NIS2 in varnost dobavne verige: kako ocenjevati ponudnike IT, integratorje in podizvajalce

Varnost dobavne verige se ne začne z enakim vprašalnikom za vse pogodbene partnerje. Najprej je treba ugotoviti, od katerih ponudnikov so odvisni procesi organizacije, kakšen dostop jim je omogočen ter kakšne posledice bi povzročili njihova nedosegljivost, varnostni incident ali prepozen odziv. Šele na tej podlagi je mogoče določiti obseg ocenjevanja, zahtevana dokazila, pogodbene pogoje in način nadzora. V nasprotnem primeru organizacija preverja formalno popolnost dokumentacije namesto dejanskega tveganja, povezanega s storitvami IT, integratorji in podizvajalci.

Ponudnik kot sestavni del odpornosti organizacije

Tveganje, povezano s ponudnikom, ne izhaja samo iz ranljivosti njegovih sistemov ali ravni tehničnih zaščitnih ukrepov. Nastane predvsem tam, kjer zunanja storitev, osebje, programska oprema ali infrastruktura vplivajo na neprekinjeno izvajanje procesa organizacije. Obsega nadzora zato ne bi smeli določati vrednost pogodbe, velikost pogodbenega partnerja ali zgolj vrsta kupljene storitve, temveč posledice njene nedosegljivosti, kršitve zaupnosti, izgube celovitosti podatkov ali prepoznega odziva na incident.

Proces je treba začeti z jasno razdelitvijo odgovornosti. Lastnik poslovnega procesa opredeli odvisnost in njen operativni pomen. Funkcija informacijske varnosti oceni izpostavljenost, nabava vključi zahteve v merila za izbor in pogodbo, IT pa preveri obseg dostopa in tehnične rešitve. Določiti je treba tudi, kdo razvršča tveganje, odobri odstopanje od zahtev, nadzoruje izvajanje pogodbe in usklajuje sodelovanje med incidentom. Brez tega vprašalnik za ponudnika ostane dokument brez lastnika, tveganje pa se porazgubi med organizacijskimi enotami.

Majhen integrator z oddaljenim privilegiranim dostopom do proizvodnega okolja lahko pomeni večjo izpostavljenost kot velik ponudnik pisarniških storitev, čeprav je vrednost njegove pogodbe bistveno nižja. Izpad, prevzem tehničnega računa ali nedosegljivost osebja integratorja lahko neposredno ustavijo proizvodnjo oziroma otežijo njeno obnovitev. Poglobljena ocena mora zato zajeti predvsem pogodbene partnerje, povezane s kritičnimi procesi, ponudnike z oddaljenim ali privilegiranim dostopom, obdelovalce pomembnih informacij ter subjekte, ki sodelujejo pri odzivanju na incidente in obnovi poslovanja.

Šele po prepoznavi teh odvisnosti je mogoče proces ustrezno povezati z zahtevami NIS2 glede obvladovanja tveganj, varnosti dobavne verige in odgovornosti vodstva, ob upoštevanju obsega, ki izhaja iz veljavnih nacionalnih predpisov. Vodstvo ne sme nadomestiti strokovne tehnične ocene. Potrditi pa mora pravila za razvrščanje ponudnikov, določitev lastnikov tveganj in način odobravanja odstopanj. Uporabna kazalnika sta število kritičnih procesov, odvisnih od zunanjih storitev, ter število ponudnikov s privilegiranim ali oddaljenim dostopom. Širši kontekst teh odločitev predstavlja prispevek NIS2 v praksi upravljanja: kako zahteve pretvoriti v odločitve, odgovornosti in dejansko odpornost organizacije.

