Η ασφάλεια της εφοδιαστικής αλυσίδας δεν ξεκινά με την αποστολή του ίδιου ερωτηματολογίου σε όλους τους συνεργάτες. Προηγείται ο προσδιορισμός των προμηθευτών από τους οποίους εξαρτώνται οι διεργασίες του οργανισμού, του επιπέδου πρόσβασης που τους παρέχεται και των συνεπειών που θα είχε η μη διαθεσιμότητά τους, ένα περιστατικό ή μια καθυστερημένη απόκριση. Μόνο με βάση αυτά τα δεδομένα μπορούν να καθοριστούν η έκταση της αξιολόγησης, τα απαιτούμενα τεκμήρια, οι συμβατικοί όροι και ο τρόπος εποπτείας. Διαφορετικά, ο οργανισμός ελέγχει την τυπική πληρότητα των εγγράφων και όχι τον πραγματικό κίνδυνο που συνδέεται με υπηρεσίες IT, integrators και υπεργολάβους.
Ο προμηθευτής ως μέρος της επιχειρησιακής ανθεκτικότητας
Ο κίνδυνος που συνδέεται με έναν προμηθευτή δεν προκύπτει αποκλειστικά από τις ευπάθειες των συστημάτων του ή από το επίπεδο των τεχνικών του μέτρων. Δημιουργείται κυρίως όταν μια εξωτερική υπηρεσία, το προσωπικό, το λογισμικό ή η υποδομή αποτελούν προϋπόθεση για τη συνέχεια μιας διεργασίας του οργανισμού. Συνεπώς, η έκταση της εποπτείας δεν πρέπει να καθορίζεται από την αξία της σύμβασης, το μέγεθος του αντισυμβαλλομένου ή μόνο από το είδος της υπηρεσίας, αλλά από τις συνέπειες της μη διαθεσιμότητας, της παραβίασης της εμπιστευτικότητας, της απώλειας ακεραιότητας των δεδομένων ή της καθυστερημένης απόκρισης σε περιστατικό.
Η διεργασία πρέπει να ξεκινά με σαφή ανάθεση αρμοδιοτήτων. Ο ιδιοκτήτης της επιχειρησιακής διεργασίας εντοπίζει την εξάρτηση και αξιολογεί την επιχειρησιακή της σημασία. Η λειτουργία ασφάλειας πληροφοριών εκτιμά την έκθεση, οι προμήθειες ενσωματώνουν τις απαιτήσεις στα κριτήρια επιλογής και στη σύμβαση, ενώ η πληροφορική επαληθεύει το εύρος πρόσβασης και τις τεχνικές λύσεις. Πρέπει επίσης να οριστεί ποιος ταξινομεί τον κίνδυνο, εγκρίνει αποκλίσεις από τις απαιτήσεις, παρακολουθεί την εκτέλεση της σύμβασης και συντονίζει τη συνεργασία κατά τη διαχείριση περιστατικού. Χωρίς αυτές τις αρμοδιότητες, το ερωτηματολόγιο προμηθευτή παραμένει έγγραφο χωρίς ιδιοκτήτη και ο κίνδυνος διαχέεται μεταξύ των οργανωτικών μονάδων.
Ένας μικρός integrator που διατηρεί απομακρυσμένη, προνομιακή πρόσβαση στο περιβάλλον παραγωγής μπορεί να δημιουργεί μεγαλύτερη έκθεση από έναν μεγάλο πάροχο υπηρεσιών γραφείου, παρότι η αξία της σύμβασής του είναι σημαντικά χαμηλότερη. Μια αστοχία, η παραβίαση τεχνικού λογαριασμού ή η μη διαθεσιμότητα του προσωπικού του integrator μπορεί να διακόψει άμεσα την παραγωγή ή να δυσχεράνει την αποκατάστασή της. Επομένως, σε ενισχυμένη αξιολόγηση πρέπει να υποβάλλονται κυρίως οι συνεργάτες που συνδέονται με κρίσιμες διεργασίες, διαθέτουν απομακρυσμένη ή προνομιακή πρόσβαση, επεξεργάζονται σημαντικές πληροφορίες ή συμμετέχουν στην απόκριση σε περιστατικά και στην αποκατάσταση της λειτουργίας.
