NIS2 ja toimitusketjun turvallisuus: IT-toimittajien, integraattoreiden ja alihankkijoiden arviointi

Toimitusketjun turvallisuutta ei rakenneta lähettämällä kaikille sopimuskumppaneille sama kyselylomake. Ensin on tunnistettava, mistä toimittajista organisaation prosessit ovat riippuvaisia, millaiset käyttöoikeudet toimittajilla on ja mitä seurauksia palvelukatkoksesta, tietoturvapoikkeamasta tai viivästyneestä reagoinnista aiheutuisi. Vasta tämän perusteella voidaan määrittää arvioinnin laajuus, vaadittava näyttö, sopimusehdot ja seurannan taso. Muussa tapauksessa organisaatio valvoo asiakirjojen muodollista täydellisyyttä eikä IT-palveluihin, integraattoreihin ja alihankkijoihin liittyvää todellista riskiä.

Toimittaja osana organisaation häiriönsietokykyä

Toimittajariski ei johdu ainoastaan toimittajan järjestelmien haavoittuvuuksista tai teknisten suojausten tasosta. Olennaista on, missä määrin ulkoinen palvelu, henkilöstö, ohjelmisto tai infrastruktuuri vaikuttaa organisaation prosessien jatkuvuuteen. Valvonnan laajuutta ei siksi pitäisi ratkaista sopimuksen arvo, toimittajan koko tai hankitun palvelun yleinen luokka. Ratkaisevia ovat palvelun saatavuuden menettämisen, luottamuksellisuuden vaarantumisen, tietojen eheyden heikkenemisen tai poikkeamaan reagoinnin viivästymisen seuraukset.

Prosessi alkaa vastuiden määrittämisestä. Liiketoimintaprosessin omistaja tunnistaa riippuvuuden ja arvioi sen operatiivisen merkityksen. Tietoturvatoiminto arvioi altistumisen, hankinta sisällyttää vaatimukset valintaperusteisiin ja sopimukseen, ja IT-toiminto tarkastaa käyttöoikeuksien laajuuden sekä tekniset ratkaisut. Lisäksi on nimettävä tahot, jotka luokittelevat riskin, hyväksyvät vaatimuksista poikkeamisen, valvovat sopimusvelvoitteiden täyttymistä ja koordinoivat yhteistyötä poikkeamatilanteessa. Ilman selkeitä vastuita toimittajakysely jää omistajattomaksi asiakirjaksi ja riski hajautuu organisaatioyksiköiden väliin.

Pieni integraattori, jolla on jatkuva etäyhteys ja korotetut käyttöoikeudet tuotantoympäristöön, voi muodostaa selvästi suuremman riskin kuin suuri toimistopalvelujen toimittaja, vaikka integraattorin sopimus olisi arvoltaan huomattavasti pienempi. Häiriö, teknisen käyttäjätilin kaappaus tai integraattorin henkilöstön poissaolo voi pysäyttää tuotannon tai vaikeuttaa sen palauttamista. Syvennetty arviointi on siksi kohdistettava ensisijaisesti toimittajiin, jotka liittyvät kriittisiin prosesseihin, käyttävät etä- tai pääkäyttäjätason oikeuksia, käsittelevät merkittäviä tietoja tai osallistuvat poikkeamien hallintaan ja toiminnan palauttamiseen.

Vasta riippuvuuksien tunnistamisen jälkeen prosessi voidaan suhteuttaa asianmukaisesti NIS2-vaatimuksiin, jotka koskevat riskienhallintaa, toimitusketjun turvallisuutta ja johdon vastuuta. Arvioinnissa on samalla otettava huomioon sovellettavan kansallisen sääntelyn mukainen soveltamisala. Johdon tehtävänä ei ole korvata teknistä arviointia. Sen tulee hyväksyä toimittajien luokitteluperiaatteet, riskinomistajien nimeäminen ja vaatimuksista poikkeamisen hyväksymismenettely. Hyödyllisiä mittareita ovat esimerkiksi ulkoisista palveluista riippuvaisten kriittisten prosessien määrä sekä niiden toimittajien määrä, joilla on etä- tai korotetut käyttöoikeudet. Päätöksenteon laajempaa viitekehystä käsitellään artikkelissa NIS2 käytännön johtamisessa: kuinka vaatimukset muutetaan päätöksiksi, vastuiksi ja organisaation todelliseksi häiriönsietokyvyksi.