Segmentacija glede na posledice in raven dostopa

Enoten vprašalnik za vse pogodbene partnerje ne zagotavlja ocene, sorazmerne s tveganjem. Segmentacija mora povezovati posledice nedosegljivosti storitve, vrsto obdelovanih informacij, obseg pravic, možnost prenosa incidenta v lastno okolje in nadomestljivost ponudnika. Osnova za razvrstitev je čas, v katerem lahko proces glede na analizo vplivov na poslovanje deluje brez posamezne storitve, pa tudi število odvisnih procesov in lokacij. Vrednost pogodbe in velikost ponudnika sta zgolj pomožna podatka, saj ne opisujeta tehničnih odvisnosti, dopustnega trajanja prekinitve ali stroška varne zamenjave storitve.

Pragovi za osnovno oceno, razširjeno oceno in presojo morajo biti povezani z merljivimi merili. Presoja je lahko potrebna pri ponudniku, katerega izpad bi presegel dopustni čas prekinitve, ki ima privilegiran dostop ali ga ni mogoče zamenjati brez pomembne tehnične spremembe. Razširjena ocena je primerna pri omejenem dostopu, obdelavi informacij, ki zahtevajo zaščito, ali odvisnostih naslednjih ravni dobavne verige. Za druge pogodbene partnerje lahko zadošča osnovna ocena, če ne povzročajo kopičenja tveganj.

Pri ponudniku kadrovskega sistema je treba poudariti klasifikacijo informacij, upravljanje pravic in obnovitev podatkov. Integratorja industrijske avtomatizacije je treba ocenjevati predvsem z vidika oddaljenega dostopa, sprememb konfiguracije in sposobnosti zagotavljanja podpore po incidentu. Podizvajalec, ki servisira opremo, morda nima dostopa do sistemov, vendar lahko njegova nedosegljivost ustavi proces zaradi pomanjkanja delov, kompetenc ali dokumentacije. Odvisnosti med informacijskimi sistemi, operativno tehnologijo in neprekinjenostjo proizvodnje podrobneje obravnava prispevek NIS2 za proizvodna podjetja: za koga velja, katere obveznosti uvaja in kako organizacijo pripraviti, ne da bi temo omejili zgolj na IT.

Razvrstitev ne sme ostati nespremenjena ves čas sodelovanja. Ponoviti jo je treba po spremembi obsega storitve, dostopa, arhitekture, podizvajalcev, obdelovanih informacij ali pomena procesa. Občasno jo je treba potrditi tudi, če se pogodbeni pogoji niso spremenili. Tako je mogoče raven potrebne skrbnosti prilagoditi dejanski izpostavljenosti in dokazati, da nadzor dobavne verige temelji na presoji posledic, ne pa na formalni razdelitvi pogodbenih partnerjev.

Dokazila namesto izjav

Ocena ponudnika mora obravnavati način izvajanja kontrol, ne zgolj obstoj politik in postopkov. Vprašanja naj bodo usmerjena v upravljanje dostopov, ranljivosti in sprememb, izdelavo varnostnih kopij, spremljanje dogodkov, odzivanje na incidente, neprekinjeno poslovanje, varnost osebja ter nadzor podizvajalcev. Odgovor »postopek imamo vzpostavljen« ni zadosten, če ne opredeljuje lastnika dejavnosti, pogostosti kontrole, načina evidentiranja rezultatov in obravnave odstopanj. Opozorilni znak so tudi splošna gradiva, ki se ne nanašajo na naročeno storitev, njeno lokacijo ali okolje izvajanja.

Minimalni nabor dokazil je treba za vsak razred ponudnikov določiti še pred začetkom ocenjevanja. Pri nižjem tveganju lahko zadoščajo odgovori lastnika procesa, podprti z veljavnimi dokumenti in vzorčnimi zapisi. Z večjo kritičnostjo je treba zahtevati rezultate preizkusov, operativne evidence, kazalnike izvajanja kontrol in neodvisne ocene. Pri kritičnih storitvah je lahko utemeljen tehnični razgovor, oddaljena ocena ali presoja na lokaciji. Izbira metode mora biti med drugim odvisna od možnosti preverjanja zaščitnih ukrepov brez dostopa do infrastrukture in od posledic napačne izjave. Smiselno je evidentirati datum in rezultat zadnjega preizkusa obnovitve pomembne storitve ter čas odpravljanja ranljivosti po stopnjah kritičnosti, ki jih uporablja ponudnik.