Μόνο αφού χαρτογραφηθούν αυτές οι εξαρτήσεις μπορεί η διεργασία να συσχετιστεί ορθά με τις απαιτήσεις της NIS2 για τη διαχείριση κινδύνων, την ασφάλεια της εφοδιαστικής αλυσίδας και την ευθύνη της διοίκησης, λαμβάνοντας υπόψη το πεδίο εφαρμογής της σχετικής εθνικής νομοθεσίας. Η διοίκηση δεν πρέπει να υποκαθιστά την τεχνική αξιολόγηση. Οφείλει, όμως, να εγκρίνει τους κανόνες ταξινόμησης των προμηθευτών, την ανάθεση ιδιοκτητών κινδύνου και τη διαδικασία αποδοχής αποκλίσεων. Χρήσιμοι δείκτες είναι ο αριθμός των κρίσιμων διεργασιών που εξαρτώνται από εξωτερικές υπηρεσίες και ο αριθμός προμηθευτών με προνομιακή ή απομακρυσμένη πρόσβαση. Το ευρύτερο πλαίσιο αυτών των αποφάσεων παρουσιάζεται στο άρθρο NIS2 στη διοικητική πράξη: πώς οι απαιτήσεις μετατρέπονται σε αποφάσεις, αρμοδιότητες και πραγματική ανθεκτικότητα του οργανισμού.
Τμηματοποίηση βάσει επιπτώσεων και πρόσβασης
Ένα ενιαίο ερωτηματολόγιο για όλους τους συνεργάτες δεν εξασφαλίζει αξιολόγηση ανάλογη προς τον κίνδυνο. Η τμηματοποίηση πρέπει να συνδυάζει τις επιπτώσεις από τη μη διαθεσιμότητα της υπηρεσίας, το είδος των πληροφοριών που υποβάλλονται σε επεξεργασία, το εύρος των δικαιωμάτων, τη δυνατότητα διάδοσης ενός περιστατικού στο περιβάλλον του οργανισμού και τη δυνατότητα αντικατάστασης του προμηθευτή. Βάση για την ταξινόμηση αποτελεί ο χρόνος κατά τον οποίο η διεργασία μπορεί να λειτουργεί χωρίς τη συγκεκριμένη υπηρεσία, όπως έχει προσδιοριστεί στην ανάλυση επιχειρησιακών επιπτώσεων, καθώς και ο αριθμός των εξαρτώμενων διεργασιών και εγκαταστάσεων. Η αξία της σύμβασης και το μέγεθος του συνεργάτη έχουν επικουρική σημασία, επειδή δεν αποτυπώνουν τις τεχνικές εξαρτήσεις, τον αποδεκτό χρόνο διακοπής ή το κόστος ασφαλούς αντικατάστασης της υπηρεσίας.
Τα κατώφλια για βασική αξιολόγηση, ενισχυμένη αξιολόγηση και επιθεώρηση πρέπει να συνδέονται με μετρήσιμες προϋποθέσεις. Επιθεώρηση μπορεί να απαιτείται για προμηθευτή του οποίου η αστοχία θα προκαλούσε υπέρβαση του μέγιστου αποδεκτού χρόνου διακοπής, ο οποίος διαθέτει προνομιακή πρόσβαση ή δεν μπορεί να αντικατασταθεί χωρίς ουσιώδη τεχνική αλλαγή. Η ενισχυμένη αξιολόγηση είναι κατάλληλη όταν υπάρχει περιορισμένη πρόσβαση, επεξεργασία πληροφοριών που απαιτούν προστασία ή εξαρτήσεις επόμενων βαθμίδων. Οι υπόλοιποι συνεργάτες μπορούν να υπάγονται σε βασική αξιολόγηση, εφόσον δεν δημιουργείται συσσώρευση κινδύνου.
