Az ellátási lánc biztonságának irányítása nem azzal kezdődik, hogy minden szerződéses partner ugyanazt a kérdőívet kapja meg. Először azt kell feltárni, hogy a szervezet folyamatai mely szolgáltatóktól függenek, milyen hozzáférést kapnak, és milyen következményekkel járhat kiesésük, egy incidens vagy a késedelmes reagálásuk. Csak ennek alapján határozható meg az értékelés mélysége, a bekérendő bizonyítékok köre, a szerződéses követelmények és a felügyelet módja. Ellenkező esetben a szervezet a dokumentumok formai teljességét ellenőrzi, nem pedig az IT-szolgáltatókhoz, integrátorokhoz és alvállalkozókhoz kapcsolódó tényleges kockázatot.
A szolgáltató mint a szervezeti ellenálló képesség része
A szolgáltatói kockázat nem kizárólag a szolgáltató rendszereinek sérülékenységéből vagy műszaki védelmi szintjéből ered. Elsősorban ott jelentkezik, ahol egy külső szolgáltatás, szakember, szoftver vagy infrastruktúra a szervezet valamely folyamatának folytonosságát befolyásolja. A felügyelet terjedelmét ezért nem a szerződés értéke, a partner mérete vagy önmagában a beszerzett szolgáltatás típusa alapján célszerű meghatározni, hanem a kiesés, a bizalmasság sérülése, az adatintegritás elvesztése vagy a késedelmes incidenskezelés lehetséges következményei szerint.
A folyamatot a felelősségi körök kijelölésével kell kezdeni. Az üzleti folyamat gazdája azonosítja a függőséget, és meghatározza annak működési jelentőségét. Az információbiztonsági funkció értékeli a kitettséget, a beszerzés beépíti a követelményeket a kiválasztási szempontokba és a szerződésbe, az informatika pedig ellenőrzi a hozzáférések körét és a műszaki megoldásokat. Azt is egyértelművé kell tenni, hogy ki minősíti a kockázatot, ki hagyhat jóvá követelményektől való eltérést, ki felügyeli a szerződés teljesítését, és ki koordinálja az együttműködést incidens esetén. Enélkül a szolgáltatói kérdőív gazda nélküli dokumentummá válik, a kockázat pedig szétaprózódik a szervezeti egységek között.
Egy kis integrátor, amely távoli, kiemelt jogosultságú hozzáférést tart fenn a termelési környezethez, lényegesen nagyobb kitettséget okozhat, mint egy nagy irodai szolgáltató, még akkor is, ha szerződésének értéke jóval alacsonyabb. Egy üzemzavar, egy technikai fiók kompromittálódása vagy az integrátor szakembereinek elérhetetlensége közvetlenül leállíthatja a termelést, illetve megnehezítheti annak helyreállítását. Részletesebb értékelést ezért elsősorban azoknál a partnereknél indokolt végezni, amelyek kritikus folyamatokhoz kapcsolódnak, távoli vagy kiemelt jogosultságú hozzáféréssel rendelkeznek, lényeges információkat kezelnek, illetve részt vesznek az incidenskezelésben vagy a működés helyreállításában.
Csak e függőségek feltárását követően illeszthető megfelelően a folyamat a NIS2 kockázatkezelésre, ellátásilánc-biztonságra és vezetői felelősségre vonatkozó követelményeihez, figyelembe véve az alkalmazandó nemzeti jogszabályokból következő hatályt. A felső vezetés feladata nem a műszaki értékelés elvégzése. Jóvá kell hagynia azonban a szolgáltatók minősítési szabályait, a kockázatgazdák kijelölésének rendjét és az eltérések elfogadásának módját. Hasznos mérőszám lehet a külső szolgáltatásoktól függő kritikus folyamatok száma, valamint a távoli vagy kiemelt jogosultságú hozzáféréssel rendelkező szolgáltatók száma. E döntések tágabb összefüggéseit a NIS2 a vezetési gyakorlatban: hogyan alakíthatók a követelmények döntésekké, felelősségi körökké és tényleges szervezeti ellenálló képességgé című anyag mutatja be.
