NIS2 и сигурност на веригата за доставки: как да оценяваме ИТ доставчици, интегратори и подизпълнители

Сигурността на веригата за доставки не започва с изпращане на еднакъв въпросник до всички контрагенти. Първо трябва да се установи от кои доставчици зависят процесите на организацията, какъв достъп им е предоставен и какви биха били последствията от недостъпност, инцидент или забавена реакция. Едва тогава могат да се определят обхватът на оценката, необходимите доказателства, договорните условия и начинът на наблюдение. В противен случай организацията проверява формалната комплектност на документите, а не реалния риск, свързан с ИТ услугите, интеграторите и подизпълнителите.

Доставчикът като част от устойчивостта на организацията

Рискът, свързан с даден доставчик, не произтича единствено от уязвимостите в неговите системи или от нивото на техническа защита. Той възниква преди всичко там, където външна услуга, персонал, софтуер или инфраструктура са условие за непрекъснатото функциониране на процесите на организацията. Затова обхватът на контрола не следва да се определя от стойността на договора, размера на контрагента или вида на закупената услуга, а от последствията при нейната недостъпност, нарушаване на поверителността, загуба на целостта на данните или забавена реакция при инцидент.

Процесът трябва да започне с ясно разпределение на отговорностите. Собственикът на бизнес процеса идентифицира зависимостта и определя нейното оперативно значение. Функцията по информационна сигурност оценява експозицията, звеното по покупки включва изискванията в критериите за избор и договора, а ИТ проверява обхвата на достъпа и техническите решения. Следва да е определено и кой класифицира риска, одобрява отклоненията от изискванията, наблюдава изпълнението на договора и координира взаимодействието при инцидент. Без това въпросникът на доставчика остава документ без собственик, а рискът се размива между отделните организационни звена.

Малък интегратор с отдалечен привилегирован достъп до производствената среда може да създава по-голяма експозиция от голям доставчик на офис услуги, независимо че стойността на договора му е значително по-ниска. Авария, компрометиране на технически профил или недостъпност на персонала на интегратора могат пряко да спрат производството или да затруднят възстановяването му. Затова задълбочена оценка трябва да се прилага приоритетно за контрагенти, свързани с критични процеси, притежаващи отдалечен или привилегирован достъп, обработващи съществена информация или участващи в реакцията при инциденти и възстановяването на дейността.

Едва след установяване на тези зависимости процесът може правилно да бъде съотнесен към изискванията на NIS2 за управление на риска, сигурност на веригата за доставки и отговорност на ръководството, като се отчита обхватът на приложимите национални разпоредби. Ръководството не трябва да замества техническата оценка. Неговата роля е да одобри правилата за класифициране на доставчиците, определянето на собственици на риска и реда за приемане на отклонения. Полезни показатели са броят на критичните процеси, зависими от външни услуги, и броят на доставчиците с привилегирован или отдалечен достъп. По-широкият контекст на тези решения е представен в NIS2 в управленската практика: как изискванията да бъдат превърнати в решения, отговорности и реална устойчивост на организацията.

Сегментиране според въздействието и достъпа

Единен въпросник за всички контрагенти не осигурява оценка, пропорционална на риска. Сегментирането трябва да отчита едновременно въздействието от недостъпността на услугата, вида на обработваната информация, обхвата на правата за достъп, възможността инцидентът да се пренесе в собствената среда и заменяемостта на доставчика. Основа за класификацията е определеният чрез анализа на въздействието върху дейността период, през който процесът може да функционира без съответната услуга, както и броят на зависимите процеси и обекти. Стойността на договора и размерът на контрагента имат спомагателно значение, тъй като не описват техническите зависимости, допустимото прекъсване или разходите за безопасна замяна на услугата.

Праговете за базова оценка, разширена оценка и одит трябва да бъдат обвързани с измерими основания. Одит може да е необходим за доставчик, чийто отказ би довел до превишаване на допустимото време за прекъсване, който притежава привилегирован достъп или не може да бъде заменен без съществена техническа промяна. Разширена оценка е подходяща при ограничен достъп, обработване на информация, изискваща защита, или наличие на зависимости от следващо ниво. Останалите контрагенти могат да преминават базова оценка, ако не създават кумулиране на риска.

