Thar an gceistneoir: treoir údarásach do Phríomhoifigigh Slándála Faisnéise maidir le soláthraithe ardriosca a iniúchadh le haghaidh NIS2 agus DORA

Tháinig an tuarascáil anuas ar dheasc Maria Valen, an Príomhoifigeach Slándála Faisnéise, le cnag ciúin a mhothaigh níos cosúla le haláram. Ba é sin an measúnú réamhiniúchta dá n-athbhreithniú comhlíontachta DORA a bhí le teacht, agus bhí líne amháin marcáilte le dúch dearg géar: “Dearbhú neamhleor maidir leis an soláthraí criticiúil tríú páirtí, CloudSphere.”

Ní gnáthsholáthraí a bhí i CloudSphere. Ba iad cnámh droma ardán nua baincéireachta digití na cuideachta iad, agus na milliúin idirbheart á bpróiseáil acu gach lá. Bhí deimhniú ISO/IEC 27001:2022 acu i gcomhad Maria. Bhí a gceistneoir slándála comhlánaithe aici, doiciméad trom le 200 ceist. Ach bhí na réamhiniúchóirí ag tabhairt le fios nach raibh comhlíonadh ticbhoscaí sách maith a thuilleadh i gcás soláthraí criticiúil ardriosca. Bhí na rialacha athraithe.

Agus Treoir NIS2 agus an tAcht um Athléimneacht Oibríochtúil Dhigiteach (DORA) i bhfeidhm go hiomlán anois, tá rialálaithe ag féachaint thar an rian páipéir. Éilíonn siad cruthúnas infhíoraithe ar dhícheall cuí, faireachán leanúnach agus rialachas láidir ar fud an tslabhra soláthair ina iomláine. Is é dúshlán Maria an dúshlán atá roimh Phríomhoifigigh Slándála Faisnéise i ngach áit: conas a théann tú thar an gceistneoir chun do sholáthraithe is criticiúla a iniúchadh agus a dhaingniú i gceart? Éilíonn sé aistriú straitéiseach ó bhailíochtú éighníomhach go dearbhú gníomhach bunaithe ar fhianaise.

Laige an cheistneora stataigh i ndomhan dinimiciúil

Le blianta fada, ba é an ceistneoir slándála bunchloch na bainistíochta riosca tríú páirtí. Ach níl ann ach léargas statach i dtírdhreach bagairtí dinimiciúil. Ní rud seasta í próifíl riosca soláthraí; athraíonn sí le gach bagairt nua, athrú córais nó fochonraitheoir a thugtar isteach. Is ionann brath go hiomlán ar fhéindearbhú i gcás soláthraí criticiúil cosúil le CloudSphere agus stoirm a stiúradh le léarscáil aimsire na bliana seo caite.

Éilíonn Treoir NIS2 cur chuige riosca-bhunaithe go sainráite, agus éilíonn sí go mbeidh bearta slándála comhréireach leis na rioscaí iarbhír. Ciallaíonn sé sin go bhfuil ceistneoir aonmhéide do chách mí-ailínithe ó bhonn le hionchais rialála nua-aimseartha. Tá deireadh leis na laethanta inar leor deimhniú nó seicliosta comhlánaithe mar ionadach ar fhianaise. Tá an fíorriosca lasmuigh den rian páipéir.

Seo an áit a mbíonn cur chuige struchtúrtha bunaithe ar shaolré riachtanach. Ní bhaineann sé le ceistneoirí a thréigean, ach le fíorú níos doimhne agus níos treise a chur leo do na soláthraithe is tábhachtaí. Is é seo an croíphrionsabal atá leabaithe i mBeartas Slándála Tríú Páirtí agus Soláthraithe Clarysec. Ceann dá chuspóirí bunúsacha is ea:

“Dícheall cuí foirmiúil agus measúnuithe riosca doiciméadaithe a éileamh sula rachfar i mbun caidrimh le soláthraithe nua nó sula n-athnuafar comhaontuithe seirbhíse ardriosca.”

• Ón rannán ‘Cuspóirí’, clásal beartais 3.3

Bogann an clásal seo an meon ó sheiceáil shimplí go himscrúdú foirmiúil, céim ríthábhachtach tosaigh chun clár inchosanta a thógáil a sheasann do ghrinnscrúdú rialála.

Riosca soláthraithe faoi NIS2 agus DORA: na hionchais nua

Éilíonn NIS2 agus DORA araon ar eagraíochtaí rioscaí a shainaithint, a mheasúnú agus faireachán leanúnach a dhéanamh orthu ar fud a dtírdhreacha soláthraithe. Athraíonn siad bainistíocht soláthraithe ó fheidhm soláthair go colún lárnach den athléimneacht oibríochtúil agus den tslándáil faisnéise.