Szegmentálás a hatás és a hozzáférés alapján
Az összes partnerre alkalmazott egységes kérdőív nem biztosít kockázatarányos értékelést. A szegmentálásnak együttesen kell figyelembe vennie a szolgáltatás kiesésének hatását, a kezelt információk jellegét, a jogosultságok körét, az incidens saját környezetbe történő átterjedésének lehetőségét és a szolgáltató helyettesíthetőségét. A besorolás alapja az üzleti hatáselemzésben meghatározott időtartam, ameddig a folyamat az adott szolgáltatás nélkül működőképes, továbbá az érintett folyamatok és telephelyek száma. A szerződés értéke és a partner mérete csak kiegészítő szempont, mivel nem írja le a műszaki függőségeket, az elfogadható állásidőt vagy a szolgáltatás biztonságos kiváltásának költségét.
Az alapértékelés, a kiterjesztett értékelés és az audit küszöbértékeit mérhető feltételekhez kell kötni. Audit lehet indokolt annál a szolgáltatónál, amelynek kiesése az elfogadható megszakítási idő túllépését okozná, amely kiemelt jogosultságú hozzáféréssel rendelkezik, vagy amely jelentős műszaki változtatás nélkül nem helyettesíthető. Korlátozott hozzáférés, védelmet igénylő információk kezelése vagy további ellátási láncbeli függőségek esetén kiterjesztett értékelés célszerű. A többi partnernél elegendő lehet az alapértékelés, feltéve, hogy tevékenységük nem eredményez halmozódó kockázatot.
| Szolgáltatói profil | Meghatározó szempont | Értékelési szint | Minimális bizonyítékok |
|---|---|---|---|
| Kritikus szolgáltatás | A kiesés hatása és az elfogadható állásidő | Kiterjesztett értékelés vagy audit | Üzletmenet-folytonossági terv, helyreállítási paraméterek, helyreállítási tesztek, incidensbejelentési szabályok |
| Hozzáférés a környezethez | A jogosultságok köre és az incidens továbbterjedésének lehetősége | Kiterjesztett értékelés vagy audit | Hozzáférési jegyzék, hitelesítési mód, tevékenységnaplók, jogosultság-visszavonási eljárás |
| Szoftver vagy komponens | A sérülékenységek és frissítések folyamatra gyakorolt hatása | Alap- vagy kiterjesztett értékelés | Frissítési, sérülékenységkezelési, támogatási és incidensértesítési szabályok |
| Rendszer-hozzáféréssel nem rendelkező alvállalkozó | A folyamat végrehajtására gyakorolt hatás és a további függőségek | Alap- vagy kiterjesztett értékelés | Felelősségi kör, helyettesíthetőség, erőforrás-folytonosság és a további közreműködők felügyelete |
Egy HR-rendszer szolgáltatójánál az információk besorolására, a jogosultságokra és az adatok helyreállítására kell helyezni a hangsúlyt. Egy ipari automatizálási integrátort elsősorban a távoli hozzáférés, a konfigurációmódosítások és az incidens utáni támogatási képesség szempontjából célszerű értékelni. A berendezéseket szervizelő alvállalkozó lehet, hogy nem fér hozzá a rendszerekhez, elérhetetlensége azonban alkatrész-, kompetencia- vagy dokumentációhiány miatt leállíthatja a folyamatot. Az informatikai rendszerek, az üzemeltetési technológia és a termelés folytonossága közötti kapcsolatokat részletesebben a NIS2 termelővállalatok számára: kikre terjed ki, milyen kötelezettségeket vezet be, és hogyan készíthető fel a szervezet anélkül, hogy a téma kizárólag informatikai kérdéssé válna című anyag tárgyalja.
A besorolás nem maradhat változatlan az együttműködés teljes időtartama alatt. Újra kell értékelni a szolgáltatási kör, a hozzáférés, az architektúra, az alvállalkozói kör, a kezelt információk vagy a folyamat jelentőségének változásakor, továbbá időszakosan akkor is meg kell erősíteni, ha a szerződéses feltételek változatlanok maradtak. Így a kellő gondosság szintje a tényleges kitettséghez igazítható, és igazolható, hogy az ellátási lánc felügyelete a lehetséges hatások értékelésén, nem pedig a partnerek formális kategorizálásán alapul.