| Προφίλ προμηθευτή | Κύριο κριτήριο | Επίπεδο αξιολόγησης | Ελάχιστα τεκμήρια |
|---|---|---|---|
| Κρίσιμη υπηρεσία | Επίπτωση της διακοπής και αποδεκτός χρόνος μη διαθεσιμότητας | Ενισχυμένη αξιολόγηση ή επιθεώρηση | Σχέδιο επιχειρησιακής συνέχειας, παράμετροι αποκατάστασης, δοκιμές αποκατάστασης, κανόνες αναφοράς περιστατικών |
| Πρόσβαση στο περιβάλλον | Εύρος δικαιωμάτων και δυνατότητα διάδοσης περιστατικού | Ενισχυμένη αξιολόγηση ή επιθεώρηση | Μητρώο προσβάσεων, μέθοδος αυθεντικοποίησης, αρχεία καταγραφής ενεργειών, διαδικασία ανάκλησης δικαιωμάτων |
| Λογισμικό ή συστατικό | Επίδραση των ευπαθειών και των ενημερώσεων στη διεργασία | Βασική ή ενισχυμένη αξιολόγηση | Κανόνες ενημερώσεων, διαχείρισης ευπαθειών, υποστήριξης και γνωστοποίησης περιστατικών |
| Υπεργολάβος χωρίς πρόσβαση | Επίδραση στην εκτέλεση της διεργασίας και εξαρτήσεις επόμενων βαθμίδων | Βασική ή ενισχυμένη αξιολόγηση | Εύρος ευθύνης, δυνατότητα αντικατάστασης, συνέχεια πόρων και εποπτεία περαιτέρω αναθέσεων |
Στην αξιολόγηση προμηθευτή συστήματος ανθρώπινου δυναμικού πρέπει να δίνεται έμφαση στην ταξινόμηση πληροφοριών, στα δικαιώματα πρόσβασης και στην αποκατάσταση δεδομένων. Ένας integrator βιομηχανικού αυτοματισμού πρέπει να αξιολογείται κυρίως ως προς την απομακρυσμένη πρόσβαση, τις αλλαγές διαμόρφωσης και την ικανότητα υποστήριξης μετά από περιστατικό. Ένας υπεργολάβος συντήρησης εξοπλισμού μπορεί να μην έχει πρόσβαση στα συστήματα, αλλά η μη διαθεσιμότητά του μπορεί να διακόψει τη διεργασία λόγω έλλειψης ανταλλακτικών, τεχνογνωσίας ή τεκμηρίωσης. Οι εξαρτήσεις μεταξύ πληροφοριακών συστημάτων, επιχειρησιακής τεχνολογίας και συνέχειας της παραγωγής αναλύονται εκτενέστερα στο άρθρο NIS2 για βιομηχανικές επιχειρήσεις: ποιους αφορά, ποιες υποχρεώσεις εισάγει και πώς προετοιμάζεται ο οργανισμός χωρίς να περιορίζεται το θέμα αποκλειστικά στο IT.
Η ταξινόμηση δεν μπορεί να παραμένει αμετάβλητη σε όλη τη διάρκεια της συνεργασίας. Πρέπει να επαναλαμβάνεται όταν αλλάζουν το εύρος της υπηρεσίας, η πρόσβαση, η αρχιτεκτονική, οι υπεργολάβοι, οι πληροφορίες που υποβάλλονται σε επεξεργασία ή η κρισιμότητα της διεργασίας. Απαιτείται επίσης περιοδική επιβεβαίωση, ακόμη και όταν οι συμβατικοί όροι δεν έχουν αλλάξει. Έτσι, το επίπεδο δέουσας επιμέλειας αντιστοιχεί στην πραγματική έκθεση και μπορεί να αποδειχθεί ότι η εποπτεία της εφοδιαστικής αλυσίδας βασίζεται στην αξιολόγηση επιπτώσεων και όχι σε έναν τυπικό διαχωρισμό των συνεργατών.
Τεκμήρια αντί δηλώσεων
Η αξιολόγηση του προμηθευτή πρέπει να εξετάζει τον τρόπο εφαρμογής των ελέγχων και όχι απλώς την ύπαρξη πολιτικών και διαδικασιών. Τα ερωτήματα πρέπει να καλύπτουν τη διαχείριση πρόσβασης, ευπαθειών και αλλαγών, τη δημιουργία αντιγράφων ασφαλείας, την παρακολούθηση συμβάντων, την απόκριση σε περιστατικά, την επιχειρησιακή συνέχεια, την ασφάλεια του προσωπικού και την εποπτεία υπεργολάβων. Η απάντηση «διαθέτουμε εφαρμοσμένη διαδικασία» δεν επαρκεί όταν δεν προσδιορίζει τον ιδιοκτήτη της ενέργειας, τη συχνότητα του ελέγχου, τον τρόπο τεκμηρίωσης των αποτελεσμάτων και τη διαχείριση αποκλίσεων. Προειδοποιητικό εύρημα αποτελούν επίσης τα γενικά έγγραφα που δεν συνδέονται με τη συγκεκριμένη υπηρεσία, την τοποθεσία ή το περιβάλλον παροχής της.