Izjava, da se izdelujejo varnostne kopije, jasno pokaže razliko med zagotovilom in dokazilom. Ne pojasni, ali so kopije ločene od produkcijskega okolja, kdo jih lahko izbriše, kako pogosto se izvajajo preizkusi obnovitve ali kakšen je bil rezultat zadnjega preizkusa. Prav tako ne določa, kdo je odgovoren za obnovitev celotne storitve: ponudnik infrastrukture, proizvajalec aplikacije, integrator ali naročnik. Ustrezno dokazilo zato ni le opis pravil, ampak tudi zapis zadnjega preizkusa, obseg obnovljenih podatkov in funkcij, ugotovljene neskladnosti ter potrditev, da so bili odpravljeni vzroki neuspeha. Izogibajoč odgovor je mogoče prepoznati po manjkajočih datumih, obsegu in odgovornostih oziroma po tem, da dokazila ni mogoče povezati s konkretno storitvijo.

Certifikat sistema vodenja je pomembno podporno dokazilo, vendar organizacije ne razbremeni potrebne skrbnosti. Preveriti je treba njegov obseg, obdobje veljavnosti, vključene lokacije in storitve ter njihovo skladnost s predmetom naročila. Certificiranje sedeža družbe ne pomeni nujno, da so v obseg vključeni podatkovni center, vzdrževalna ekipa ali podizvajalec, ki izvaja ključni del storitve. Certifikat je lahko sestavni del osnovne ocene. Pri kritični odvisnosti pa ga je treba dopolniti z operativnimi dokazili in ob pomembnih vrzelih tudi s presojo. Takšno povezovanje zaščitnih ukrepov s procesno odgovornostjo predstavlja tudi prispevek TISAX za predstavnika vodstva in inženirja kakovosti – kako informacijsko varnost povezati s procesi podjetja; varnost ne sme ostati omejena na dokumentacijo IT.

Pogodba kot mehanizem obvladovanja

Pogodba s kritičnim ponudnikom mora rezultat ocene tveganja pretvoriti v obveznosti, ki jih je mogoče izvajati in preverjati. Sama določba o zaupnosti ni dovolj. Pogodbene določbe morajo vključevati prijavljanje dogodkov, dostop do informacij, potrebnih za oceno njihovih posledic, sodelovanje ponudnika pri analizi in obnovitvi poslovanja, vzdrževanje dogovorjenih zaščitnih ukrepov, upravljanje sprememb ter pravila za vključevanje nadaljnjih podizvajalcev. Za konkretno storitev je treba dogovoriti tudi parametre razpoložljivosti, obnovitve in hrambe, ki izhajajo iz zahtev poslovnega procesa, ne le iz standardnega opisa storitve ponudnika.

Ključno je določiti lastnika pogajanj o varnostnih zahtevah in pragove za sprejemanje pogodbenih odstopanj. Nabava lahko vodi pogodbeni postopek, vendar ne sme sama odločati, ali so omejitev odgovornosti, zavrnitev pravice do presoje ali neomejeno vključevanje podizvajalcev sprejemljivi. Takšna odstopanja morajo glede na vrsto tveganja oceniti lastnik procesa, funkcija informacijske varnosti, funkcija neprekinjenega poslovanja in pravna služba. Če prevladujoči ponudnik ne sprejme naročnikovih določb, odločitev ne sme temeljiti na brezpogojnem sprejetju njegovega vzorca. Organizacija lahko oceni nadomestne zaščitne ukrepe, omeji obseg storitve, okrepi spremljanje ali formalno sprejme tveganje z obrazložitvijo in določenim lastnikom.