При доставчик на система за управление на човешките ресурси акцентът трябва да бъде върху класификацията на информацията, правата за достъп и възстановяването на данните. Интеграторът на системи за автоматизация следва да бъде оценяван основно по отношение на отдалечения достъп, промените в конфигурацията и способността му да оказва съдействие след инцидент. Подизпълнител, който обслужва оборудване, може да няма достъп до системите, но неговата недостъпност да спре процеса поради липса на части, компетентност или документация. Зависимостите между информационните системи, оперативните технологии и непрекъснатостта на производството са разгледани по-подробно в NIS2 за производствени предприятия: кого обхваща, какви задължения въвежда и как организацията да се подготви, без темата да се свежда единствено до ИТ.

Класификацията не може да остане непроменена през целия период на сътрудничество. Тя трябва да се преразглежда при промяна в обхвата на услугата, достъпа, архитектурата, подизпълнителите, обработваната информация или значимостта на процеса, както и периодично да се потвърждава, дори когато договорните условия не са променени. Така нивото на надлежна проверка се съобразява с действителната експозиция и може да се докаже, че контролът върху веригата за доставки произтича от оценка на въздействието, а не от формално разделяне на контрагентите.

Доказателства вместо декларации

Оценката на доставчика трябва да разглежда начина, по който контролните мерки действително се изпълняват, а не само наличието на политики и процедури. Въпросите следва да обхващат управлението на достъпа, уязвимостите и промените, резервното копиране, наблюдението на събития, реакцията при инциденти, непрекъснатостта на дейността, сигурността на персонала и контрола върху подизпълнителите. Отговорът „имаме внедрена процедура“ е недостатъчен, ако не посочва собственик на дейността, честота на контрола, начин за документиране на резултатите и подход при отклонения. Предупредителен сигнал са и общите материали, които не се отнасят до заявената услуга, нейната локация или средата, в която се предоставя.

Минималният набор от доказателства трябва да бъде определен за всеки клас доставчици още преди началото на оценката. При по-нисък риск може да са достатъчни отговорите на собственика на процеса, подкрепени с актуални документи и примерни записи. С нарастване на критичността следва да се изискват резултати от тестове, оперативни записи, показатели за изпълнението на контролите и независими оценки. При критични услуги може да е обосновано провеждането на техническо интервю, дистанционна оценка или одит на място. Изборът на метод трябва да зависи, наред с останалото, от възможността мерките за защита да бъдат проверени без достъп до инфраструктурата и от последствията при невярна декларация. Полезно е да се регистрират датата и резултатът от последния тест за възстановяване на съществена услуга, както и сроковете за отстраняване на уязвимости според нивата на критичност, приети от доставчика.

Декларацията, че се създават резервни копия, ясно показва разликата между уверение и доказателство. Тя не уточнява дали копията са отделени от производствената среда, кой може да ги изтрива, колко често се провеждат тестове за възстановяване и какъв е бил резултатът от последния тест. Не става ясно и кой отговаря за възстановяването на цялата услуга — доставчикът на инфраструктурата, производителят на приложението, интеграторът или клиентът. Затова адекватното доказателство включва не само описание на правилата, но и запис от последния тест, обхват на възстановените данни и функции, установени несъответствия и потвърждение, че причините за неуспехите са отстранени. Уклончивият отговор се разпознава по липсата на дати, обхват и отговорности или по невъзможността доказателството да бъде свързано с конкретната услуга.

Сертификатът за система за управление е ценно допълващо доказателство, но не освобождава организацията от надлежна проверка. Трябва да бъдат проверени неговият обхват, срокът на валидност, включените локации и услуги, както и съответствието им с предмета на поръчката. Сертификацията на централата не означава непременно, че са обхванати центърът за обработване на данни, екипът по поддръжка или подизпълнителят, който изпълнява ключова част от услугата. Сертификатът може да бъде елемент от базовата оценка. При критична зависимост обаче той трябва да бъде допълнен с оперативни доказателства, а при съществени пропуски — и с одит. Подобно свързване на мерките за защита с процесната отговорност е представено и в TISAX за представителя на ръководството и инженера по качеството — как информационната сигурност да бъде свързана с процесите на предприятието; сигурността не трябва да остава само част от ИТ документацията.