Éilíonn an timpeallacht rialála nua creataí soiléire atá mapáilte go docht chuig caighdeáin bhunaithe amhail ISO/IEC 27001:2022. Seo achoimre ardleibhéil ar a bhfuil na creataí seo ag súil leis ó do chlár rialachais soláthraithe:

Ní gá clár láidir iniúchta soláthraithe a chumadh ón tús. Soláthraíonn creat ISO/IEC 27001:2022, go háirithe a rialuithe in Iarscríbhinn A, treoirphlean láidir. Ag Clarysec, treoraímid cliaint chun a gclár a thógáil timpeall ar thrí rialú idirnasctha a chruthaíonn saolré iomlán rialachais soláthraithe.

Creat iniúchta inchosanta a thógáil: saolré ISO 27001:2022

Chun clár a thógáil a shásaíonn rialálaithe, teastaíonn cur chuige struchtúrtha uait atá bunaithe ar chaighdeán aitheanta domhanda. Soláthraíonn na rialuithe slándála soláthraithe in ISO/IEC 27001:2022 saolré chun riosca tríú páirtí a bhainistiú ón tús go dtí an foirceannadh. Féachaimis conas is féidir le Maria an saolré seo a úsáid chun plean iniúchta inchosanta a thógáil do CloudSphere.

Céim 1: an bhunchloch - slándáil faisnéise i gcaidrimh le soláthraithe (5.19)

Is é Rialú 5.19 an pointe tosaigh straitéiseach. Éilíonn sé ort próisis fhoirmiúla a bhunú chun na rioscaí slándála faisnéise a bhaineann le d’éiceachóras iomlán soláthraithe a shainaithint, a mheasúnú agus a bhainistiú. Seo an áit a sainmhíníonn tú cad is brí le “ardriosca” do d’eagraíocht agus a leagtar síos rialacha an chluiche.

Soláthraíonn Zenith Controls: The Cross-Compliance Guide ó Clarysec miondealú mionsonraithe ar 5.19, agus léiríonn sé a ról mar lárionad rialachais soláthraithe. Tá an rialú seo ceangailte go bunúsach le rialuithe gaolmhara, amhail 5.21 (Slándáil faisnéise sa slabhra soláthair TFC), a chlúdaíonn comhpháirteanna crua-earraí agus bogearraí, agus 5.14 (Aistriú faisnéise), a rialaíonn malartú slán sonraí. Ní féidir leat caidreamh soláthraí a bhainistiú go héifeachtach mura bhfuil tú ag rialú freisin na teicneolaíochta a sholáthraíonn siad agus na sonraí a chomhroinneann tú.

Do Maria, ciallaíonn sé sin nach mór dá hiniúchadh ar CloudSphere dul níos faide ná staidiúir slándála chorparáideach CloudSphere agus dul isteach i slándáil an ardáin iarbhír a sholáthraíonn siad. Léiríonn treoir Zenith Controls go dtacaíonn cur chun feidhme láidir 5.19 go díreach le comhlíonadh rialachán móra:

• NIS2 (Article 21(2)(d)): Cuireann sé oibleagáid ar eagraíochtaí riosca slabhra soláthair a bhainistiú mar chuid lárnach dá gcreat slándála.
• DORA (Articles 28–30): Sainordaíonn sé creat láidir bainistíochta riosca tríú páirtí TFC, lena n-áirítear aicmiú criticiúlachta agus dícheall cuí réamhchonarthach.
• GDPR (Article 28): Éilíonn sé ar rialaitheoirí gan dul i mbun caidrimh ach le próiseálaithe a sholáthraíonn ráthaíochtaí leordhóthanacha maidir le cosaint sonraí.

Sainordaíonn an rialú seo sraithiú riosca soláthraithe, faireachán leanúnach agus aisghairm thráthúil rochtana. Is é an cuspóir atá leis a chinntiú go bhfuil slándáil fite fuaite i saolré na soláthraithe, seachas í a chur leis mar iar-smaoineamh.

Céim 2: cur chun feidhme - aghaidh a thabhairt ar shlándáil faisnéise i gcomhaontuithe soláthraithe (5.20)

Ní hionann ceanglas slándála nach bhfuil sa chonradh agus ach moladh. Is é Rialú 5.20 an áit a mbíonn rialachas infhorfheidhmithe ó thaobh dlí de. I gcás soláthraí ardriosca, is é do chonradh an uirlis iniúchta is cumhachtaí atá agat.