Ο ελάχιστος κατάλογος τεκμηρίων πρέπει να καθορίζεται για κάθε κατηγορία προμηθευτή πριν από την έναρξη της αξιολόγησης. Σε χαμηλότερο επίπεδο κινδύνου μπορεί να επαρκούν οι απαντήσεις του αρμόδιου ιδιοκτήτη διεργασίας, υποστηριζόμενες από επίκαιρα έγγραφα και ενδεικτικές καταγραφές. Όσο αυξάνεται η κρισιμότητα, πρέπει να ζητούνται αποτελέσματα δοκιμών, επιχειρησιακές καταγραφές, δείκτες εφαρμογής των ελέγχων και ανεξάρτητες αξιολογήσεις. Για κρίσιμες υπηρεσίες μπορεί να δικαιολογείται τεχνική συνέντευξη, απομακρυσμένη αξιολόγηση ή επιτόπια επιθεώρηση. Η επιλογή της μεθόδου πρέπει να εξαρτάται, μεταξύ άλλων, από το κατά πόσο μπορούν να επαληθευτούν τα μέτρα χωρίς πρόσβαση στην υποδομή και από τις συνέπειες μιας ανακριβούς δήλωσης. Είναι σκόπιμο να καταγράφονται η ημερομηνία και το αποτέλεσμα της τελευταίας δοκιμής αποκατάστασης μιας σημαντικής υπηρεσίας, καθώς και ο χρόνος αποκατάστασης ευπαθειών ανά επίπεδο κρισιμότητας που έχει ορίσει ο προμηθευτής.
Η δήλωση ότι δημιουργούνται αντίγραφα ασφαλείας αποτυπώνει εύστοχα τη διαφορά μεταξύ διαβεβαίωσης και τεκμηρίου. Δεν διευκρινίζει αν τα αντίγραφα είναι διαχωρισμένα από το περιβάλλον παραγωγής, ποιος μπορεί να τα διαγράψει, πόσο συχνά πραγματοποιούνται δοκιμές επαναφοράς ή ποιο ήταν το αποτέλεσμα της τελευταίας δοκιμής. Δεν προσδιορίζει επίσης ποιος ευθύνεται για την επαναφορά ολόκληρης της υπηρεσίας: ο πάροχος υποδομής, ο κατασκευαστής της εφαρμογής, ο integrator ή ο πελάτης. Κατάλληλο τεκμήριο δεν είναι μόνο η περιγραφή των κανόνων, αλλά και η καταγραφή της τελευταίας δοκιμής, το εύρος των δεδομένων και λειτουργιών που αποκαταστάθηκαν, οι διαπιστωμένες μη συμμορφώσεις και η επιβεβαίωση ότι αντιμετωπίστηκαν οι αιτίες των αποτυχιών. Μια αόριστη απάντηση αναγνωρίζεται από την απουσία ημερομηνιών, πεδίου εφαρμογής, αρμοδιοτήτων ή δυνατότητας συσχέτισης του τεκμηρίου με τη συγκεκριμένη υπηρεσία.
Το πιστοποιητικό συστήματος διαχείρισης αποτελεί χρήσιμο υποστηρικτικό τεκμήριο, αλλά δεν απαλλάσσει τον οργανισμό από τη δέουσα επιμέλεια. Πρέπει να ελέγχονται το πεδίο πιστοποίησης, η περίοδος ισχύος, οι εγκαταστάσεις και οι υπηρεσίες που καλύπτονται, καθώς και η αντιστοιχία τους με το αντικείμενο της προμήθειας. Η πιστοποίηση της έδρας δεν σημαίνει κατ’ ανάγκη ότι καλύπτονται το κέντρο επεξεργασίας, η ομάδα υποστήριξης ή ο υπεργολάβος που εκτελεί κρίσιμο μέρος της υπηρεσίας. Το πιστοποιητικό μπορεί να αποτελεί στοιχείο της βασικής αξιολόγησης. Σε περίπτωση κρίσιμης εξάρτησης, όμως, πρέπει να συμπληρώνεται με επιχειρησιακά τεκμήρια και, όταν υπάρχουν ουσιώδη κενά, με επιθεώρηση. Η σύνδεση των μέτρων ασφάλειας με την ευθύνη των διεργασιών παρουσιάζεται επίσης στο άρθρο TISAX για τον υπεύθυνο συστήματος και τον μηχανικό ποιότητας — πώς συνδέεται η ασφάλεια πληροφοριών με τις διεργασίες της επιχείρησης. Η ασφάλεια δεν πρέπει να παραμένει αποκλειστικά μέρος της τεκμηρίωσης IT.