Договорът като механизъм за управление

Договорът с критичен доставчик трябва да превръща резултата от оценката на риска в изпълними и проверими задължения. Само клауза за поверителност не е достатъчна. Договорните условия трябва да обхващат докладването на събития, достъпа до информацията, необходима за оценка на последствията, участието на доставчика в анализа и възстановяването на дейността, поддържането на договорените мерки за защита, управлението на промените и правилата за използване на последващи подизпълнители. За конкретната услуга следва да бъдат съгласувани и параметри за наличност, възстановяване и съхранение, съответстващи на изискванията на бизнес процеса, а не само на стандартното описание на услугата от доставчика.

От съществено значение е да се определи собственик на преговорите по изискванията за сигурност и да се установят прагове за приемане на договорни отклонения. Звеното по покупки може да управлява договорния процес, но не бива самостоятелно да решава дали ограничаването на отговорността, отказът от право на одит или свободното възлагане на услуги на подизпълнители са приемливи. Подобни отклонения изискват оценка от собственика на процеса, информационната сигурност, непрекъснатостта на дейността и правното обслужване според вида на риска. Когато водещ доставчик не приема клаузите на клиента, решението не трябва да се свежда до безусловно приемане на неговия образец. Възможно е да се оценят компенсиращи мерки, да се ограничи обхватът на услугата, да се засили наблюдението или рискът да бъде формално приет с обосновка и определен собственик.

Клауза за уведомяване „без неоправдано забавяне“ има ограничена оперативна стойност, ако не определя канал за съобщаване, минимален обхват на информацията, точки за контакт и лица с правомощия за вземане на решения. Договореният срок за уведомяване трябва да оставя на организацията реална възможност да оцени събитието и да изпълни собствените си задължения. Доставчикът трябва да предостави най-малко описание на събитието, засегнатите услуги и данни, известното или очакваното въздействие, приложените ограничителни мерки и срока за следваща актуализация. Договорът трябва да урежда също достъпа до техническите записи и участието на подходящи специалисти в анализа на причините и възстановяването на услугата.

По същия начин самото право на одит не осигурява ефективен контрол. Ако договорът не посочва основанията за започване на одит, обхвата на достъпа до доказателства, правилата за защита на поверителната информация, разходите и сроковете за съгласуване и изпълнение на коригиращи действия, клаузата може да се окаже неприложима именно при инцидент. Обхватът на клаузите трябва да зависи от критичността на доставчика и възможността услугата да бъде заменена. Прекомерният набор от изисквания, чието изпълнение впоследствие никой не наблюдава, създава привидност за контрол и увеличава разходите по управлението на договора. Полезно е да се измерват броят на отклоненията, изискващи формално приемане на риска, и навременното изпълнение на поетите задължения.

Разходите за изменение на договорите не се ограничават до работата на юрист. Те включват повторна оценка на доставчиците, преговори, одити, наблюдение на договорените параметри и внедряване на допълнителни мерки за защита. Тези зависимости трябва да бъдат отчетени в бюджета, описан в материала Колко струва внедряването на NIS2 и uKSC — как да се изгради бюджет за одит, документация, обучения и мерки за защита без скъпоструващи грешки. Договорът изпълнява функцията си едва когато организацията е определила собственик на контрола, събира доказателства за изпълнението на задълженията и разполага с установен подход при промяна или прекратяване на услугата.

Контрол след подписването на договора

Първоначалната оценка бързо губи актуалност, ако по време на сътрудничеството се променят обхватът на услугата, архитектурата на решението, собствеността на доставчика, мястото на обработване, подизпълнителите или нивото на достъп до системите и информацията. Затова контролът трябва да включва периодични прегледи с честота, определена според критичността на услугата, както и оценки, задействани от конкретни събития. Доставчиците със значително влияние върху непрекъснатостта на дейността изискват по-чест контрол от контрагенти, които предоставят лесно заменими услуги и нямат привилегирован достъп.