Segmentointi vaikutusten ja käyttöoikeuksien perusteella

Kaikille toimittajille tarkoitettu yhtenäinen kyselylomake ei tuota riskin suhteen oikeasuhtaista arviointia. Segmentoinnissa on tarkasteltava yhdessä palvelun saatavuuden menettämisen vaikutusta, käsiteltävien tietojen luonnetta, käyttöoikeuksien tasoa, poikkeaman leviämismahdollisuutta organisaation omaan ympäristöön sekä toimittajan korvattavuutta. Luokittelun perustana on liiketoimintavaikutusten analyysissä määritetty aika, jonka prosessi voi toimia ilman kyseistä palvelua. Lisäksi on huomioitava riippuvaisten prosessien ja toimipaikkojen määrä. Sopimuksen arvo ja toimittajan koko ovat täydentäviä tietoja, sillä ne eivät kuvaa teknisiä riippuvuuksia, hyväksyttävää keskeytysaikaa tai palvelun turvallisen korvaamisen kustannuksia.

Perustason arvioinnin, laajennetun arvioinnin ja auditoinnin rajat on sidottava mitattaviin kriteereihin. Auditointi voi olla perusteltu, jos toimittajan häiriö johtaisi hyväksyttävän keskeytysajan ylittymiseen, toimittajalla on korotetut käyttöoikeudet tai palvelua ei voida korvata ilman merkittävää teknistä muutosta. Laajennettu arviointi soveltuu tilanteisiin, joissa toimittajalla on rajattu pääsy ympäristöön, se käsittelee suojattavia tietoja tai palveluun liittyy alemman tason toimitusketjuriippuvuuksia. Muille toimittajille voi riittää perustason arviointi, elleivät ne yhdessä muodosta merkittävää riskikeskittymää.

Henkilöstöhallinnon järjestelmätoimittajan arvioinnissa painottuvat tietojen luokittelu, käyttöoikeudet ja tietojen palauttaminen. Automaatiointegraattorin arvioinnissa olennaisia ovat etäyhteydet, konfiguraatiomuutosten hallinta ja kyky tukea organisaatiota poikkeaman jälkeen. Laitteita huoltavalla alihankkijalla ei välttämättä ole pääsyä järjestelmiin, mutta sen poissaolo voi pysäyttää prosessin varaosien, osaamisen tai dokumentaation puuttuessa. Tietojärjestelmien, operatiivisen teknologian ja tuotannon jatkuvuuden välisiä riippuvuuksia käsitellään laajemmin artikkelissa NIS2 tuotantoyrityksille: keitä vaatimukset koskevat, mitä velvoitteita ne tuovat ja kuinka organisaatio valmistellaan rajaamatta asiaa vain IT-toimintoon.

Luokittelu ei saa pysyä muuttumattomana koko sopimussuhteen ajan. Se on arvioitava uudelleen, kun palvelun laajuus, käyttöoikeudet, arkkitehtuuri, alihankkijat, käsiteltävät tiedot tai prosessin merkitys muuttuvat. Luokittelu on myös vahvistettava määräajoin, vaikka sopimusehdot eivät olisi muuttuneet. Näin huolellisuusvelvoitteen taso voidaan sovittaa todelliseen altistumiseen ja osoittaa, että toimitusketjun valvonta perustuu vaikutusten arviointiin eikä toimittajien muodolliseen ryhmittelyyn.