Η σύμβαση ως μηχανισμός ελέγχου
Η σύμβαση με έναν κρίσιμο προμηθευτή πρέπει να μετατρέπει τα αποτελέσματα της αξιολόγησης κινδύνου σε υποχρεώσεις που μπορούν να εφαρμοστούν και να επαληθευτούν. Μια απλή ρήτρα εμπιστευτικότητας δεν επαρκεί. Οι όροι πρέπει να καλύπτουν τη γνωστοποίηση συμβάντων, την πρόσβαση στις πληροφορίες που απαιτούνται για την αξιολόγηση των επιπτώσεών τους, τη συμμετοχή του προμηθευτή στην ανάλυση και στην αποκατάσταση της λειτουργίας, τη διατήρηση των συμφωνημένων μέτρων, τη διαχείριση αλλαγών και τους κανόνες χρήσης περαιτέρω υπεργολάβων. Για τη συγκεκριμένη υπηρεσία πρέπει επίσης να συμφωνούνται παράμετροι διαθεσιμότητας, αποκατάστασης και διατήρησης δεδομένων, ευθυγραμμισμένες με τις απαιτήσεις της επιχειρησιακής διεργασίας και όχι μόνο με την τυποποιημένη περιγραφή υπηρεσίας του προμηθευτή.
Κρίσιμη σημασία έχει ο ορισμός του ιδιοκτήτη της διαπραγμάτευσης των απαιτήσεων ασφάλειας και των ορίων αποδοχής συμβατικών αποκλίσεων. Το τμήμα προμηθειών μπορεί να συντονίζει τη συμβατική διαδικασία, αλλά δεν πρέπει να αποφασίζει μόνο του αν είναι αποδεκτός ο περιορισμός της ευθύνης, η άρνηση δικαιώματος επιθεώρησης ή η ανεξέλεγκτη ανάθεση υπηρεσιών σε υπεργολάβους. Τέτοιες αποκλίσεις απαιτούν αξιολόγηση από τον ιδιοκτήτη της διεργασίας, την ασφάλεια πληροφοριών, την επιχειρησιακή συνέχεια και τη νομική υποστήριξη, ανάλογα με τη φύση του κινδύνου. Όταν ένας δεσπόζων προμηθευτής δεν αποδέχεται τους όρους του πελάτη, η απόφαση δεν πρέπει να περιορίζεται στην ανεπιφύλακτη αποδοχή του δικού του προτύπου σύμβασης. Μπορούν να αξιολογηθούν αντισταθμιστικά μέτρα, να περιοριστεί το εύρος της υπηρεσίας, να ενισχυθεί η παρακολούθηση ή να γίνει επίσημη αποδοχή του κινδύνου με τεκμηρίωση και ορισμό ιδιοκτήτη.
Μια ρήτρα γνωστοποίησης «χωρίς αδικαιολόγητη καθυστέρηση» έχει περιορισμένη επιχειρησιακή αξία, εάν δεν ορίζει το κανάλι αναφοράς, το ελάχιστο περιεχόμενο της ενημέρωσης, τα σημεία επικοινωνίας και τα πρόσωπα που είναι εξουσιοδοτημένα να λαμβάνουν αποφάσεις. Ο συμφωνημένος χρόνος ενημέρωσης πρέπει να επιτρέπει στον οργανισμό να αξιολογήσει ουσιαστικά το συμβάν και να εκπληρώσει τις δικές του υποχρεώσεις. Ο προμηθευτής πρέπει να παρέχει τουλάχιστον περιγραφή του συμβάντος, προσδιορισμό των επηρεαζόμενων υπηρεσιών και δεδομένων, τη γνωστή ή αναμενόμενη επίπτωση, τα μέτρα περιορισμού που εφαρμόστηκαν και τον χρόνο της επόμενης ενημέρωσης. Η σύμβαση πρέπει επίσης να ρυθμίζει την πρόσβαση σε τεχνικές καταγραφές και τη συμμετοχή των κατάλληλων ειδικών στην ανάλυση αιτιών και στην αποκατάσταση της υπηρεσίας.
