Küsimustikust kaugemale: infoturbejuhi põhjalik juhend suure riskiga tarnijate auditeerimiseks NIS2 ja DORA nõuete täitmisel

Aruanne jõudis infoturbejuhi Maria Vale töölauale vaikse mütsatusega, mis kõlas pigem häiresireenina. See oli eelauditi hinnang eelseisvaks DORA nõuetele vastavuse läbivaatuseks ning üks rida oli teravalt punasega esile tõstetud: „Ebapiisav kindlus kriitilise kolmanda osapoole teenuseosutaja CloudSphere’i kohta.“

CloudSphere ei olnud lihtsalt üks tarnija paljude seast. See oli ettevõtte uue digipanganduse platvormi selgroog, mis töötles iga päev miljoneid tehinguid. Marial oli toimikus nende ISO/IEC 27001:2022 sertifikaat. Tal oli ka nende täidetud infoturbe küsimustik – mahukas 200 küsimusega dokument. Kuid eelaudiitorid andsid märku, et suure riskiga kriitilise tarnija puhul ei piisa enam linnukesepõhisest vastavusest. Mängureeglid olid muutunud.

Kuna nii NIS2 direktiiv kui ka digitaalse tegevuskerksuse määrus (DORA) on täielikult jõus, ei piirdu regulaatorid enam paberijäljega. Nad nõuavad käegakatsutavaid tõendeid hoolsuskontrolli, pideva seire ja kogu tarneahela tugeva juhtimise kohta. Maria väljakutse on sama, millega seisavad silmitsi infoturbejuhid kõikjal: kuidas liikuda küsimustikust kaugemale ning oma kõige kriitilisemaid tarnijaid päriselt auditeerida ja turvata? Selleks on vaja strateegilist nihet passiivselt valideerimiselt aktiivsele, tõenduspõhisele kindlusele.

Staatilise küsimustiku puudus dünaamilises maailmas

Aastaid on infoturbe küsimustik olnud kolmandate osapoolte riskijuhtimise nurgakivi. Ent see on staatiline hetkepilt dünaamilisel ohumaastikul. Tarnija riskiprofiil ei ole fikseeritud; see muutub iga uue ohu, süsteemimuudatuse või kaasatud alltöövõtjaga. Ainuüksi enesekinnitusele tuginemine kriitilise tarnija, näiteks CloudSphere’i puhul, on nagu tormis navigeerimine eelmise aasta ilmateate põhjal.

NIS2 direktiiv nõuab sõnaselgelt riskipõhist lähenemist, mille kohaselt peavad turvameetmed olema proportsionaalsed tegelike riskidega. See tähendab, et kõigile ühesugune küsimustik ei vasta sisuliselt tänapäevastele regulatiivsetele ootustele. Möödas on ajad, mil sertifikaat või täidetud kontrollnimekiri võis asendada tõendusmaterjali. Tegelik risk jääb paberijäljest kaugemale.

Siin muutub hädavajalikuks struktureeritud, elutsüklipõhine lähenemine. Küsimus ei ole küsimustikest loobumises, vaid nende täiendamises sügavama ja rangema kontrolliga tarnijate puhul, kellel on tegelik mõju. See on Claryseci kolmandate osapoolte ja tarnijate turbepoliitika keskne põhimõte. Üks selle põhieesmärke on:

„Nõuda ametlikku hoolsuskontrolli ja dokumenteeritud riskihindamisi enne uute tarnijate kaasamist või suure riskiga teenuslepingute uuendamist.“

• Jaotisest „Eesmärgid“, poliitika punkt 3.3

See punkt nihutab mõtteviisi lihtsast kontrollist ametliku hindamiseni, mis on oluline esimene samm regulatiivsele kontrollile vastu pidava kaitstava programmi ülesehitamisel.

Tarnijarisk NIS2 ja DORA alusel: uued ootused

Nii NIS2 kui ka DORA nõuavad, et organisatsioonid tuvastaksid, hindaksid ja jälgiksid pidevalt riske kogu tarnijaportfellis. Need muudavad tarnijahaldusfunktsiooni hanketegevusest operatiivse toimepidevuse ja infoturbe keskseks sambaks.