Näyttöä vakuuttelujen sijaan

Toimittaja-arvioinnissa on tarkasteltava, kuinka hallintatoimenpiteet toteutetaan käytännössä, ei ainoastaan sitä, ovatko politiikat ja menettelyt olemassa. Kysymysten tulee kattaa käyttöoikeuksien, haavoittuvuuksien ja muutosten hallinta, varmuuskopiointi, tapahtumien valvonta, poikkeamiin reagointi, toiminnan jatkuvuus, henkilöstöturvallisuus sekä alihankkijoiden valvonta. Vastaus ”meillä on menettely käytössä” ei ole riittävä, ellei siitä ilmene toiminnon omistaja, valvonnan tiheys, tulosten dokumentointitapa ja poikkeamien käsittely. Varoitusmerkkejä ovat myös yleiset aineistot, joita ei voida kohdistaa hankittavaan palveluun, sen sijaintiin tai palvelutuotantoympäristöön.

Kunkin toimittajaluokan vähimmäisnäyttö on määritettävä ennen arvioinnin aloittamista. Pienemmän riskin tilanteessa prosessin omistajan vastaukset, ajantasaiset asiakirjat ja esimerkkitallenteet voivat riittää. Kriittisyyden kasvaessa on edellytettävä testituloksia, operatiivisia tallenteita, hallintatoimenpiteiden suorituskykymittareita ja riippumattomia arviointeja. Kriittisissä palveluissa voi olla perusteltua järjestää tekninen haastattelu, etäarviointi tai auditointi toimittajan tiloissa. Menetelmän valintaan vaikuttavat muun muassa se, voidaanko suojaustoimenpiteet todentaa ilman pääsyä infrastruktuuriin, sekä virheellisen vakuuttelun mahdolliset seuraukset. Olennaisen palvelun viimeisimmän palautustestin päivämäärä ja tulos on syytä tallentaa samoin kuin haavoittuvuuksien korjausajat toimittajan käyttämien kriittisyysluokkien mukaisesti.

Varmuuskopiointia koskeva vakuutus havainnollistaa hyvin eroa ilmoituksen ja näytön välillä. Pelkkä vakuutus ei osoita, onko varmuuskopiot erotettu tuotantoympäristöstä, kuka voi poistaa ne, kuinka usein palautuksia testataan tai mikä oli viimeisimmän testin tulos. Se ei myöskään määritä, kuka vastaa koko palvelun palauttamisesta: infrastruktuuritoimittaja, ohjelmistovalmistaja, integraattori vai asiakas. Asianmukaiseen näyttöön kuuluvat periaatteiden kuvauksen lisäksi viimeisimmän testin tallenne, palautettujen tietojen ja toimintojen laajuus, havaitut poikkeamat sekä vahvistus epäonnistumisten juurisyiden poistamisesta. Väistelevän vastauksen tunnistaa usein päivämäärien, laajuuden, vastuiden tai tiettyyn palveluun kohdistettavan näytön puuttumisesta.

Johtamisjärjestelmäsertifikaatti on hyödyllinen täydentävä näyttö, mutta se ei poista organisaation omaa huolellista arviointia. Sertifikaatista on tarkistettava soveltamisala, voimassaoloaika, siihen kuuluvat toimipaikat ja palvelut sekä niiden vastaavuus hankinnan kohteeseen. Pääkonttorin sertifiointi ei välttämättä kata palvelinkeskusta, ylläpitotiimiä tai palvelun keskeisen osan toteuttavaa alihankkijaa. Sertifikaatti voi olla osa perustason arviointia. Kriittisessä riippuvuudessa sitä on kuitenkin täydennettävä operatiivisella näytöllä ja merkittävien puutteiden yhteydessä tarvittaessa auditoinnilla. Hallintatoimenpiteiden yhdistämistä prosessivastuisiin käsitellään myös artikkelissa TISAX johtamisjärjestelmän vastuuhenkilölle ja laatuinsinöörille – tietoturvan yhdistäminen yrityksen prosesseihin. Tietoturvaa ei pidä jättää pelkäksi IT-dokumentaation osaksi.

