Onkraj vprašalnika: celovit vodnik za vodje informacijske varnosti za revizijo visokotveganih dobaviteljev v okviru NIS2 in DORA

Poročilo je s pridušenim udarcem pristalo na mizi vodje informacijske varnosti Marie Valen; zvenelo je kot alarm. Šlo je za predhodno revizijsko oceno za prihajajoči pregled skladnosti z DORA, v njej pa je bila z izrazito rdečo označena ena vrstica: »Nezadostno zagotovilo za kritičnega zunanjega ponudnika, CloudSphere.«

CloudSphere ni bil običajen dobavitelj. Bil je hrbtenica nove digitalne bančne platforme podjetja, ki dnevno obdeluje milijone transakcij. Maria je imela v evidenci njihov certifikat ISO/IEC 27001:2022. Imela je tudi njihov izpolnjen varnostni vprašalnik, obsežen dokument z 200 vprašanji. Toda predrevizorji so sporočali, da pri kritičnem visokotveganem dobavitelju skladnost po načelu odkljukanih polj ni več dovolj. Pravila igre so se spremenila.

Ker sta Direktiva NIS2 in DORA zdaj v polni veljavi, regulatorji ne presojajo več zgolj papirne sledi. Zahtevajo oprijemljiv dokaz skrbnega pregleda, stalno spremljanje in robustno upravljanje celotne dobavne verige. Maria se sooča z izzivom, ki ga imajo vodje informacijske varnosti povsod: kako preseči vprašalnik ter svoje najbolj kritične dobavitelje dejansko revidirati in zavarovati? Potreben je strateški premik od pasivnega preverjanja k aktivnemu zagotavljanju zaupanja na podlagi dokazil.

Pomanjkljivost statičnega vprašalnika v dinamičnem okolju

Varnostni vprašalnik je bil več let temelj upravljanja tveganj tretjih oseb. Vendar je to statičen posnetek v dinamičnem okolju groženj. Profil tveganja dobavitelja ni nespremenljiv; razvija se z vsako novo grožnjo, spremembo sistema ali vključenim podizvajalcem. Zanašanje izključno na samoizjavo pri kritičnem dobavitelju, kot je CloudSphere, je podobno plovbi skozi nevihto z lansko vremensko karto.

Direktiva NIS2 izrecno zahteva pristop, ki temelji na tveganjih, in zahteva, da so varnostni ukrepi sorazmerni dejanskim tveganjem. To pomeni, da je enoten vprašalnik za vse dobavitelje v temelju neusklajen s sodobnimi regulativnimi pričakovanji. Časi, ko sta certifikat ali izpolnjen kontrolni seznam lahko nadomestila dokazila, so mimo. Dejansko tveganje je onkraj papirne sledi.

Tu postane bistven strukturiran pristop na podlagi življenjskega cikla. Ne gre za opustitev vprašalnikov, temveč za njihovo dopolnitev z globljim in bolj neposrednim preverjanjem pri dobaviteljih, ki so resnično pomembni. To je osrednje načelo, vgrajeno v Clarysecovo Politiko informacijske varnosti tretjih oseb in dobaviteljev. Eden njenih temeljnih ciljev je:

»Zahtevati formalni skrbni pregled in dokumentirane ocene tveganj pred vključitvijo novih dobaviteljev ali podaljšanjem visokotveganih dogovorov o storitvah.«

• Iz razdelka »Cilji«, klavzula politike 3.3

Ta klavzula premakne razmišljanje od preprostega preverjanja k formalni preiskavi, kar je ključni prvi korak pri vzpostavitvi zagovorljivega programa, ki prenese regulativni nadzor.

Tveganje dobaviteljev po NIS2 in DORA: nova pričakovanja

NIS2 in DORA zahtevata, da organizacije sistematično identificirajo, ocenjujejo in stalno spremljajo tveganja v celotnem okolju dobaviteljev. Upravljanje dobaviteljev spreminjata iz nabavne funkcije v temeljni steber operativne odpornosti in informacijske varnosti.