Mar a chuireann Zenith Controls béim air, ní mór do na comhaontuithe seo a bheith sainráite. Níl luach leordhóthanach le gealltanais dhoiléire faoi “shlándáil de réir dea-chleachtas tionscail”. I gcás soláthraí cosúil le CloudSphere, ní mór do Maria a fhíorú go bhfuil clásail shonracha, intomhaiste sa chonradh a thugann maoirseacht infhíoraithe dá heagraíocht:

• An ceart iniúchta: Clásal a thugann go sainráite don eagraíocht an ceart measúnuithe teicniúla a dhéanamh, fianaise a athbhreithniú, nó tríú páirtí a fhostú chun iniúchadh a dhéanamh thar a ceann.
• Amlínte fógra faoi shárú: Amlínte sonracha, dochta (m.sh., laistigh de 24 uair ón bhfionnadh) chun fógra a thabhairt dá cuideachta faoi theagmhas slándála, seachas gealltanas doiléir “gan mhoill mhíchuí”.
• Bainistíocht fochonraitheoirí (ceathrú páirtí): Clásal a éilíonn ar an soláthraí na caighdeáin slándála chéanna a chur i bhfeidhm ar a fhochonraitheoirí criticiúla féin agus fógra a thabhairt di faoi aon athruithe. Tá sé seo ríthábhachtach chun riosca iartheachtach a bhainistiú.
• Straitéis imeachta shlán: Oibleagáidí soiléire maidir le sonraí a thabhairt ar ais nó a scriosadh go deimhnithe nuair a fhoirceanntar an conradh.

Tá DORA thar a bheith forordaitheach anseo. Liostaíonn Article 30 forálacha conarthacha éigeantacha, lena n-áirítear rochtain gan bhac d’iniúchóirí agus do rialálaithe, sonraí sonracha faoi láithreacha seirbhíse agus straitéisí cuimsitheacha imeachta. Roghnóidh iniúchóirí samplaí de chonarthaí soláthraithe ardriosca agus seiceálfaidh siad go díreach an bhfuil na clásail sin iontu.

Céim 3: an lúb leanúnach - faireachán, athbhreithniú agus bainistíocht athruithe ar sheirbhísí soláthraithe (5.22)

Is é Rialú 5.22 an píosa deiridh den saolré, agus athraíonn sé maoirseacht soláthraithe ó sheiceáil ag pointe ama go próiseas leanúnach. Níor cheart d’iniúchadh a bheith ina imeacht tobann, ach ina phointe bailíochtaithe laistigh de chaidreamh leanúnach trédhearcachta.

Seo an áit a dteipeann ar go leor eagraíochtaí. Faigheann siad an conradh sínithe agus cuireann siad i gcomhad é. Ach i gcás soláthraithe ardriosca, tosaíonn an fíorobair tar éis an tsoláthraí a thabhairt isteach. Nascann treoir Zenith Controls 5.22 le próisis oibríochtúla chriticiúla amhail 8.8 (Bainistíocht leochaileachtaí teicniúla) agus 5.29 (Slándáil faisnéise le linn cur isteach). Ciallaíonn sé sin go bhfuil i bhfad níos mó i gceist le faireachán éifeachtach ná cruinniú athbhreithnithe bliantúil. Áirítear leis:

• Athbhreithniú a dhéanamh ar fhianaise tríú páirtí: A dtuarascálacha SOC 2 Type II, torthaí iniúchta faireachais ISO 27001 nó achoimrí tástála treáite a fháil agus a anailísiú go gníomhach. Is í an eochair ná na heisceachtaí a athbhreithniú agus a gcóiriú a rianú.
• Faireachán a dhéanamh ar theagmhais: Sáruithe nó teagmhais slándála a nochtar go poiblí agus a bhaineann leis an soláthraí a rianú, agus measúnú foirmiúil a dhéanamh ar an tionchar féideartha ar d’eagraíocht.
• Athruithe a bhainistiú: Próiseas a chur chun feidhme ina spreagann aon athrú suntasach ar sheirbhís an tsoláthraí, amhail suíomh nua ionaid sonraí nó fochonraitheoir criticiúil nua, athmheasúnú riosca go huathoibríoch.