Sopimus ohjausmekanismina

Kriittisen toimittajan sopimuksessa riskiarvioinnin tulokset on muutettava toteuttamiskelpoisiksi ja todennettaviksi velvoitteiksi. Pelkkä salassapitolauseke ei riitä. Sopimusehtojen tulee käsitellä tapahtumista ilmoittamista, vaikutusten arviointiin tarvittavien tietojen saatavuutta, toimittajan osallistumista analysointiin ja toiminnan palauttamiseen, sovittujen suojausten ylläpitoa, muutostenhallintaa sekä alemman tason alihankkijoiden käyttöä. Palvelulle on lisäksi sovittava liiketoimintaprosessin tarpeisiin perustuvat saatavuus-, palautumis- ja säilytysparametrit sen sijaan, että tyydyttäisiin toimittajan vakiomuotoiseen palvelukuvaukseen.

Turvallisuusvaatimusten neuvotteluille on nimettävä omistaja ja sopimuspoikkeamien hyväksymisrajat on määritettävä. Hankinta voi johtaa sopimusprosessia, mutta sen ei pitäisi yksin ratkaista, voidaanko vastuunrajoitus, auditointioikeuden puuttuminen tai palvelujen vapaa siirtäminen alihankkijoille hyväksyä. Poikkeamat on arvioitava riskin luonteen mukaan yhdessä prosessin omistajan, tietoturvan, jatkuvuudenhallinnan ja oikeudellisen asiantuntemuksen kanssa. Jos määräävässä markkina-asemassa oleva toimittaja ei hyväksy asiakkaan ehtoja, ratkaisuna ei pitäisi olla toimittajan sopimusmallin ehdoton hyväksyminen. Organisaatio voi arvioida korvaavia hallintatoimenpiteitä, rajata palvelun laajuutta, tehostaa valvontaa tai hyväksyä riskin muodollisesti perusteluineen ja nimetyn riskinomistajan vastuulla.

Ilmoitusvelvollisuus ”ilman aiheetonta viivytystä” tuottaa vain vähän operatiivista arvoa, jos sopimuksessa ei määritetä ilmoituskanavaa, tietojen vähimmäissisältöä, yhteyspisteitä ja päätöksentekoon valtuutettuja henkilöitä. Sovitun ilmoitusajan on annettava organisaatiolle todellinen mahdollisuus arvioida tapahtumaa ja hoitaa omat velvoitteensa. Toimittajan tulee ilmoittaa vähintään tapahtuman kuvaus, vaikutuksen kohteena olevat palvelut ja tiedot, tiedossa oleva tai ennakoitu vaikutus, toteutetut rajoittamistoimet sekä seuraavan tilannepäivityksen ajankohta. Sopimuksessa on myös määritettävä pääsy teknisiin tallenteisiin ja asianmukaisten asiantuntijoiden osallistuminen juurisyyanalyysiin sekä palvelun palauttamiseen.

Myöskään pelkkä auditointioikeus ei takaa tehokasta valvontaa. Jos sopimuksessa ei määritetä auditoinnin käynnistämisperusteita, näyttöön pääsyn laajuutta, luottamuksellisten tietojen suojaamista, kustannuksia sekä korjaavien toimenpiteiden sopimis- ja toteuttamisaikoja, ehtoa voi olla vaikea soveltaa juuri poikkeamatilanteessa. Lausekkeiden laajuus on sovitettava toimittajan kriittisyyteen ja palvelun korvattavuuteen. Liian laaja vaatimusluettelo, jonka toteutumista ei myöhemmin valvota, luo hallinnan vaikutelman mutta lisää sopimuksen hallintakustannuksia. Seurantaan soveltuvat esimerkiksi muodollista riskin hyväksyntää edellyttävien poikkeamien määrä ja velvoitteiden oikea-aikainen toteutuminen.