Nyilatkozatok helyett ellenőrizhető bizonyítékok
A szolgáltatói értékelésnek nem pusztán a szabályzatok és eljárások meglétére, hanem a kontrollok tényleges működtetésére kell irányulnia. A kérdéseknek ki kell terjedniük a hozzáférések, sérülékenységek és változások kezelésére, a biztonsági mentésekre, az események monitorozására, az incidenskezelésre, az üzletmenet-folytonosságra, a személyi biztonságra és az alvállalkozók felügyeletére. Az „eljárással rendelkezünk” válasz nem elegendő, ha nem derül ki belőle a tevékenység felelőse, az ellenőrzés gyakorisága, az eredmények dokumentálásának módja és az eltérések kezelése. Figyelmeztető jel az is, ha a benyújtott általános anyagok nem kapcsolhatók a megrendelt szolgáltatáshoz, annak helyszínéhez vagy teljesítési környezetéhez.
Minden szolgáltatói kategóriához még az értékelés megkezdése előtt meg kell határozni a minimálisan elvárt bizonyítékokat. Alacsonyabb kockázatnál elegendők lehetnek a felelős személy válaszai, aktuális dokumentumokkal és mintafeljegyzésekkel alátámasztva. A kritikusság növekedésével teszteredményeket, működési nyilvántartásokat, kontrollmutatókat és független értékeléseket is indokolt bekérni. Kritikus szolgáltatásnál műszaki interjú, távoli értékelés vagy helyszíni audit is szükségessé válhat. A módszer kiválasztásakor többek között azt kell mérlegelni, hogy az infrastruktúrához való hozzáférés nélkül mennyire ellenőrizhetők a védelmi intézkedések, illetve milyen következménnyel járna egy valótlan vagy pontatlan nyilatkozat. Célszerű nyilvántartani a lényeges szolgáltatás legutóbbi helyreállítási tesztjének időpontját és eredményét, valamint a sérülékenységek megszüntetésének átfutási idejét a szolgáltató által alkalmazott kritikussági szintek szerint.
A biztonsági mentések készítésére vonatkozó nyilatkozat jól szemlélteti a biztosíték és a bizonyíték közötti különbséget. Önmagában nem mutatja meg, hogy a mentések el vannak-e különítve az üzemi környezettől, ki törölheti őket, milyen gyakran tesztelik a helyreállítást, és mi lett a legutóbbi próba eredménye. Azt sem tisztázza, ki felel a teljes szolgáltatás visszaállításáért: az infrastruktúra szolgáltatója, az alkalmazás gyártója, az integrátor vagy az ügyfél. Megfelelő bizonyíték ezért nemcsak a szabályok leírása, hanem a legutóbbi próbáról készült feljegyzés, a helyreállított adatok és funkciók köre, a feltárt nemmegfelelőségek, valamint a hibák okainak megszüntetését igazoló dokumentum. A kitérő válasz rendszerint onnan ismerhető fel, hogy hiányoznak belőle a dátumok, a pontos hatókör, a felelősségek, vagy a bizonyíték nem rendelhető hozzá egy konkrét szolgáltatáshoz.
Az irányítási rendszer tanúsítványa értékes kiegészítő bizonyíték, de nem helyettesíti a kellő gondosságot. Ellenőrizni kell a tanúsítvány alkalmazási területét, érvényességi idejét, a lefedett telephelyeket és szolgáltatásokat, valamint azt, hogy ezek megfelelnek-e a beszerzés tárgyának. A központ tanúsítottsága nem feltétlenül terjed ki az adatfeldolgozó központra, az üzemeltetési csoportra vagy a szolgáltatás kulcsfontosságú részét végző alvállalkozóra. A tanúsítvány az alapértékelés egyik eleme lehet. Kritikus függőség esetén azonban működési bizonyítékokkal, jelentős hiányosságoknál pedig audittal is ki kell egészíteni. A védelmi intézkedések és a folyamatfelelősség ilyen összekapcsolását mutatja be a TISAX irányítási rendszerért felelős szakemberek és minőségügyi mérnökök számára – hogyan kapcsolható össze az információbiztonság a vállalati folyamatokkal című anyag is; a biztonság nem maradhat kizárólag az informatikai dokumentáció része.