Αντίστοιχα, το δικαίωμα επιθεώρησης από μόνο του δεν εξασφαλίζει αποτελεσματικό έλεγχο. Αν η σύμβαση δεν καθορίζει τις προϋποθέσεις ενεργοποίησης της επιθεώρησης, την πρόσβαση στα τεκμήρια, την προστασία εμπιστευτικών πληροφοριών, το κόστος και τις προθεσμίες συμφωνίας και υλοποίησης διορθωτικών ενεργειών, η ρήτρα μπορεί να αποδειχθεί ανεφάρμοστη ακριβώς όταν εκδηλωθεί περιστατικό. Η έκταση των ρητρών πρέπει να εξαρτάται από την κρισιμότητα του προμηθευτή και τη δυνατότητα αντικατάστασης της υπηρεσίας. Ένας υπερβολικός κατάλογος απαιτήσεων που δεν παρακολουθείται στην πράξη δημιουργεί επίφαση ελέγχου και αυξάνει το κόστος διαχείρισης της σύμβασης. Χρήσιμοι δείκτες είναι ο αριθμός των αποκλίσεων που απαιτούν επίσημη αποδοχή κινδύνου και η εμπρόθεσμη εκπλήρωση των δεσμεύσεων.
Το κόστος τροποποίησης των συμβάσεων δεν περιορίζεται στην εργασία του νομικού συμβούλου. Περιλαμβάνει την επαναξιολόγηση προμηθευτών, τις διαπραγματεύσεις, τις επιθεωρήσεις, την παρακολούθηση των συμφωνημένων παραμέτρων και την εφαρμογή πρόσθετων μέτρων. Οι εξαρτήσεις αυτές πρέπει να ενσωματώνονται στον προϋπολογισμό που περιγράφεται στο άρθρο Πόσο κοστίζει η εφαρμογή της NIS2 και της uKSC — πώς καταρτίζεται προϋπολογισμός για επιθεώρηση, τεκμηρίωση, εκπαίδευση και μέτρα χωρίς δαπανηρά λάθη. Η σύμβαση επιτελεί τη λειτουργία της μόνο όταν ο οργανισμός έχει ορίσει ιδιοκτήτη εποπτείας, συγκεντρώνει τεκμήρια εκπλήρωσης των υποχρεώσεων και διαθέτει καθορισμένο τρόπο δράσης για την αλλαγή ή τη λήξη της υπηρεσίας.
Εποπτεία μετά την υπογραφή της σύμβασης
Η αρχική αξιολόγηση χάνει γρήγορα την επικαιρότητά της όταν, κατά τη διάρκεια της συνεργασίας, αλλάζουν το εύρος της υπηρεσίας, η αρχιτεκτονική της λύσης, η ιδιοκτησία του προμηθευτή, η τοποθεσία επεξεργασίας, οι υπεργολάβοι ή το επίπεδο πρόσβασης σε συστήματα και πληροφορίες. Η εποπτεία πρέπει, επομένως, να περιλαμβάνει περιοδικές ανασκοπήσεις με συχνότητα που καθορίζεται από την κρισιμότητα της υπηρεσίας, καθώς και αξιολογήσεις που ενεργοποιούνται από συγκεκριμένα συμβάντα. Οι προμηθευτές με υψηλή επίπτωση στην επιχειρησιακή συνέχεια απαιτούν συχνότερο έλεγχο από όσους παρέχουν εύκολα αντικαταστάσιμες υπηρεσίες χωρίς προνομιακή πρόσβαση.