Uus regulatiivne keskkond nõuab selgeid raamistikke, mis on tihedalt seostatud väljakujunenud standarditega, näiteks ISO/IEC 27001:2022. Allpool on kõrgetasemeline kokkuvõte sellest, mida need raamistikud teie tarnijate juhtimise programmilt ootavad:

Tugevat tarnijaauditi programmi ei ole vaja nullist leiutada. ISO/IEC 27001:2022 raamistik, eelkõige selle Lisa A kontrollimeetmed, annab tugeva alusmudeli. Clarysecis suuname kliente üles ehitama oma programmi kolme omavahel seotud kontrollimeetme ümber, mis moodustavad tervikliku tarnijate juhtimise elutsükli.

Kaitstava auditiraamistiku loomine: ISO 27001:2022 elutsükkel

Regulaatorite ootustele vastava programmi loomiseks on vaja struktureeritud lähenemist, mis tugineb ülemaailmselt tunnustatud standardile. ISO/IEC 27001:2022 tarnijaturbe kontrollimeetmed annavad elutsükli kolmandate osapoolte riskide juhtimiseks alates suhte algatamisest kuni lõpetamiseni. Vaatame, kuidas Maria saab seda elutsüklit kasutada CloudSphere’i kaitstava auditiplaani koostamiseks.

1. samm: alus – infoturve tarnijasuhetes (5.19)

Kontrollimeede 5.19 on strateegiline lähtepunkt. See nõuab ametlike protsesside kehtestamist kogu tarnijaökosüsteemiga seotud infoturberiskide tuvastamiseks, hindamiseks ja juhtimiseks. Siin määratlete, mida „suur risk“ teie organisatsiooni jaoks tähendab, ning kehtestate mängureeglid.

Claryseci Zenith Controls: The Cross-Compliance Guide annab 5.19 kohta üksikasjaliku ülevaate, näidates selle rolli tarnijajuhtimise keskse sõlmpunktina. See kontrollimeede on olemuslikult seotud teiste kontrollimeetmetega, näiteks 5.21 (infoturve IKT tarneahelas), mis hõlmab riist- ja tarkvarakomponente, ning 5.14 (teabe edastamine), mis reguleerib turvalist andmevahetust. Tarnijasuhet ei saa tõhusalt juhtida, kui te ei kontrolli ühtlasi tarnija pakutavat tehnoloogiat ja andmeid, mida te temaga jagate.

Maria jaoks tähendab see, et CloudSphere’i audit peab minema kaugemale nende ettevõtteülesest turbeolekust ning süvenema tegelikult pakutava platvormi turvalisusse. Zenith Controls juhend rõhutab, et 5.19 tugev rakendamine toetab otseselt vastavust peamistele regulatsioonidele:

• NIS2 (Article 21(2)(d)): kohustab organisatsioone juhtima tarneahela riski oma turberaamistiku põhiosana.
• DORA (Articles 28–30): nõuab tugevat IKT kolmandate osapoolte riskijuhtimise raamistikku, sealhulgas kriitilisuse klassifitseerimist ja lepingueelset hoolsuskontrolli.
• GDPR (Article 28): nõuab, et vastutavad töötlejad kaasaksid üksnes volitatud töötlejaid, kes annavad piisavad tagatised andmekaitse kohta.

See kontrollimeede nõuab tarnijate riskitasemete määramist, pidevat seiret ja juurdepääsuõiguste õigeaegset tühistamist. Selle eesmärk on tagada, et turvalisus oleks tarnija elutsüklisse sisse ehitatud, mitte hiljem juurde lisatud.

2. samm: rakendamine – infoturbe käsitlemine tarnijalepingutes (5.20)

Turbenõue, mida lepingus ei ole, on pelgalt soovitus. Kontrollimeede 5.20 on koht, kus juhtimine muutub õiguslikult jõustatavaks. Suure riskiga tarnija puhul on leping teie kõige tugevam auditivahend.