Novo regulativno okolje zahteva jasne okvire, tesno preslikane na uveljavljene standarde, kot je ISO/IEC 27001:2022. Spodaj je povzetek na visoki ravni, kaj ti okviri pričakujejo od vašega programa upravljanja dobaviteljev:

Robustnega programa revizij dobaviteljev ni treba ustvariti od začetka. Okvir ISO/IEC 27001:2022, zlasti njegove kontrole iz Priloge A, zagotavlja trdno izhodišče. V Clarysec stranke usmerjamo, da svoj program zgradijo okoli treh medsebojno povezanih kontrol, ki tvorijo celovit življenjski cikel upravljanja dobaviteljev.

Vzpostavitev zagovorljivega revizijskega okvira: življenjski cikel ISO 27001:2022

Za vzpostavitev programa, ki izpolnjuje pričakovanja regulatorjev, potrebujete strukturiran pristop, utemeljen na globalno priznanem standardu. Kontrole varnosti dobaviteljev v ISO/IEC 27001:2022 zagotavljajo življenjski cikel upravljanja tveganj tretjih oseb od začetka sodelovanja do prenehanja. Poglejmo, kako lahko Maria ta življenjski cikel uporabi za pripravo zagovorljivega revizijskega načrta za CloudSphere.

Korak 1: Temelj – informacijska varnost v odnosih z dobavitelji (5.19)

Kontrola 5.19 je strateško izhodišče. Zahteva vzpostavitev formalnih procesov za identifikacijo, ocenjevanje in obvladovanje tveganj informacijske varnosti, povezanih s celotnim ekosistemom dobaviteljev. Tu določite, kaj za vašo organizacijo pomeni »visoko tveganje«, in postavite pravila izvajanja.

Clarysecov Zenith Controls: vodnik za skladnost med okviri vsebuje podrobno razčlenitev 5.19 in prikazuje njegovo vlogo osrednjega vozlišča upravljanja dobaviteljev. Ta kontrola je neločljivo povezana s sorodnimi kontrolami, kot je 5.21 (Informacijska varnost v dobavni verigi IKT), ki zajema komponente strojne in programske opreme, ter 5.14 (Prenos informacij), ki ureja varno izmenjavo podatkov. Odnosa z dobaviteljem ni mogoče učinkovito upravljati, če hkrati ne nadzorujete tehnologije, ki jo dobavitelj zagotavlja, in podatkov, ki jih z njim delite.

Za Mario to pomeni, da mora revizija CloudSphere preseči njegov korporativni varnostni profil in se poglobiti v varnost dejanske platforme, ki jo zagotavlja. Vodnik Zenith Controls poudarja, da močna implementacija 5.19 neposredno podpira skladnost z glavnimi predpisi:

• NIS2 (Article 21(2)(d)): Organizacije zavezuje, da tveganja dobavne verige upravljajo kot temeljni del svojega varnostnega okvira.
• DORA (Articles 28–30): Zahteva robusten okvir upravljanja IKT-tveganj tretjih oseb, vključno z razvrstitvijo kritičnosti in predpogodbenim skrbnim pregledom.
• GDPR (Article 28): Zahteva, da upravljavci vključujejo samo obdelovalce, ki zagotavljajo zadostna jamstva za varstvo podatkov.

Ta kontrola zahteva razvrščanje dobaviteljev po ravneh tveganja, stalno spremljanje in pravočasen preklic dostopa. Njen namen je zagotoviti, da je varnost vgrajena v življenjski cikel dobavitelja in ne dodana naknadno.

Korak 2: Uveljavljanje – obravnava informacijske varnosti v pogodbah z dobavitelji (5.20)

Varnostna zahteva, ki ni vključena v pogodbo, je zgolj priporočilo. Kontrola 5.20 je točka, kjer upravljanje postane pravno uveljavljivo. Pri visokotveganem dobavitelju je pogodba vaše najmočnejše revizijsko orodje.

