootmisettevõttes – kuidas kontrollida organisatsiooni valmisolekut uuteks kohustusteks kirjeldatud lähenemisviisi abil.
Teenusekrediidid ega sümboolsed hüvitised ei taasta protsessi ega vähenda seisaku mõju. Olulisemad on kohustus esitada parendusplaan, juhtimistasandi eskalatsioon, täiendavad vastupidavustestid ja õigus leping lõpetada, kui kokkulepitud teenustasemeid püsivalt või korduvalt ei täideta. Rahaline sanktsioon võib vastutust tugevdada, kuid ei asenda teenuse taastamise, algpõhjuste kõrvaldamise ja korduvate rikete ennetamise mehhanismi.
Intsident ja teavitamiskohustused
Leping peab kohustama teenusepakkujat viivitamata teatama igast sündmusest, mis võib mõjutada teenust, andmeid, toimepidevust või kliendi turvalisust. Esmateavitust ei tohi seada sõltuvusse põhjuse, kahju ulatuse või sündmuse õigusliku kvalifikatsiooni täielikust kinnitamisest. Lepinguline tähtaeg tuleb määrata piisava varuga, et klient saaks teha oma hindamise ja täita võimalikud välised teavitustähtajad. Tähtaeg peab lähtuma teenuse kriitilisusest ja ööpäevaringse kontaktpunkti olemasolust, mitte poolte organisatsioonilisest mugavusest.
Infovahetus tuleb jagada esialgseks hoiatuseks, olukorra uuendusteks, sündmusejärgseks aruandeks ja algpõhjuse analüüsiks. Iga etapi puhul tuleb määrata andmete ulatus, lubatud kanal, adressaadid, uuenduste sagedus ja eskalatsioonireeglid juhuks, kui kontakt puudub. Esimene teade peab sisaldama vähemalt avastamise aega, mõjutatud varasid ja teenuseid, eeldatavat mõju, rakendatud meetmeid, olemasolevaid tehnilisi indikaatoreid, edasise leviku riskihinnangut ja järgmise uuenduse aega. Kontaktide nimekiri peab sisaldama asendajaid ning seda tuleb perioodiliselt testida ka väljaspool tavapärast tööaega.
Kui teenusepakkuja tuvastab võtmerakendust majutavas keskkonnas ebatavalise liikluse, peab ta klienti hoiatama enne seda, kui on lõplikult kindlaks tehtud, kas rikkumine tegelikult toimus. Klient käivitab oma intsidendihalduse protsessi, määrab otsuste eest vastutava isiku, kaasab reageerimismeeskonna ning vajaduse korral kindlustusandja ja otsustab, kes kinnitab välise teavituse ning kliendikommunikatsiooni. Teenusepakkuja säilitab kokkulepitud logid ja tehnilised jäljed ning toetab analüüsi, mõju piiramist ja sündmuse ulatuse määramist, kuid ei võta üle kliendi regulatiivset vastutust.
Klauslid peavad määrama ka tõendite säilitamise ja kättesaadavaks tegemise, nende tervikluse kaitsmise, otsuste dokumenteerimise ning väliste teadete ja hilisema algpõhjuse analüüsi jaoks vajalike andmete ettevalmistamise korra. Väliste teavituste tähtajad, adressaadid ja sisu tuleb igal juhul kontrollida kehtiva õiguse, organisatsiooni staatuse ja sündmuse liigi alusel. Teavituste, otsuste, eskalatsioonide ja tegevuste registrid tuleb siduda materjaliga „NIS2 ja KSC dokumentatsioon enne kontrolli: milliseid põhimõtteid, registreid ja tõendeid tegelikult vajatakse” ning kohandamise ajakava materjaliga NIS2 rakendamine pärast KSC nimekirja kandmist – tegevuskava kuni 3. aprillini 2027.
Rakendamine, järelevalve ja turvaline väljumine
Lepingu lisa allkirjastamine ei lõpeta teenusepakkuja juhtimise protsessi. Lepingu omanik peab perioodiliselt üle vaatama SLA tulemused, intsidendid, kõrvalekalded, parandusmeetmed, alltöövõtjate muudatused ja nõuete täitmist kinnitavate tõendite ajakohasuse. Järelevalve aluseks on lepinguregister, mis sisaldab vähemalt uuendamise kuupäeva, omanikku, teenuse kriitilisust ja turvameetmete kokkuleppimise staatust. Vastavusdeklaratsioon ei asenda aruandeid, testitulemusi ega kohustuste täitmist kinnitavaid kirjeid.
Enne lepingu pikendamist või teenuse olulist muutmist tuleb uuesti hinnata selle kriitilisust, tehnilisi ja protsessisõltuvusi, teenuste koondumist ühe pakkuja kätte, turvameetmete teostatavust ning võimalust minna üle asenduslahendusele. Selle ülevaatuse põhjal saab otsustada, kas piisab lepingu lisast või on vaja uut hankemenetlust. Kui strateegiline teenusepakkuja keeldub auditist või tingimuste muutmisest, peab organisatsioon lünga dokumenteerima ja valima kompenseeriva meetme rakendamise, jääkriski ametliku aktsepteerimise või teenusepakkuja vahetamise vahel.
Väljumisplaan peab olema teostatav juba enne lepingu ülesütlemist. See peab hõlmama andmete tagastamist ja ülekandmist kasutatavas vormingus, migratsioonituge, toimepidevuse säilitamist üleminekuperioodil, juurdepääsuõiguste tühistamist, koopiate kustutamist ning nende tegevuste täitmise kinnitamist. Samal ajal tuleb säilitada õiguslikel, tõenduslikel ja auditi eesmärkidel vajalikud kirjed. Praktiline kontroll on andmete proovitaastamine teise teenusepakkuja juures koos andmete täielikkuse, migratsiooniaja ja seniste kontode sulgemise võimaluse hindamisega.
Lepinguportfelli ajakohastamist tuleb alustada teenustest, mille mõju tegevusele on suurim, ning lüngad tuleb järjestada tagajärgede ja kiireloomulisuse järgi. Rakendatud mehhanismide tõhusust tasub kontrollida intsidendiõppusel ja tõendite valimi auditis. SLA ülevaatuste, intsidentide, kõrvalekallete, parandusmeetmete ja väljumistestide tulemused näitavad, kas nõuded toimivad praktikas või jäävad üksnes lepingutekstiks.
Hindamise ulatuse võib siduda materjaliga „NIS2 audit tootmisettevõttes – kuidas kontrollida organisatsiooni valmisolekut uuteks kohustusteks”. Organisatsiooni kohustuste määramisel tuleb arvestada ka selle staatust, mida käsitleb materjal NIS2 direktiiv – kellele see kohaldub ja millised ettevõtted peavad uusi nõudeid täitma?
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