Nagu Zenith Controls rõhutab, peavad need kokkulepped olema selgesõnalised. Ebamäärased lubadused „valdkonna parima turvalisuse“ kohta on väärtusetud. CloudSphere’i-suguse tarnija puhul peab Maria kontrollima, et leping sisaldaks konkreetseid ja mõõdetavaid klausleid, mis annavad tema organisatsioonile käegakatsutava järelevalvevõimaluse:

• Auditeerimisõigus: klausel, mis annab tema organisatsioonile selgesõnalise õiguse teha tehnilisi hindamisi, vaadata läbi tõendusmaterjali või kaasata kolmas osapool nende nimel auditeerima.
• Intsidentidest teavitamise tähtajad: konkreetsed ja ranged tähtajad, näiteks 24 tunni jooksul avastamisest, tema ettevõtte teavitamiseks turbeintsidendist, mitte ebamäärane „põhjendamatu viivituseta“.
• Alltöövõtjate ehk neljandate osapoolte haldus: klausel, mis nõuab tarnijalt samade infoturbestandardite rakendamist oma kriitilistele alltöövõtjatele ning muudatustest teavitamist. See on allavoolu riski juhtimiseks kriitiline.
• Turvaline väljumisstrateegia: selged kohustused andmete tagastamiseks või sertifitseeritud hävitamiseks lepingu lõpetamisel.

DORA on selles osas eriti ettekirjutav. Article 30 loetleb kohustuslikud lepingutingimused, sealhulgas audiitorite ja regulaatorite takistamatu juurdepääsu, teenuse osutamise asukohtade täpsed andmed ning terviklikud väljumisstrateegiad. Audiitorid valivad kontrolliks suure riskiga tarnijalepinguid ja kontrollivad neid klausleid otse.

3. samm: pidev tsükkel – tarnijateenuste seire, läbivaatamine ja muudatuste juhtimine (5.22)

Elutsükli viimane osa on kontrollimeede 5.22, mis muudab tarnijate järelevalve ühekordsest kontrollist pidevaks protsessiks. Audit ei tohiks olla üllatuslik sündmus, vaid läbipaistval suhtel põhineva jätkuva koostöö valideerimispunkt.

Just siin jäävad paljud organisatsioonid hätta. Leping allkirjastatakse ja pannakse kausta. Suure riskiga tarnijate puhul algab tegelik töö aga pärast kaasamist. Zenith Controls juhend seob 5.22 kriitiliste operatiivsete protsessidega, näiteks 8.8 (tehniliste haavatavuste haldus) ja 5.29 (infoturve häirete ajal). See tähendab, et tõhus seire hõlmab palju enamat kui iga-aastast ülevaatekoosolekut. See sisaldab järgmist:

• Kolmanda osapoole tõendusmaterjali läbivaatamine: nende SOC 2 Type II aruannete, ISO 27001 järelevalveauditite tulemuste või penetratsioonitestide kokkuvõtete aktiivne hankimine ja analüüsimine. Oluline on läbi vaadata erandid ja jälgida nende parandusmeetmeid.
• Intsidentide seire: tarnijaga seotud avalikustatud rikkumiste või turbeintsidentide jälgimine ning võimaliku mõju ametlik hindamine teie organisatsioonile.
• Muudatuste juhtimine: protsessi rakendamine, mille kohaselt iga oluline muudatus tarnija teenuses, näiteks uus andmekeskuse asukoht või uus kriitiline alltöövõtja, käivitab automaatselt riski kordushindamise.