Soláthraíonn Zenith Blueprint: An Auditor’s 30-Step Roadmap ó Clarysec treoir inghníomhaithe air seo, go háirithe i gCéim 24, a chlúdaíonn riosca fochonraitheoirí. Molann sé:

“I gcás gach soláthraí chriticiúil, sainaithin an úsáideann siad fochonraitheoirí (fophhróiseálaithe) a d’fhéadfadh rochtain a fháil ar do shonraí nó ar do chórais. Doiciméadaigh conas a shreabhann do cheanglais slándála faisnéise síos chuig na páirtithe sin… Nuair is indéanta, iarr liosta de na príomhfhochonraitheoirí agus cinntigh go mbaineann do cheart iniúchta nó do cheart dearbhú a fháil leo freisin.”

Is pointe ríthábhachtach é seo do Maria. An úsáideann CloudSphere gnólacht anailísíochta sonraí tríú páirtí? An bhfuil a mbonneagar á óstáil ar mhórscamall poiblí? Léiríonn na spleáchais iartheachtacha seo riosca suntasach, dofheicthe go minic, nach mór dá hiniúchadh a thabhairt chun solais.

Ó theoiric go gníomh: plean iniúchta praiticiúil Maria do CloudSphere

Agus saolré ISO 27001:2022 mar thaca aici, dréachtaíonn foireann Maria plean nua iniúchta do CloudSphere a théann i bhfad thar an gceistneoir, agus a léiríonn an rialachas aibí riosca-bhunaithe a éilíonn rialálaithe.

1. Athbhreithniú conarthach: Tosaíonn siad trí chonradh reatha CloudSphere a mhapáil i gcoinne DORA Article 30 agus dhea-chleachtais Rialú 5.20. Cruthaíonn siad tuarascáil anailíse bearnaí chun bonn eolais a chur faoin gcéad timthriall athnuachana eile agus chun réimsí don iniúchadh reatha a chur in ord tosaíochta.

2. Iarratas spriocdhírithe ar fhianaise: In ionad ceistneoir cineálach, seolann siad iarratas foirmiúil ar fhianaise shonrach, lena n-áirítear:

   • An tuarascáil SOC 2 Type II is déanaí agus achoimre ar an gcaoi ar cóiríodh na heisceachtaí uile a tugadh faoi deara.
   • Achoimre feidhmiúcháin ar an tástáil treáite sheachtrach is déanaí a rinneadh orthu.
   • Liosta iomlán de gach fochonraitheoir (ceathrú páirtithe) a phróiseálfaidh a sonraí nó a gheobhaidh rochtain orthu.
   • Cruthúnas go bhfuil ceanglais slándála á sreabhadh síos go conarthach chuig na fochonraitheoirí sin.
   • Logaí nó tuarascálacha a léiríonn paisteáil thráthúil ar leochaileachtaí criticiúla (m.sh., Log4j, MOVEit) le sé mhí anuas.

3. Bailíochtú teicniúil: Baineann siad leas as a gclásal “ceart iniúchta” chun seisiún teicniúil domhain a sceidealú le Foireann Slándála CloudSphere. Díríonn an clár oibre ar a gcuid playbooks freagartha do theagmhais, uirlisí Cloud Security Posture Management (CSPM) agus rialuithe um chosc ar sceitheadh sonraí.

4. Bainistíocht fhoirmiúil eisceachtaí: Má chuireann CloudSphere in aghaidh fianaise áirithe a sholáthar, tá Maria ullamh. Tá próiseas rialachais a heagraíochta, mar a shainítear sa Bheartas Slándála Tríú Páirtí agus Soláthraithe, soiléir:

“Ní mór don CISO, don fheidhm Dlí agus do Cheannaireacht Soláthair eisceachtaí ardriosca (m.sh., soláthraithe a láimhseálann sonraí rialáilte nó a thacaíonn le córais chriticiúla) a fhormheas agus iad a iontráil i gClár Eisceachtaí an ISMS.”

• Ón rannán ‘Cóireáil riosca agus eisceachtaí’, clásal beartais 7.3

Cinntíonn sé sin nach ndéantar neamhaird shimplí d’aon diúltú fianaise a sholáthar, ach go nglactar leis an riosca go foirmiúil ag na leibhéil is airde san eagraíocht, próiseas a bhfuil meas ag iniúchóirí air.

Dearcadh an iniúchóra: cad a éileoidh iniúchóirí éagsúla

Chun clár fíor-athléimneach a thógáil, ní mór duit smaoineamh mar iniúchóir. Tagann lionsaí éagsúla le creataí iniúchta éagsúla, agus tá sé ríthábhachtach a gceisteanna a thuar chun rath a bhaint amach. Seo léargas comhdhlúite ar a n-éileodh iniúchóirí éagsúla agus iad ag athbhreithniú do chlár rialachais soláthraithe:

Léiríonn an dearcadh il-lionsa seo nach mbaineann clár láidir le caighdeán amháin a shásamh, ach le creat iomlánaíoch rialachais a thógáil a ghineann an fhianaise atá riachtanach chun iad uile a shásamh.