A szerződés mint irányítási mechanizmus
A kritikus szolgáltatóval kötött szerződésnek végrehajtható és ellenőrizhető kötelezettségekké kell alakítania a kockázatértékelés eredményét. Egy titoktartási záradék önmagában nem elegendő. A rendelkezéseknek ki kell terjedniük az események bejelentésére, a hatásértékeléshez szükséges információk hozzáférhetőségére, a szolgáltató részvételére az elemzésben és a működés helyreállításában, az egyeztetett védelmi intézkedések fenntartására, a változáskezelésre, valamint a további alvállalkozók igénybevételének szabályaira. Az adott szolgáltatáshoz olyan rendelkezésre állási, helyreállítási és megőrzési paramétereket kell meghatározni, amelyek az üzleti folyamat követelményeivel, nem csupán a szolgáltató standard szolgáltatásleírásával állnak összhangban.
Kulcsfontosságú kijelölni, ki vezeti a biztonsági követelmények tárgyalását, és milyen küszöbértékek mellett fogadhatók el szerződéses eltérések. A beszerzés koordinálhatja a szerződéskötési folyamatot, de nem dönthet egyedül arról, elfogadható-e a felelősség korlátozása, az auditjog elutasítása vagy a szolgáltatás alvállalkozóknak történő szabad továbbadása. Az ilyen eltéréseket a kockázat jellegének megfelelően a folyamatgazdának, az információbiztonsági és üzletmenet-folytonossági funkciónak, valamint a jogi területnek kell értékelnie. Ha egy meghatározó szolgáltató nem fogadja el az ügyfél feltételeit, a döntés nem merülhet ki a szolgáltatói szerződésminta feltétel nélküli elfogadásában. Értékelhetők helyettesítő kontrollok, szűkíthető a szolgáltatás köre, erősíthető a monitorozás, vagy indokolással és kijelölt kockázatgazdával formálisan elfogadható a fennmaradó kockázat.
Az „indokolatlan késedelem nélkül” történő értesítésre vonatkozó kikötés működési értéke csekély, ha nem határozza meg a bejelentési csatornát, a minimális információtartalmat, a kapcsolattartókat és a döntésre jogosult személyeket. Az egyeztetett értesítési időnek tényleges lehetőséget kell biztosítania a szervezet számára az esemény értékelésére és saját kötelezettségeinek teljesítésére. A szolgáltatónak legalább az esemény leírását, az érintett szolgáltatások és adatok megjelölését, az ismert vagy várható hatást, a megtett kárenyhítő intézkedéseket és a következő tájékoztatás tervezett időpontját át kell adnia. A szerződésnek a műszaki naplókhoz való hozzáférést, valamint az illetékes szakértők részvételét is szabályoznia kell a kiváltó okok elemzésében és a szolgáltatás helyreállításában.
Hasonlóképpen, az auditjog puszta rögzítése sem biztosít hatékony ellenőrzést. Ha a szerződés nem határozza meg az audit kezdeményezésének feltételeit, a bizonyítékokhoz való hozzáférés körét, a bizalmas információk védelmét, a költségviselést, valamint a korrekciós intézkedések egyeztetésének és végrehajtásának határidejét, a rendelkezés éppen egy incidens idején bizonyulhat alkalmazhatatlannak. A kikötések terjedelmét a szolgáltató kritikusságához és a szolgáltatás helyettesíthetőségéhez kell igazítani. A túlzott követelménykatalógus, amelynek teljesülését később senki nem felügyeli, csak a kontroll látszatát teremti meg, miközben növeli a szerződés kezelésének költségét. Érdemes mérni a formális kockázatelfogadást igénylő eltérések számát és a vállalt intézkedések határidőre történő teljesítését.