Claryseci Zenith Blueprint: An Auditor’s 30-Step Roadmap annab selle kohta praktilisi suuniseid, eriti sammus 24, mis käsitleb alltöövõtjariski. Selles soovitatakse:

„Iga kriitilise tarnija puhul tuvastage, kas ta kasutab alltöövõtjaid ehk alltöötlejaid, kellel võib olla juurdepääs teie andmetele või süsteemidele. Dokumenteerige, kuidas teie infoturbenõuded nendele osapooltele edasi kantakse… Võimaluse korral küsige peamiste alltöövõtjate loendit ning veenduge, et teie auditeerimisõigus või kindluse saamise õigus kehtib ka nende suhtes.“

See on Maria jaoks kriitiline punkt. Kas CloudSphere kasutab kolmanda osapoole andmeanalüütika ettevõtet? Kas nende taristu on majutatud suures avalikus pilves? Need allavoolu sõltuvused kujutavad endast märkimisväärset ja sageli nähtamatut riski, mille audit peab nähtavaks tegema.

Teooriast tegevuseni: Maria praktiline auditiplaan CloudSphere’i jaoks

Selle ISO 27001:2022 elutsükli alusel koostab Maria meeskond CloudSphere’i jaoks uue auditiplaani, mis läheb küsimustikust oluliselt kaugemale ja tõendab küpset, riskipõhist juhtimist, mida regulaatorid nõuavad.

1. Lepingu läbivaatamine: alustuseks vastendatakse olemasolev CloudSphere’i leping DORA Article 30 ning kontrollimeetme 5.20 parimate tavadega. Koostatakse puudujääkide analüüsi aruanne, et suunata järgmist uuendamistsüklit ja prioriseerida praeguse auditi valdkondi.

2. Sihitud tõendusmaterjali taotlus: üldise küsimustiku asemel saadetakse ametlik taotlus konkreetse tõendusmaterjali saamiseks, sealhulgas:

   • viimane SOC 2 Type II aruanne ja kokkuvõte sellest, kuidas kõik märgitud erandid kõrvaldati;
   • kõige hiljutisema välise penetratsioonitesti juhtkonna kokkuvõte;
   • täielik loend kõigist alltöövõtjatest ehk neljandatest osapooltest, kes nende andmeid töötlevad või neile juurde pääsevad;
   • tõendid selle kohta, et turbenõuded on nendele alltöövõtjatele lepinguliselt edasi kantud;
   • logid või aruanded, mis tõendavad kriitiliste haavatavuste, näiteks Log4j ja MOVEit, õigeaegset paikamist viimase kuue kuu jooksul.

3. Tehniline valideerimine: kasutatakse „auditeerimisõiguse“ klauslit, et kavandada CloudSphere’i turbemeeskonnaga tehniline süvaseanss. Päevakord keskendub nende intsidentidele reageerimise tööjuhistele, Cloud Security Posture Management (CSPM) tööriistadele ja andmelekketõrje kontrollimeetmetele.

4. Ametlik erandite haldus: kui CloudSphere keeldub teatud tõendusmaterjali esitamisest, on Maria valmis. Tema organisatsiooni juhtimisprotsess, mis on määratletud kolmandate osapoolte ja tarnijate turbepoliitikas, on selge:

„Suure riskiga erandid, näiteks reguleeritud andmeid käitlevad või kriitilisi süsteeme toetavad tarnijad, peavad saama heakskiidu infoturbejuhilt, õigusvaldkonnalt ja hankejuhtkonnalt ning need tuleb kanda ISMS-i erandite registrisse.“

• Jaotisest „Riskikäsitlus ja erandid“, poliitika punkt 7.3

See tagab, et tõendusmaterjali esitamisest keeldumist ei ignoreerita, vaid risk aktsepteeritakse ametlikult organisatsiooni kõrgeimal tasandil – protsess, mida audiitorid tunnustavad.

Audiitori vaade: mida erinevad audiitorid nõuavad

Tõeliselt vastupidava programmi loomiseks tuleb mõelda nagu audiitor. Erinevad auditiraamistikud vaatavad teemat erineva nurga alt ning nende küsimuste ennetamine on edu võti. Allpool on koondvaade sellest, mida erinevad audiitorid teie tarnijate juhtimise programmi läbivaatamisel nõuaksid:

See mitme vaatenurga käsitlus näitab, et tugev programm ei seisne ühe standardi rahuldamises, vaid tervikliku juhtimisraamistiku loomises, mis tekitab kõigi nõuete täitmiseks vajaliku tõendusmaterjali.