Kot poudarja Zenith Controls, morajo biti ti dogovori izrecni. Nejasne obljube o »najboljši varnosti v panogi« nimajo vrednosti. Pri dobavitelju, kot je CloudSphere, mora Maria preveriti, da pogodba vsebuje konkretne in merljive klavzule, ki njeni organizaciji zagotavljajo oprijemljiv nadzor:

• Pravica do revizije: Klavzula, ki njeni organizaciji izrecno daje pravico izvajati tehnične presoje, pregledovati dokazila ali angažirati tretjo osebo za izvedbo revizije v njenem imenu.
• Roki za obveščanje o kršitvah: Konkretni in strogi roki, na primer v 24 urah od odkritja, za obveščanje njenega podjetja o varnostnem incidentu, ne zgolj nejasno »brez nepotrebnega odlašanja«.
• Upravljanje podizvajalcev oziroma četrtih oseb: Klavzula, ki od dobavitelja zahteva, da enake varnostne standarde uveljavi pri svojih kritičnih podizvajalcih in jo obvesti o vseh spremembah. To je ključno za upravljanje nadaljnjih tveganj v dobavni verigi.
• Varna izhodna strategija: Jasne obveznosti glede vračila ali certificiranega uničenja podatkov ob prenehanju pogodbe.

DORA je pri tem posebej predpisovalna. Article 30 navaja obvezne pogodbene določbe, vključno z neoviranim dostopom za revizorje in regulatorje, posebnimi podrobnostmi o lokacijah izvajanja storitev ter celovitimi izhodnimi strategijami. Revizorji bodo vzorčili pogodbe visokotveganih dobaviteljev in te klavzule neposredno preverjali.

Korak 3: Stalna zanka – spremljanje, pregled in upravljanje sprememb storitev dobaviteljev (5.22)

Zadnji del življenjskega cikla je kontrola 5.22, ki nadzor nad dobavitelji iz preverjanja v eni časovni točki pretvori v stalen proces. Revizija ne sme biti presenetljiv dogodek, temveč potrditvena točka v stalnem odnosu preglednosti.

Tu številne organizacije ne dosežejo pričakovanj. Pogodbo podpišejo in jo arhivirajo. Pri visokotveganih dobaviteljih pa se pravo delo začne po uvedbi. Vodnik Zenith Controls povezuje 5.22 s kritičnimi operativnimi procesi, kot sta 8.8 (upravljanje tehničnih ranljivosti) in 5.29 (informacijska varnost med motnjami). To pomeni, da učinkovito spremljanje vključuje precej več kot letni pregledni sestanek. Vključuje:

• Pregled dokazil tretjih oseb: Aktivno pridobivanje in analiziranje njihovih poročil SOC 2 Type II, rezultatov nadzornih presoj ISO 27001 ali povzetkov penetracijskih testov. Ključno je pregledati izjeme in spremljati njihovo odpravo.
• Spremljanje incidentov: Spremljanje javno razkritih kršitev ali varnostnih incidentov, ki vključujejo dobavitelja, ter formalna ocena morebitnega vpliva na vašo organizacijo.
• Upravljanje sprememb: Uvedba procesa, pri katerem vsaka pomembna sprememba dobaviteljeve storitve, na primer nova lokacija podatkovnega centra ali nov kritični podizvajalec, samodejno sproži ponovno oceno tveganja.