Določba o obveščanju »brez nepotrebnega odlašanja« ima majhno operativno vrednost, če ne določa komunikacijskega kanala, minimalnega obsega informacij, kontaktnih točk in oseb, pooblaščenih za odločanje. Dogovorjeni čas obvestila mora organizaciji omogočiti dejansko presojo dogodka in izpolnitev lastnih obveznosti. Ponudnik mora sporočiti najmanj opis dogodka, prizadete storitve in podatke, znani ali pričakovani vpliv, izvedene omejevalne ukrepe ter rok naslednje posodobitve. Pogodba mora urejati tudi dostop do tehničnih zapisov in sodelovanje ustreznih strokovnjakov pri analizi vzrokov ter obnovitvi storitve.

Prav tako sama pravica do presoje še ne zagotavlja učinkovitega nadzora. Če pogodba ne določa razlogov za uvedbo presoje, obsega dostopa do dokazil, pravil varovanja zaupnih informacij, stroškov ter rokov za dogovor in izvedbo korektivnih ukrepov, se lahko določba izkaže za neizvedljivo prav med incidentom. Obseg pogodbenih določb mora biti odvisen od kritičnosti ponudnika in možnosti zamenjave storitve. Preobsežen nabor zahtev, ki ga pozneje nihče ne nadzoruje, ustvarja videz nadzora in povečuje stroške upravljanja pogodbe. Smiselno je spremljati število odstopanj, za katera je potrebna formalna odobritev tveganja, ter pravočasnost izpolnjevanja obveznosti.

Stroški sprememb pogodb niso omejeni na delo pravne službe. Vključujejo ponovno ocenjevanje ponudnikov, pogajanja, presoje, spremljanje dogovorjenih parametrov in uvedbo dodatnih zaščitnih ukrepov. Te odvisnosti je treba upoštevati v proračunu, opisanem v gradivu Koliko stane uvedba NIS2 in uKSC – kako pripraviti proračun za presojo, dokumentacijo, usposabljanja in zaščitne ukrepe brez dragih napak. Pogodba svojo funkcijo izpolni šele, ko organizacija določi lastnika nadzora, zbira dokazila o izpolnjevanju obveznosti ter ima določen način ukrepanja ob spremembi ali prenehanju storitve.

Nadzor po podpisu pogodbe

Začetna ocena hitro zastara, če se med sodelovanjem spremenijo obseg storitve, arhitektura rešitve, lastništvo ponudnika, lokacija obdelave, podizvajalci ali raven dostopa do sistemov in informacij. Nadzor mora zato vključevati redne preglede, katerih pogostost izhaja iz kritičnosti storitve, ter ocene, ki jih sprožijo določeni dogodki. Ponudniki z velikim vplivom na neprekinjeno poslovanje zahtevajo pogostejši nadzor kot izvajalci lahko nadomestljivih storitev brez privilegiranega dostopa.

Cikel spremljanja mora imeti lastnika, pragove za eskalacijo in zahtevane zapise. Preverjanje zgolj parametrov izvajanja storitve ni dovolj. Povezati jih je treba z informacijami o incidentih, rezultati preizkusov neprekinjenega poslovanja in obnovitve, stanjem korektivnih ukrepov, spremembami podizvajalcev ter znaki poslabšanja operativne sposobnosti ponudnika. Ponovno oceno zunaj načrtovanega cikla morajo med drugim sprožiti:

• pomembna sprememba obsega storitve ali dostopa;
• premestitev obdelave;
• sprememba podizvajalca, ki vpliva na izvajanje storitve;
• ponavljajoče se kršitve parametrov storitve;
• neskladnost, ki ni odpravljena v dogovorjenem roku;
• dogodek, ki kaže na nezadostno sposobnost odzivanja.

Ponudnik, ki je bil ob sklenitvi pogodbe ocenjen pozitivno, lahko po enem letu uporablja nov podatkovni center ali del storitve prenese na podizvajalca. Naziv in deklarirani obseg storitve ostaneta enaka, spremenijo pa se tehnične odvisnosti, kraj obdelave, način obnovitve in dostopnost dokazil. Če ni mehanizma za prijavo takšnih sprememb, organizacija nadzoruje pretekli in ne dejanski profil tveganja. Uporabni kazalniki so število sprememb obsega, dostopa ali podizvajalcev, ki zahtevajo ponovno oceno, število incidentov in kršitev parametrov storitve ter delež korektivnih ukrepov, zaključenih v dogovorjenem roku.