Gaistí criticiúla: cá dteipeann ar iniúchtaí soláthraithe

Teipeann ar go leor clár maoirseachta soláthraithe mar gheall ar bhotúin choitianta inseachanta. Bí ar d’aire roimh na gaistí criticiúla seo:

• Iniúchadh mar imeacht: Brath ar iniúchtaí aonuaire le linn thabhairt isteach an tsoláthraí nó le linn athnuachana in ionad faireachán leanúnach a chur chun feidhme.
• Rómhuinín i ndeimhniú: Glacadh le deimhniú ISO nó SOC 2 ar a aghaidhluach gan sonraí, raon feidhme agus eisceachtaí na tuarascála a athbhreithniú.
• Conarthaí doiléire: Mainneachtain clásail shainráite infhorfheidhmithe a chur san áireamh maidir le cearta iniúchta, fógra faoi shárú agus láimhseáil sonraí.
• Bainistíocht fhardail lag: Gan a bheith in ann fardal iomlán, sraithe de réir riosca, de na soláthraithe uile agus de na sonraí a bhfaigheann siad rochtain orthu a chur ar fáil.
• Neamhaird ar riosca iartheachtach: Mainneachtain na rioscaí a bhaineann le fochonraitheoirí criticiúla an tsoláthraí féin a shainaithint agus a bhainistiú (riosca ceathrú páirtí).
• Bainistíocht leochaileachtaí neamhfhíoraithe: Muinín a bheith agat go bhfuil soláthraí ag paisteáil leochaileachtaí criticiúla gan fianaise a iarraidh.

Seicliosta inghníomhaithe le haghaidh iniúchtaí soláthraithe ardriosca

Úsáid an seicliosta seo, oiriúnaithe ón Zenith Blueprint, chun a chinntiú go bhfuil do phróiseas iniúchta do gach soláthraí ardriosca cuimsitheach agus inchosanta.

Conclúid: slabhra soláthair athléimneach agus inchosanta a thógáil

Tá ré an chomhlíonta ticbhoscaí do sholáthraithe criticiúla thart. Éilíonn an grinnscrúdú dian ó rialacháin amhail NIS2 agus DORA aistriú bunúsach i dtreo samhail dearbhaithe leanúnaigh bunaithe ar fhianaise. Ní mór do Phríomhoifigigh Slándála Faisnéise cosúil le Maria ceannaireacht a thabhairt chun a n-eagraíochtaí a thabhairt thar an gceistneoir statach.

Trí chlár a thógáil ar shaolré chruthaithe rialuithe ISO/IEC 27001:2022, cruthaíonn tú creat nach bhfuil comhlíontach amháin, ach atá fíoréifeachtach maidir le riosca a laghdú. Ciallaíonn sé sin slándáil soláthraithe a láimhseáil mar dhisciplín straitéiseach, ceanglais infhorfheidhmithe a leabú i gconarthaí, agus maoirseacht fhaireach a choinneáil ar feadh an chaidrimh.

Níl slándáil d’eagraíochta ach chomh láidir leis an nasc is laige atá agat, agus in éiceachóras idirnasctha an lae inniu, is minic a bhíonn an nasc sin le tríú páirtí. Tá sé in am smacht a fháil ar ais.

Réidh le dul thar an gceistneoir?

Soláthraíonn foireann uirlisí chomhtháite Clarysec an bhunchloch a theastaíonn uait chun clár bainistíochta riosca soláthraithe den chéad scoth a thógáil a sheasann d’aon iniúchadh.

• Íoslódáil ár dteimpléid beartais: Cuir creat láidir rialachais chun feidhme lenár mBeartas Slándála Tríú Páirtí agus Soláthraithe de ghrád fiontair agus lena mhacasamhail do FBManna.
• Lean an Zenith Blueprint: Úsáid ár Zenith Blueprint: treochlár 30 céim d’iniúchóir chun ISMS comhlíontach a chur chun feidhme agus a iniúchadh, le céimeanna ar leith chun máistreacht a fháil ar riosca soláthraithe.
• Bain leas as Zenith Controls: Iarr taispeántas dár Zenith Controls: The Cross-Compliance Guide chun rialuithe soláthraithe a mhapáil chuig NIS2, DORA, GDPR, NIST agus tuilleadh, agus chun a chinntiú go bhfuil do phlean iniúchta cuimsitheach agus inchosanta.