Ο κύκλος παρακολούθησης πρέπει να διαθέτει ιδιοκτήτη, όρια κλιμάκωσης και απαιτούμενες καταγραφές. Δεν αρκεί να ελέγχονται μόνο οι παράμετροι παροχής της υπηρεσίας. Πρέπει να συσχετίζονται με πληροφορίες για περιστατικά, αποτελέσματα δοκιμών συνέχειας και αποκατάστασης, την κατάσταση των διορθωτικών ενεργειών, αλλαγές υπεργολάβων και ενδείξεις επιδείνωσης της επιχειρησιακής ικανότητας του προμηθευτή. Επανεκτίμηση εκτός προγράμματος πρέπει να ενεργοποιείται, μεταξύ άλλων, από:
- ουσιώδη αλλαγή στο εύρος της υπηρεσίας ή της πρόσβασης·
- μεταφορά της επεξεργασίας·
- αλλαγή υπεργολάβου που επηρεάζει την παροχή της υπηρεσίας·
- επαναλαμβανόμενες αποκλίσεις από τις παραμέτρους της υπηρεσίας·
- μη ολοκλήρωση μη συμμόρφωσης εντός της συμφωνημένης προθεσμίας·
- συμβάν που καταδεικνύει ανεπαρκή ικανότητα απόκρισης.
Ένας προμηθευτής που αξιολογήθηκε θετικά κατά τη σύναψη της σύμβασης μπορεί έναν χρόνο αργότερα να χρησιμοποιεί νέο κέντρο δεδομένων ή να έχει αναθέσει μέρος της υπηρεσίας σε υπεργολάβο. Η ονομασία και το δηλωμένο εύρος της υπηρεσίας παραμένουν ίδια, αλλά αλλάζουν οι τεχνικές εξαρτήσεις, η τοποθεσία επεξεργασίας, ο τρόπος αποκατάστασης και η διαθεσιμότητα τεκμηρίων. Χωρίς μηχανισμό γνωστοποίησης τέτοιων αλλαγών, ο οργανισμός εποπτεύει ένα ιστορικό και όχι το πραγματικό προφίλ κινδύνου. Χρήσιμοι δείκτες είναι ο αριθμός αλλαγών στο εύρος, στην πρόσβαση ή στους υπεργολάβους που απαιτούν επαναξιολόγηση, ο αριθμός περιστατικών και αποκλίσεων από τις παραμέτρους της υπηρεσίας, καθώς και το ποσοστό διορθωτικών ενεργειών που ολοκληρώνονται εντός της συμφωνημένης προθεσμίας.
Μια διαπιστωμένη μη συμμόρφωση δεν συνεπάγεται αυτομάτως τη διακοπή της συνεργασίας. Η απόφαση πρέπει να λαμβάνει υπόψη την επίπτωση της μη συμμόρφωσης, τον χρόνο που απαιτείται για την εξάλειψή της, τη δυνατότητα αντικατάστασης της υπηρεσίας και τον κίνδυνο της μεταβατικής περιόδου. Ο οργανισμός μπορεί να απαιτήσει διορθωτικές ενέργειες από τον προμηθευτή, να εφαρμόσει αντισταθμιστικά μέτρα, να αποδεχθεί προσωρινά τον κίνδυνο με καθορισμένη ημερομηνία επανεξέτασης, να περιορίσει την πρόσβαση ή να ενεργοποιήσει σχέδιο αντικατάστασης. Κάθε επιλογή απαιτεί ιδιοκτήτη απόφασης, προθεσμία, κριτήριο ολοκλήρωσης και τεκμήριο αποτελεσματικότητας — όχι μόνο απόδειξη ότι εκτελέστηκε μια εργασία.
Η αποτελεσματικότητα ολόκληρου του μηχανισμού πρέπει να ελέγχεται περιοδικά βάσει καταγραφών, ασκήσεων απόκρισης και της ικανότητας του οργανισμού να λαμβάνει αποφάσεις όταν μεταβάλλεται ο κίνδυνος. Χρήσιμο σημείο αναφοράς για τον σχεδιασμό αυτού του ελέγχου αποτελεί το άρθρο Επιθεώρηση NIS2 σε βιομηχανική επιχείρηση — πώς ελέγχεται αν ο οργανισμός είναι έτοιμος για τις νέες υποχρεώσεις. Η επιθεώρηση πρέπει να επιβεβαιώνει όχι μόνο την ύπαρξη προγράμματος ανασκοπήσεων, αλλά και ότι οι προειδοποιητικές ενδείξεις οδηγούν σε κλιμάκωση, οι μη συμμορφώσεις κλείνουν βάσει καθορισμένων κριτηρίων και ο κίνδυνος του προμηθευτή παραμένει συνδεδεμένος με τη συνέχεια των διεργασιών του οργανισμού.