Ugotovljena neskladnost ne pomeni nujno samodejnega prenehanja sodelovanja. Odločitev mora upoštevati vpliv neskladnosti, čas za njeno odpravo, možnost zamenjave storitve in tveganje prehodnega obdobja. Organizacija lahko od ponudnika zahteva korektivne ukrepe, uvede kompenzacijske ukrepe, začasno sprejme tveganje z določenim rokom ponovnega pregleda, omeji dostop ali aktivira načrt zamenjave ponudnika. Vsaka možnost zahteva lastnika odločitve, rok, merilo za zaključek in dokazilo, ki potrjuje učinkovitost, ne zgolj izvedbe naloge.

Učinkovitost celotnega mehanizma je treba periodično preverjati na podlagi zapisov, vaj odzivanja in sposobnosti organizacije za odločanje po spremembi tveganja. Pri načrtovanju takšnega preverjanja je lahko v pomoč prispevek Presoja NIS2 v proizvodnem podjetju – kako preveriti pripravljenost organizacije na nove obveznosti. Presoja mora potrditi ne le obstoj načrta pregledov, ampak tudi to, ali opozorilni signali vodijo do eskalacije, ali se neskladnosti zaključujejo po določenih merilih ter ali tveganje ponudnika ostaja povezano z neprekinjenostjo procesov organizacije.

Program ocenjevanja, pripravljen na presojo

Program nadzora ponudnikov je pripravljen na presojo, kadar deluje kot enoten mehanizem odločanja in ne kot zbirka vprašalnikov, pogodbenih določb ter razpršenih evidenc. Njegov minimalni obseg vključuje register ponudnikov skupaj s procesnimi in tehničnimi odvisnostmi, merila za segmentacijo, odločevalske vloge, zahteve za posamezne razrede, oceno dokazil, pogodbena pravila, spremljanje, eskalacijo in ravnanje ob prenehanju sodelovanja. Program presoj in register tveganj morata uporabljati enake klasifikacije, lastniške odgovornosti in merila sprejemljivosti.

Pri omejenih virih je treba v pilotno skupino vključiti ponudnike, ki podpirajo kritične procese, imajo privilegiran dostop ali jih je težko nadomestiti. Obseg se nato lahko širi glede na raven tveganja in rezultate prvih ocen. Poskus hkratne vključitve celotne baze pogodbenih partnerjev praviloma poveča administrativne stroške brez sorazmerne koristi. Vodstvo mora potrditi vrstni red ocenjevanja, načrt odpravljanja vrzeli in proračun ter odločati o tveganjih, ki presegajo dodeljena operativna pooblastila.

Med presojo je bolj kot obsežen postopek prepričljiva dosledna sled ene odločitve: razvrstitev ponudnika, utemeljitev zahtev, ocenjena dokazila, ustrezni pogodbeni pogoji, zapisi spremljanja in neskladnosti ter formalno sprejetje tveganja ali odločitev o korektivnih ukrepih. Pripravljenost je mogoče meriti z deležem ponudnikov, razvrščenih in ocenjenih v okviru programa, izvedbo načrta ocenjevanja kritičnih ponudnikov ter številom tveganj brez lastnika, roka za odziv ali potrjene odločitve.

Normativna in pravna izhodišča morajo projekt procesa zaokrožiti, ne pa nadomestiti njegove logike. Zahteve NIS2 je treba pretvoriti v odgovornosti, merila, zapise in preverljiva dokazila, pri čemer je treba upoštevati veljavne nacionalne izvedbene predpise in obseg njihove uporabe za posamezno organizacijo. Panožni primer takšnega pristopa je ISO 19443 — vstopnica v dobavno verigo poljske jedrske industrije, kjer kvalifikacija in nadzor ponudnikov soustvarjata sposobnost organizacije za varno izpolnjevanje zahtev.