Clarysecov Zenith Blueprint: 30-koračni časovni načrt za revizorje ponuja praktična navodila za to, zlasti v koraku 24, ki obravnava tveganje podizvajalcev. Svetuje:

»Za vsakega kritičnega dobavitelja ugotovite, ali uporablja podizvajalce oziroma podobdelovalce, ki lahko dostopajo do vaših podatkov ali sistemov. Dokumentirajte, kako se vaše zahteve glede informacijske varnosti prenašajo na te subjekte … Kjer je izvedljivo, zahtevajte seznam ključnih podizvajalcev in zagotovite, da pravica do revizije ali pridobitve zagotovila velja tudi zanje.«

To je za Mario ključno. Ali CloudSphere uporablja tretje podjetje za podatkovno analitiko? Ali njegova infrastruktura gostuje v večjem javnem oblaku? Te nadaljnje odvisnosti predstavljajo pomembno, pogosto nevidno tveganje, ki ga mora revizija razkriti.

Od teorije k praksi: Mariin praktični revizijski načrt za CloudSphere

Na podlagi tega življenjskega cikla ISO 27001:2022 Mariina ekipa pripravi nov revizijski načrt za CloudSphere, ki daleč presega vprašalnik in dokazuje zrelo upravljanje na podlagi tveganj, ki ga zahtevajo regulatorji.

1. Pregled pogodbe: Začnejo s preslikavo obstoječe pogodbe s CloudSphere glede na DORA Article 30 in najboljše prakse za kontrolo 5.20. Pripravijo poročilo o vrzelih v skladnosti, ki bo podlaga za naslednji cikel podaljšanja pogodbe in za določitev prednostnih področij trenutne revizije.

2. Ciljana zahteva za dokazila: Namesto splošnega vprašalnika pošljejo formalno zahtevo za konkretna dokazila, vključno z:

   • najnovejšim poročilom SOC 2 Type II in povzetkom, kako so bile odpravljene vse ugotovljene izjeme;
   • povzetkom za vodstvo njihovega najnovejšega zunanjega penetracijskega testa;
   • popolnim seznamom vseh podizvajalcev oziroma četrtih oseb, ki bodo obdelovali njihove podatke ali do njih dostopali;
   • dokazilom, da so varnostne zahteve pogodbeno prenesene na te podizvajalce;
   • dnevniki ali poročili, ki dokazujejo pravočasno nameščanje popravkov za kritične ranljivosti, na primer Log4j in MOVEit, v zadnjih šestih mesecih.

3. Tehnično preverjanje: Uveljavijo klavzulo o pravici do revizije, da dogovorijo tehnično poglobljeno sejo z varnostno ekipo CloudSphere. Dnevni red je osredotočen na njihove priročnike za odziv na incidente, orodja za upravljanje varnostnega profila v oblaku in kontrole za preprečevanje uhajanja podatkov.

4. Formalno upravljanje izjem: Če CloudSphere nasprotuje predložitvi določenih dokazil, je Maria pripravljena. Proces upravljanja njene organizacije, opredeljen v Politiki informacijske varnosti tretjih oseb in dobaviteljev, je jasen:

»Izjeme z visokim tveganjem, na primer dobavitelji, ki ravnajo z reguliranimi podatki ali podpirajo kritične sisteme, morajo odobriti vodja informacijske varnosti, pravna služba in vodstvo nabave ter se morajo vnesti v register izjem ISMS.«

• Iz razdelka »Obravnava tveganja in izjeme«, klavzula politike 7.3

To zagotavlja, da se zavrnitev predložitve dokazil ne prezre, temveč se formalno sprejme kot tveganje na najvišjih ravneh organizacije, kar je proces, ki ga revizorji sprejemajo kot ustrezen.

Perspektiva revizorja: kaj bodo zahtevali različni revizorji

Za vzpostavitev resnično odpornega programa morate razmišljati kot revizor. Različni revizijski okviri imajo različne poglede, predvidevanje njihovih vprašanj pa je ključno za uspeh. Spodaj je konsolidiran pregled, kaj bi različni revizorji zahtevali pri pregledu vašega programa upravljanja dobaviteljev:

Ta večperspektivni pogled kaže, da robusten program ni namenjen izpolnjevanju enega standarda, temveč vzpostavitvi celovitega okvira upravljanja, ki ustvarja dokazila, potrebna za izpolnjevanje vseh zahtev.