Πρόγραμμα αξιολόγησης έτοιμο για επιθεώρηση
Το πρόγραμμα εποπτείας προμηθευτών είναι έτοιμο για επιθεώρηση όταν λειτουργεί ως ενιαίος μηχανισμός λήψης αποφάσεων και όχι ως συλλογή ερωτηματολογίων, ρητρών και διάσπαρτων μητρώων. Το ελάχιστο πεδίο του περιλαμβάνει μητρώο προμηθευτών με τις επιχειρησιακές και τεχνικές εξαρτήσεις, κριτήρια τμηματοποίησης, ρόλους λήψης αποφάσεων, απαιτήσεις ανά κατηγορία, αξιολόγηση τεκμηρίων, συμβατικούς κανόνες, παρακολούθηση, κλιμάκωση και διαχείριση της λήξης της συνεργασίας. Το πρόγραμμα επιθεωρήσεων και το μητρώο κινδύνων πρέπει να χρησιμοποιούν τις ίδιες ταξινομήσεις, τους ίδιους ιδιοκτήτες και τα ίδια κριτήρια αποδοχής.
Όταν οι πόροι είναι περιορισμένοι, η πιλοτική ομάδα πρέπει να επιλέγεται μεταξύ των προμηθευτών που υποστηρίζουν κρίσιμες διεργασίες, διαθέτουν προνομιακή πρόσβαση ή είναι δύσκολο να αντικατασταθούν. Στη συνέχεια, το πεδίο μπορεί να επεκτείνεται σύμφωνα με το επίπεδο κινδύνου και τα αποτελέσματα των πρώτων αξιολογήσεων. Η προσπάθεια να καλυφθεί ταυτόχρονα ολόκληρη η βάση συνεργατών συνήθως αυξάνει το διοικητικό κόστος χωρίς ανάλογη αξία. Η διοίκηση πρέπει να εγκρίνει τη σειρά των αξιολογήσεων, το σχέδιο αντιμετώπισης των κενών και τον προϋπολογισμό, καθώς και να αποφασίζει για κινδύνους που υπερβαίνουν τα καθορισμένα επιχειρησιακά όρια αρμοδιότητας.
Κατά την επιθεώρηση, πιο πειστική από μια εκτενή διαδικασία είναι η συνεκτική διαδρομή μίας απόφασης: ταξινόμηση του προμηθευτή, αιτιολόγηση των απαιτήσεων, αξιολογημένα τεκμήρια, κατάλληλοι συμβατικοί όροι, καταγραφές παρακολούθησης και μη συμμορφώσεων, καθώς και επίσημη αποδοχή κινδύνου ή απόφαση για διορθωτικές ενέργειες. Η ετοιμότητα μπορεί να μετράται από το ποσοστό προμηθευτών που έχουν ταξινομηθεί και αξιολογηθεί στο πλαίσιο του προγράμματος, την υλοποίηση του προγράμματος αξιολόγησης κρίσιμων προμηθευτών και τον αριθμό κινδύνων χωρίς ιδιοκτήτη, προθεσμία απόκρισης ή εγκεκριμένη απόφαση.
Η κανονιστική και νομική αναφορά πρέπει να ολοκληρώνει τον σχεδιασμό της διεργασίας και όχι να υποκαθιστά τη λογική της. Οι απαιτήσεις της NIS2 πρέπει να μετατρέπονται σε αρμοδιότητες, κριτήρια, καταγραφές και επαληθεύσιμα τεκμήρια, λαμβάνοντας υπόψη την εφαρμοστέα εθνική νομοθεσία ενσωμάτωσης και τον βαθμό στον οποίο καλύπτει τον οργανισμό. Κλαδικό παράδειγμα αυτής της προσέγγισης αποτελεί το άρθρο ISO 19443 — διαβατήριο για την εφοδιαστική αλυσίδα της πολωνικής πυρηνικής ενέργειας, όπου η αξιολόγηση και η εποπτεία των προμηθευτών συνδιαμορφώνουν την ικανότητα του οργανισμού να εκπληρώνει με ασφάλεια τις απαιτήσεις.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