A szerződésmódosítások költsége nem korlátozódik a jogi munkára. Magában foglalja a szolgáltatók ismételt értékelését, a tárgyalásokat, az auditokat, az egyeztetett paraméterek monitorozását és a további kontrollok bevezetését is. Ezeket a függőségeket figyelembe kell venni a Mennyibe kerül a NIS2 és az uKSC bevezetése – hogyan tervezhető meg az audit, a dokumentáció, a képzések és a védelmi intézkedések költségvetése költséges hibák nélkül című anyagban ismertetett költségtervezés során. A szerződés csak akkor tölti be irányítási szerepét, ha a szervezet kijelölte a felügyelet felelősét, gyűjti a kötelezettségek teljesítésének bizonyítékait, és meghatározta a szolgáltatás módosítására vagy megszüntetésére vonatkozó eljárást.
Felügyelet a szerződéskötés után
Az előzetes értékelés gyorsan elveszíti aktualitását, ha az együttműködés során megváltozik a szolgáltatás köre, a megoldás architektúrája, a szolgáltató tulajdonosa, az adatkezelés helye, az alvállalkozói kör, illetve a rendszerekhez és információkhoz való hozzáférés szintje. A felügyeletnek ezért a szolgáltatás kritikussága alapján meghatározott gyakoriságú időszakos felülvizsgálatokat, valamint konkrét események által kiváltott rendkívüli értékeléseket is magában kell foglalnia. Az üzletmenet-folytonosságra nagy hatást gyakorló szolgáltatók gyakoribb ellenőrzést igényelnek, mint a könnyen helyettesíthető és kiemelt jogosultságú hozzáféréssel nem rendelkező partnerek.
A monitorozási ciklushoz felelőst, eszkalációs küszöbértékeket és kötelező feljegyzéseket kell rendelni. Nem elegendő kizárólag a szolgáltatási paraméterek teljesülését vizsgálni. Ezeket össze kell kapcsolni az incidensekre, az üzletmenet-folytonossági és helyreállítási tesztek eredményeire, a korrekciós intézkedések állapotára, az alvállalkozói változásokra és a szolgáltató működési képességének romlására utaló jelzésekre vonatkozó információkkal. A soron kívüli ismételt értékelést többek között az alábbi eseményeknek kell kiváltaniuk:
- a szolgáltatási kör vagy a hozzáférés lényeges változása;
- az adatkezelés vagy feldolgozás áthelyezése;
- a szolgáltatás teljesítését befolyásoló alvállalkozó megváltozása;
- a szolgáltatási paraméterek ismétlődő megsértése;
- a nemmegfelelőség határidőn belüli lezárásának elmulasztása;
- olyan esemény, amely elégtelen reagálási képességre utal.
Egy, a szerződéskötéskor pozitívan értékelt szolgáltató egy évvel később már új adatközpontot vehet igénybe, vagy a szolgáltatás egy részét alvállalkozónak adhatja át. A szolgáltatás neve és deklarált köre változatlan marad, miközben módosulnak a műszaki függőségek, az adatkezelés helye, a helyreállítás módja és a bizonyítékok hozzáférhetősége. Az ilyen változások bejelentési mechanizmusának hiányában a szervezet nem az aktuális, hanem egy korábbi kockázati profilt felügyel. Hasznos mérőszám lehet az ismételt értékelést igénylő szolgáltatásköri, hozzáférési vagy alvállalkozói változások száma, az incidensek és szolgáltatásiszint-sértések száma, valamint a határidőre lezárt korrekciós intézkedések aránya.
A feltárt nemmegfelelőség nem feltétlenül jelenti az együttműködés automatikus megszüntetését. A döntésnél figyelembe kell venni a nemmegfelelőség hatását, megszüntetésének időigényét, a szolgáltatás helyettesíthetőségét és az átmeneti időszak kockázatát. A szervezet korrekciós intézkedésre kötelezheti a szolgáltatót, kompenzáló kontrollokat alkalmazhat, meghatározott felülvizsgálati határidővel ideiglenesen elfogadhatja a kockázatot, korlátozhatja a hozzáférést, vagy aktiválhatja a szolgáltató kiváltására vonatkozó tervet. Minden megoldáshoz döntési felelős, határidő, lezárási kritérium és a hatásosságot – nem pusztán a feladat elvégzését – igazoló bizonyíték szükséges.