Цикълът на наблюдение трябва да има собственик, прагове за ескалация и изисквани записи. Не е достатъчно да се проверяват само параметрите за предоставяне на услугата. Те трябва да се разглеждат заедно с информацията за инциденти, резултатите от тестовете за непрекъснатост и възстановяване, статуса на коригиращите действия, промените при подизпълнителите и сигналите за влошаване на оперативната способност на доставчика. Извънредна повторна оценка следва да се задейства, наред с другото, при:

• съществена промяна в обхвата на услугата или достъпа;
• преместване на обработването;
• смяна на подизпълнител, който влияе върху предоставянето на услугата;
• повтарящи се нарушения на параметрите на услугата;
• незакриване на несъответствие в определения срок;
• събитие, показващо недостатъчна способност за реакция.

Доставчик, оценен положително при сключването на договора, може след една година да използва нов център за данни или да възложи част от услугата на подизпълнител. Наименованието и декларираният обхват на услугата остават същите, но се променят техническите зависимости, мястото на обработване, начинът на възстановяване и достъпността на доказателствата. При липса на механизъм за съобщаване на такива промени организацията наблюдава исторически, а не действителен рисков профил. Полезни показатели са броят на промените в обхвата, достъпа или подизпълнителите, изискващи повторна оценка, броят на инцидентите и нарушенията на параметрите на услугата, както и делът на коригиращите действия, приключени в договорения срок.

Установеното несъответствие не трябва автоматично да води до прекратяване на сътрудничеството. Решението следва да отчита въздействието на несъответствието, времето за неговото отстраняване, възможността за замяна на услугата и риска през преходния период. Организацията може да изиска от доставчика коригиращи действия, да приложи компенсиращи мерки, временно да приеме риска с определен срок за повторен преглед, да ограничи достъпа или да задейства план за замяна на доставчика. Всеки подход изисква собственик на решението, срок, критерий за приключване и доказателство за ефективност, а не само за изпълнение на задачата.

Ефективността на целия механизъм трябва периодично да се проверява въз основа на записи, упражнения за реакция и способността на организацията да взема решения след промяна на риска. Полезна отправна точка при планирането на подобна проверка е Одит по NIS2 в производствено предприятие — как да се провери дали организацията е готова за новите задължения. Одитът трябва да потвърди не само наличието на график за прегледи, но и дали предупредителните сигнали водят до ескалация, несъответствията се закриват според установени критерии и рискът от доставчика остава свързан с непрекъснатостта на организационните процеси.

Програма за оценяване, подготвена за одит

Програмата за контрол на доставчиците е подготвена за одит, когато представлява единен механизъм за вземане на решения, а не съвкупност от въпросници, клаузи и разпръснати регистри. Минималният ѝ обхват включва регистър на доставчиците с процесните и техническите зависимости, критерии за сегментиране, роли за вземане на решения, изисквания за отделните класове, оценка на доказателствата, договорни правила, наблюдение, ескалация и действия при прекратяване на отношенията. Програмата за одити и регистърът на рисковете трябва да използват едни и същи класификации, роли на собствениците и критерии за приемане.

При ограничени ресурси пилотната група трябва да бъде избрана измежду доставчиците, които обслужват критични процеси, разполагат с привилегирован достъп или са трудни за замяна. След това обхватът може да се разширява според нивото на риска и резултатите от първите оценки. Опитът едновременно да се обхване цялата база от контрагенти обикновено увеличава административните разходи без пропорционална полза. Ръководството следва да одобри последователността на оценките, плана за отстраняване на пропуските и бюджета, както и да взема решения за рисковете, които надхвърлят определените оперативни правомощия.

По време на одит последователната проследимост на едно решение е по-убедителна от обемна процедура: класификация на доставчика, обосновка на изискванията, оценени доказателства, подходящи договорни условия, записи от наблюдението и несъответствията, както и формално приемане на риска или решение за коригиращи действия. Готовността може да се измерва чрез дела на доставчиците, класифицирани и оценени в рамките на програмата, изпълнението на графика за оценка на критичните доставчици и броя на рисковете без собственик, срок за реакция или одобрено решение.

Нормативните и правните препратки трябва да завършват проектирането на процеса, а не да заместват неговата логика. Изискванията на NIS2 трябва да бъдат превърнати в отговорности, критерии, записи и проверими доказателства, като се отчитат приложимите национални разпоредби за транспониране и обхватът, в който те засягат организацията. Секторен пример за такъв подход е ISO 19443 — достъп до веригата за доставки на полската ядрена енергетика, където квалификацията и контролът на доставчиците допринасят пряко за способността на организацията да изпълнява изискванията безопасно.