Sopimusmuutosten kustannukset eivät rajoitu oikeudellisen asiantuntijan työhön. Niihin kuuluvat toimittajien uudelleenarvioinnit, neuvottelut, auditoinnit, sovittujen parametrien valvonta ja täydentävien suojausten käyttöönotto. Nämä riippuvuudet on huomioitava artikkelissa Mitä NIS2:n ja uKSC:n käyttöönotto maksaa – auditoinnin, dokumentaation, koulutuksen ja suojausten budjetointi ilman kalliita virheitä kuvatussa budjetissa. Sopimus toimii ohjausmekanismina vasta, kun organisaatio on nimennyt valvonnan omistajan, kerää näyttöä velvoitteiden toteutumisesta ja määrittänyt toimintatavan palvelun muuttuessa tai päättyessä.

Valvonta sopimuksen allekirjoittamisen jälkeen

Alkuarviointi vanhenee nopeasti, jos yhteistyön aikana muuttuvat palvelun laajuus, ratkaisun arkkitehtuuri, toimittajan omistus, käsittelypaikka, alihankkijat tai järjestelmien ja tietojen käyttöoikeustaso. Valvonnan on siksi sisällettävä palvelun kriittisyyteen perustuvat määräaikaisarvioinnit sekä ennalta määritettyjen tapahtumien käynnistämät arvioinnit. Toiminnan jatkuvuuteen merkittävästi vaikuttavia toimittajia on valvottava useammin kuin helposti korvattavia toimittajia, joilla ei ole korotettuja käyttöoikeuksia.

Seurantasyklillä on oltava omistaja, eskalointirajat ja määritetyt tallenteet. Palvelutasomittareiden seuranta ei yksin riitä. Ne on yhdistettävä poikkeamatietoihin, jatkuvuus- ja palautustestien tuloksiin, korjaavien toimenpiteiden tilanteeseen, alihankkijamuutoksiin sekä merkkeihin toimittajan operatiivisen toimintakyvyn heikkenemisestä. Aikataulun ulkopuolisen uudelleenarvioinnin tulisi käynnistyä ainakin seuraavissa tilanteissa:

• palvelun laajuus tai käyttöoikeudet muuttuvat olennaisesti;
• tietojen käsittely siirretään toiseen paikkaan;
• palvelun toteuttamiseen vaikuttava alihankkija vaihtuu;
• palvelutasopoikkeamat toistuvat;
• poikkeamaa ei suljeta määräajassa;
• tapahtuma osoittaa reagointikyvyn riittämättömäksi.

Sopimusta tehtäessä hyväksytysti arvioitu toimittaja voi vuoden kuluttua käyttää uutta palvelinkeskusta tai siirtää osan palvelusta alihankkijalle. Palvelun nimi ja ilmoitettu laajuus voivat säilyä samoina, vaikka tekniset riippuvuudet, käsittelypaikka, palautusmenettely ja näytön saatavuus muuttuvat. Ellei muutosten ilmoittamismekanismia ole, organisaatio valvoo historiallista eikä nykyistä riskiprofiilia. Hyödyllisiä mittareita ovat uudelleenarviointia edellyttävien palvelulaajuus-, käyttöoikeus- ja alihankkijamuutosten määrä, poikkeamien ja palvelutasorikkomusten määrä sekä sovitussa ajassa suljettujen korjaavien toimenpiteiden osuus.

Havaittu poikkeama ei automaattisesti edellytä yhteistyön lopettamista. Päätöksessä on huomioitava poikkeaman vaikutus, sen korjaamiseen tarvittava aika, palvelun korvattavuus ja siirtymäkauden riski. Organisaatio voi edellyttää toimittajalta korjaavia toimenpiteitä, käyttää kompensoivia hallintakeinoja, hyväksyä riskin määräajaksi ja määrittää uuden katselmointiajankohdan, rajata käyttöoikeuksia tai käynnistää toimittajan korvaamissuunnitelman. Jokaiselle etenemispolulle on nimettävä päätöksen omistaja, määräaika ja sulkemiskriteeri sekä määritettävä näyttö, jolla toimenpiteen vaikuttavuus – ei vain sen suorittaminen – vahvistetaan.