A teljes mechanizmus eredményességét időszakosan, feljegyzések, reagálási gyakorlatok és a megváltozott kockázati helyzetben hozott szervezeti döntések alapján kell vizsgálni. Az ellenőrzés megtervezéséhez hasznos kiindulópont a NIS2-audit termelővállalatnál – hogyan ellenőrizhető, hogy a szervezet felkészült-e az új kötelezettségekre című anyag. Az auditnak nemcsak a felülvizsgálati ütemterv meglétét kell megerősítenie, hanem azt is, hogy a figyelmeztető jelzések ténylegesen eszkalációt indítanak, a nemmegfelelőségeket meghatározott kritériumok szerint zárják le, és a szolgáltatói kockázat továbbra is kapcsolódik a szervezeti folyamatok folytonosságához.
Auditra kész szolgáltatóértékelési program
A szolgáltatói felügyeleti program akkor tekinthető auditra késznek, ha egységes döntési mechanizmusként működik, nem pedig kérdőívek, szerződéses záradékok és szétszórt nyilvántartások gyűjteményeként. Minimális terjedelme magában foglalja a szolgáltatók jegyzékét a folyamat- és műszaki függőségekkel együtt, a szegmentálási kritériumokat, a döntési szerepköröket, az egyes kategóriák követelményeit, a bizonyítékok értékelését, a szerződéses szabályokat, a monitorozást, az eszkalációt és az együttműködés megszüntetésekor követendő eljárást. Az auditprogramnak és a kockázati nyilvántartásnak azonos besorolásokat, felelősi szerepeket és elfogadási kritériumokat kell alkalmaznia.
Korlátozott erőforrások esetén a pilotcsoportot a kritikus folyamatokat kiszolgáló, kiemelt jogosultságú hozzáféréssel rendelkező vagy nehezen helyettesíthető szolgáltatók közül célszerű kiválasztani. A program ezután a kockázati szint és az első értékelések eredménye alapján bővíthető. A teljes partnerállomány egyidejű bevonása rendszerint úgy növeli az adminisztrációs költséget, hogy nem teremt vele arányos értéket. A felső vezetésnek jóvá kell hagynia az értékelések sorrendjét, a hiányosságok megszüntetésének tervét és a költségvetést, továbbá döntenie kell azokról a kockázatokról, amelyek meghaladják a meghatározott operatív hatásköröket.
Az audit során egy terjedelmes eljárásnál meggyőzőbb egyetlen döntés következetesen dokumentált nyomvonala: a szolgáltató besorolása, a követelmények indoklása, az értékelt bizonyítékok, a megfelelő szerződéses feltételek, a monitorozás és a nemmegfelelőségek feljegyzései, továbbá a kockázat formális elfogadása vagy a korrekciós intézkedésről hozott döntés. A felkészültség mérhető a program keretében besorolt és értékelt szolgáltatók arányával, a kritikus szolgáltatók értékelési ütemtervének teljesítésével, valamint a felelős, reagálási határidő vagy jóváhagyott döntés nélküli kockázatok számával.
A szabványi és jogi hivatkozásoknak a folyamat kialakítását kell lezárniuk, nem pedig helyettesíteniük annak logikáját. A NIS2 követelményeit felelősségi körökre, kritériumokra, feljegyzésekre és ellenőrizhető bizonyítékokra kell lefordítani, figyelembe véve az alkalmazandó nemzeti átültető szabályokat és azok szervezetre vonatkozó hatályát. Ennek ágazati példája az ISO 19443 — belépő a lengyel nukleáris ipar ellátási láncába, ahol a szolgáltatók minősítése és felügyelete a követelmények biztonságos teljesítésére való szervezeti képesség szerves része.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