Kritične pasti: kje revizije dobaviteljev odpovejo

Številni programi nadzora nad dobavitelji ne dosežejo ciljev zaradi pogostih in preprečljivih napak. Bodite posebej pozorni na te kritične pasti:

• Revizija kot dogodek: Zanašanje na enkratne revizije med uvedbo ali podaljšanjem pogodbe namesto vzpostavitve stalnega spremljanja.
• Samozadovoljstvo zaradi certifikata: Sprejem certifikata ISO ali SOC 2 po nominalni vrednosti brez pregleda podrobnosti poročila, obsega in izjem.
• Nejasne pogodbe: Neuvrstitev izrecnih in uveljavljivih klavzul o pravicah do revizije, obveščanju o kršitvah in ravnanju s podatki.
• Slabo upravljanje evidenc: Nezmožnost predložiti popolno evidenco vseh dobaviteljev, razvrščenih po tveganju, in podatkov, do katerih dostopajo.
• Ignoriranje nadaljnjih tveganj: Neidentificiranje in neupravljanje tveganj, ki jih predstavljajo kritični podizvajalci dobavitelja, torej tveganj četrtih oseb.
• Nepreverjeno upravljanje ranljivosti: Zaupanje, da dobavitelj namešča popravke za kritične ranljivosti, brez zahteve po dokazilih.

Praktičen kontrolni seznam za revizije visokotveganih dobaviteljev

Uporabite ta kontrolni seznam, prilagojen iz Zenith Blueprint, da zagotovite temeljit in zagovorljiv revizijski proces za vsakega visokotveganega dobavitelja.

Zaključek: vzpostavitev odporne in zagovorljive dobavne verige

Obdobje skladnosti po načelu odkljukanih polj za kritične dobavitelje je končano. Intenziven nadzor, ki ga prinašata NIS2 in DORA, zahteva temeljni premik k modelu stalnega zagotavljanja zaupanja na podlagi dokazil. Vodje informacijske varnosti, kot je Maria, morajo voditi prehod svojih organizacij onkraj statičnega vprašalnika.

Z vzpostavitvijo programa na preverjenem življenjskem ciklu kontrol ISO/IEC 27001:2022 ustvarite okvir, ki ni le skladen, temveč dejansko učinkovit pri zmanjševanju tveganj. To pomeni obravnavo varnosti dobaviteljev kot strateške discipline, vgradnjo uveljavljivih zahtev v pogodbe in ohranjanje skrbnega nadzora skozi celoten odnos.

Varnost vaše organizacije je močna le toliko kot njen najšibkejši člen, v današnjem povezanem ekosistemu pa je ta člen pogosto pri tretji osebi. Čas je, da ponovno prevzamete nadzor.

Ste pripravljeni preseči vprašalnik?

Integrirana orodja Clarysec zagotavljajo temelje, ki jih potrebujete za vzpostavitev vrhunskega programa upravljanja tveganj dobaviteljev, ki prenese vsako revizijo.

• Prenesite naše predloge politik: Vzpostavite robusten okvir upravljanja z našo podjetniško Politiko informacijske varnosti tretjih oseb in dobaviteljev in njeno različico za MSP.
• Sledite Zenith Blueprint: Uporabite naš Zenith Blueprint: 30-koračni časovni načrt za revizorje za implementacijo in revizijo skladnega ISMS, z namenskimi koraki za obvladovanje tveganja dobaviteljev.
• Izkoristite Zenith Controls: Zahtevajte predstavitev našega Zenith Controls: vodnik za skladnost med okviri, da kontrole dobaviteljev preslikate na NIS2, DORA, GDPR, NIST in druge okvire ter zagotovite, da je vaš revizijski načrt celovit in zagovorljiv.