Koko mekanismin vaikuttavuutta on arvioitava määräajoin tallenteiden, reagointiharjoitusten ja muuttuneeseen riskiin liittyvän päätöksentekokyvyn perusteella. Arvioinnin suunnittelussa hyödyllisenä vertailukohtana toimii artikkeli NIS2-auditointi tuotantoyrityksessä – kuinka arvioida organisaation valmius uusiin velvoitteisiin. Auditoinnissa ei pidä varmistaa vain katselmointiaikataulun olemassaoloa. Sen tulee osoittaa, johtavatko varoitussignaalit eskalointiin, suljetaanko poikkeamat sovittujen kriteerien mukaisesti ja säilyykö toimittajariski kytkettynä organisaation prosessien jatkuvuuteen.

Auditointivalmis toimittaja-arviointiohjelma

Toimittajien valvontaohjelma on auditointivalmis, kun se muodostaa yhden johdonmukaisen päätöksentekomekanismin eikä erillisten kyselyjen, sopimuslausekkeiden ja hajautettujen rekisterien kokoelmaa. Vähimmäissisältöön kuuluvat toimittajarekisteri prosessi- ja teknisine riippuvuuksineen, segmentointiperusteet, päätöksentekoroolit, toimittajaluokkakohtaiset vaatimukset, näytön arviointi, sopimusperiaatteet, seuranta, eskalointi ja yhteistyön päättämistä koskevat menettelyt. Auditointiohjelmassa ja riskirekisterissä on käytettävä samoja luokituksia, omistajarooleja ja hyväksymiskriteerejä.

Jos resurssit ovat rajalliset, pilottiryhmään kannattaa valita kriittisiä prosesseja palvelevat toimittajat, korotettuja käyttöoikeuksia käyttävät toimittajat sekä vaikeasti korvattavat toimittajat. Laajuutta voidaan myöhemmin kasvattaa riskitason ja ensimmäisten arviointien tulosten perusteella. Koko toimittajakannan samanaikainen arviointi lisää yleensä hallinnollisia kustannuksia ilman vastaavaa hyötyä. Johdon tulee hyväksyä arviointien järjestys, puutteiden korjaussuunnitelma ja budjetti sekä ratkaista riskit, jotka ylittävät operatiiviselle tasolle annetut valtuudet.

Auditoinnissa laajaa menettelykuvausta vakuuttavampi on yhden päätöksen johdonmukainen auditointipolku: toimittajan luokittelu, vaatimusten perustelut, arvioitu näyttö, asianmukaiset sopimusehdot, seuranta- ja poikkeamatallenteet sekä muodollinen riskin hyväksyntä tai päätös korjaavista toimenpiteistä. Valmiutta voidaan mitata esimerkiksi ohjelman mukaisesti luokiteltujen ja arvioitujen toimittajien osuudella, kriittisten toimittajien arviointiaikataulun toteutumisella sekä niiden riskien määrällä, joilta puuttuu omistaja, reagointiaika tai hyväksytty päätös.

Normatiivisen ja oikeudellisen viitekehyksen tulee täydentää prosessin suunnittelua, ei korvata sen toimintalogiikkaa. NIS2-vaatimukset on muutettava vastuiksi, arviointiperusteiksi, tallenteiksi ja todennettavaksi näytöksi. Samalla on huomioitava sovellettava kansallinen täytäntöönpanosääntely ja se, missä laajuudessa se koskee organisaatiota. Toimialakohtainen esimerkki tästä lähestymistavasta on artikkeli ISO 19443 – pääsy Puolan ydinenergia-alan toimitusketjuun, jossa toimittajien hyväksyntä ja valvonta ovat osa organisaation kykyä täyttää turvallisuuteen liittyvät vaatimukset.