Tveganja dobaviteljev IT: kako preveriti, komu zaupate podatke

Tveganja dobaviteljev so postala osrednja tema, ker imajo zunanji izvajalci pogosto širše pravice kot lastni zaposleni. NIS2 to izrecno naslavlja, revizije pa vse pogosteje preverjajo prav ta del.

TL;DR — Ključni poudarki

• Popišite vse dobavitelje z dostopom do sistemov ali podatkov.
• Razvrstite jih po kritičnosti in temu prilagodite zahteve.
• Dostopi naj bodo časovno omejeni, imenski in z MFA.
• Pogodba mora vsebovati obveznost obveščanja o incidentih.

Kaj pomeni obvladovanje tveganj dobaviteljev

Gre za sistematičen pregled, kdo od zunanjih partnerjev lahko dostopa do vaših podatkov ali sistemov, kaj bi se zgodilo ob njegovem izpadu ali vdoru in kako to tveganje omejimo. Rezultat je register dobaviteljev z oceno in zahtevanimi ukrepi.

Za kritične dobavitelje (IT podpora, ponudnik ERP, gostovanje) so smiselne dodatne zahteve: dokazilo o varnostnih praksah, načrt neprekinjenega poslovanja, kontaktna točka za incidente in redni pregled dostopov.

Zakaj je to vse bolj pomembno

Napadalci vse pogosteje vstopijo prek partnerja, ne neposredno.

• En vdrt ponudnik omogoči dostop do desetin njegovih strank hkrati.
• Dostopi zunanjih izvajalcev pogosto ostanejo aktivni po koncu projekta.
• NIS2 zahteva obvladovanje varnosti v dobavni verigi.
• Ob incidentu pri dobavitelju odgovornost do vaših strank ostane vaša.

Kako se lotiti — priporočen postopek

1. Sestavite register dobaviteljev z opisom dostopa in obdelanih podatkov.
2. Vsakemu določite stopnjo kritičnosti in zahtevane ukrepe.
3. Uvedite imenske dostope z MFA in časovno omejitvijo namesto skupnih računov.
4. V pogodbe vključite varnostna določila in rok obveščanja o incidentih.
5. Enkrat letno preglejte aktivne dostope in odstranite nepotrebne.
6. Za kritične dobavitelje določite nadomestno rešitev ob izpadu.

Zahteve glede na kritičnost dobavitelja

Najpogostejše napake

Najpogostejša napaka so trajni skupni računi za zunanje izvajalce. Ob incidentu ni mogoče ugotoviti, kdo je dostopal, dostop pa pogosto ostane odprt leta.

Druga napaka je zanašanje na vprašalnik brez preverjanja. Vsaj pri kritičnih dobaviteljih zahtevajte dokazila, ne le izjav.

Kako pri VitalIT pomagamo

V VitalIT pomagamo vzpostaviti register dobaviteljev, urediti dostope in pripraviti pogodbena določila. Poglejte IT svetovanje in kibernetsko varnost.

Sorodno: NIS2 direktiva in Kako izbrati IT partnerja.

Pogosta vprašanja (FAQ)

Kako pogosto pregledovati dostope?

Za kritične dobavitelje četrtletno, sicer enkrat letno.

Ali potrebujemo pogodbo o obdelavi z vsemi?

Z vsemi, ki v našem imenu obdelujejo osebne podatke — tudi če je dostop le tehničen.

Kaj če dobavitelj zavrne varnostne zahteve?

To je samo po sebi informacija o tveganju; pri kritičnih storitvah je razlog za iskanje alternative.

Kako preveriti manjšega ponudnika?

S kratkim vprašalnikom o backupu, MFA, dostopih in postopku ob incidentu ter z referencami.

Ali zadošča certifikat ISO 27001 dobavitelja?

Je dober znak, a preverite obseg certifikata — pogosto zajema le del organizacije.