Kriitilised komistuskohad: kus tarnijaauditid ebaõnnestuvad

Paljud tarnijate järelevalve programmid jäävad alla ootuste levinud ja välditavate vigade tõttu. Olge tähelepanelik järgmiste kriitiliste komistuskohtade suhtes:

• Audit kui sündmus: tuginemine ühekordsetele audititele tarnija kaasamisel või lepingu uuendamisel, mitte pideva seire rakendamine.
• Sertifikaadile liigne toetumine: ISO või SOC 2 sertifikaadi aktsepteerimine nimiväärtuses ilma aruande üksikasju, kohaldamisala ja erandeid läbi vaatamata.
• Ebamäärased lepingud: selgesõnaliste ja jõustatavate klauslite puudumine auditeerimisõiguste, intsidendist teavitamise ja andmete käitlemise kohta.
• Puudulik registrihaldus: võimetus esitada täielikku riskitasemetega tarnijate registrit kõigi tarnijate ja nende juurdepääsetavate andmete kohta.
• Allavoolu riski eiramine: tarnija enda kriitiliste alltöövõtjate ehk neljandate osapoolte riskide tuvastamata ja juhtimata jätmine.
• Kontrollimata haavatavuste haldus: usaldamine, et tarnija paikab kriitilisi haavatavusi, ilma tõendusmaterjali küsimata.

Praktiline kontrollnimekiri suure riskiga tarnijate audititeks

Kasutage seda Zenith Blueprint alusel kohandatud kontrollnimekirja, et tagada iga suure riskiga tarnija auditiprotsessi põhjalikkus ja kaitstavus.

Kokkuvõte: vastupidava ja kaitstava tarneahela loomine

Linnukesepõhise vastavuse ajastu kriitiliste tarnijate puhul on läbi. NIS2 ja DORA laadsete regulatsioonide range kontroll nõuab põhimõttelist nihet pideva, tõenduspõhise kindluse mudeli suunas. Infoturbejuhid nagu Maria peavad juhtima organisatsioonide liikumist staatilisest küsimustikust kaugemale.

Kui ehitate programmi ISO/IEC 27001:2022 kontrollimeetmete tõendatud elutsüklile, loote raamistiku, mis ei ole üksnes nõuetele vastav, vaid vähendab riski ka tegelikult. See tähendab tarnijaturbe käsitlemist strateegilise distsipliinina, jõustatavate nõuete lisamist lepingutesse ning tähelepaneliku järelevalve hoidmist kogu suhte vältel.

Teie organisatsiooni turvalisus on täpselt nii tugev kui selle nõrgim lüli ning tänapäeva omavahel ühendatud ökosüsteemis asub see lüli sageli kolmanda osapoole juures. On aeg kontroll tagasi võtta.

Kas olete valmis küsimustikust kaugemale liikuma?

Claryseci integreeritud tööriistakomplektid annavad aluse, mida vajate maailmatasemel tarnijariski juhtimise programmi loomiseks, mis peab vastu igale auditile.

• Laadige alla meie poliitikamallid: rakendage tugev juhtimisraamistik meie ettevõttetaseme kolmandate osapoolte ja tarnijate turbepoliitika ning selle VKE-dele mõeldud vastava versiooniga.
• Järgige Zenith Blueprinti: kasutage meie Zenith Blueprint: An Auditor’s 30-Step Roadmap juhendit nõuetele vastava ISMS-i rakendamiseks ja auditeerimiseks, koos eraldi sammudega tarnijariski juhtimiseks.
• Kasutage Zenith Controlsi: küsige meie Zenith Controls: The Cross-Compliance Guide demot, et vastendada tarnijate kontrollimeetmed NIS2, DORA, GDPR, NIST ja teiste nõuetega ning tagada, et teie auditiplaan oleks terviklik ja kaitstav.