Dobavljač koji obrađuje podatke o pacijentima, upravlja plaćanjima ili održava ključnu poslovnu aplikaciju nije samo vanjski partner. On je dio sigurnosnog okruženja vaše organizacije. Zato pitanje kako procijeniti dobavljačke sigurnosne rizike ne smije završiti potpisanim upitnikom prije ugovaranja usluge. Potrebno je utvrditi koje rizike dobavljač unosi, mogu li se dokazati njegove sigurnosne tvrdnje i tko će reagirati kada se rizik promijeni.
Za subjekte obuhvaćene Zakonom o kibernetičkoj sigurnosti, ZKS-om i zahtjevima NIS2 regulative, upravljanje rizicima trećih strana dio je odgovornog upravljanja kibernetičkom sigurnošću. Regulator neće procjenjivati samo je li organizacija imala ugovor s dobavljačem, nego i je li razumno razumjela i nadzirala ovisnosti koje utječu na kontinuitet, povjerljivost, cjelovitost i dostupnost usluga.
Počnite od poslovne ovisnosti, ne od upitnika
Najčešća pogreška jest slanje istog sigurnosnog upitnika svim dobavljačima. Dobavljač uredskog materijala i pružatelj usluge upravljanja identitetima ne nose jednak rizik. Jednaki zahtjevi stvaraju administrativno opterećenje, a pritom mogu sakriti stvarno kritične odnose.
Prvi korak je popis dobavljača koji imaju pristup informacijskim sustavima, podacima, lokacijama ili ključnim poslovnim procesima. Zatim za svakog dobavljača treba utvrditi što točno isporučuje, koje podatke obrađuje, ima li udaljeni pristup i koliko bi dugo organizacija mogla raditi bez njegove usluge.
Procjena mora uzeti u obzir i lanac ovisnosti. Pružatelj poslovne aplikacije može koristiti podizvršitelja za hosting, alat za korisničku podršku ili vanjsku uslugu sigurnosnog nadzora. Rizik nije ograničen na naziv ugovornog partnera. On se proteže na podizvršitelje, lokacije obrade podataka, administrativne račune i tehnologije na kojima usluga počiva.
Klasificirajte dobavljače prema utjecaju
Praktična klasifikacija obično razlikuje niskorizične, značajne i kritične dobavljače. Kriteriji trebaju biti povezani s poslovnim posljedicama, a ne samo s vrijednošću ugovora. Jeftina usluga može biti kritična ako bez nje nije moguće izdavati račune, pristupiti medicinskoj dokumentaciji ili koordinirati incident.
Kod klasifikacije procijenite najmanje sljedeće čimbenike:
- vrstu i osjetljivost podataka kojima dobavljač pristupa ili koje obrađuje
- ovlasti pristupa, posebno administrativne i udaljene pristupe
- utjecaj prekida usluge na ključne poslovne procese i zakonske obveze
- mogućnost zamjene dobavljača, uključujući prijenos podataka i rok oporavka
- ovisnost o podizvršiteljima, tehnologijama izvan EU-a i koncentraciju usluga kod jednog pružatelja
Kritični dobavljač treba proći dublju provjeru i češći nadzor. Za niskorizičnog dobavljača dovoljan može biti kraći postupak provjere. Takav pristup štedi vrijeme, a kontrolne napore usmjerava ondje gdje bi incident imao stvarnu poslovnu i regulatornu posljedicu.
Kako procijeniti dobavljačke sigurnosne rizike kroz dokaze
Sigurnosna politika dobavljača, oznaka certifikata na mrežnoj stranici ili općenita izjava o usklađenosti nisu sami po sebi dovoljni. Procjena treba razlikovati deklaraciju od dokaza. Dobavljač može imati formalno uređen sustav upravljanja sigurnošću, ali to ne odgovara automatski na pitanje kako štiti upravo vaše podatke, pristupe i uslugu.
Tražite dokaze koji su razmjerni riziku odnosa. To mogu biti sažetak rezultata neovisne revizije, važeći certifikati, opis kontrola pristupa, postupak upravljanja ranjivostima, plan kontinuiteta poslovanja, zapisi o testiranju oporavka te proces prijave i obrade incidenata. Kada dobavljač zbog povjerljivosti ne može dostaviti cjelovitu dokumentaciju, može ponuditi kontrolirani uvid, izvješće treće strane ili strukturirani odgovor koji se može evidentirati.
Posebnu pozornost zaslužuju četiri područja. Prvo je upravljanje identitetima: koristi li se višefaktorska autentifikacija, kako se odobravaju administratorske ovlasti i kada se ukidaju računi. Drugo je zaštita podataka: gdje se podaci pohranjuju, jesu li šifrirani tijekom prijenosa i pohrane te tko upravlja ključevima. Treće je upravljanje ranjivostima: postoje li definirani rokovi za otklanjanje kritičnih propusta i provjerava li se njihova provedba. Četvrto je odgovor na incident: zna li dobavljač kada, kome i na koji način mora prijaviti sigurnosni događaj koji utječe na vašu organizaciju.
Ne postoji univerzalni prag prihvatljivosti. Organizacija koja koristi dobavljača samo za javno dostupnu informativnu uslugu može prihvatiti drukčiji rizik od bolnice ili financijske institucije čiji dobavljač obrađuje osjetljive podatke ili održava ključne sustave. Bitno je da je odluka o prihvaćanju rizika obrazložena, odobrena na odgovarajućoj razini i dokumentirana.
Ugovor pretvorite u provedive sigurnosne obveze
Procjena prije ugovaranja nema veliku vrijednost ako ugovor ne daje pravo na nadzor i ne propisuje obveze dobavljača. Opći uvjeti poslovanja rijetko su dovoljno precizni za kritične usluge. Sigurnosni zahtjevi trebaju biti ugrađeni u ugovor, dodatak o obradi podataka, sporazum o razini usluge ili drugi obvezujući dokument.
Ugovorne odredbe trebaju jasno urediti minimalne sigurnosne mjere, ograničenja pristupa, korištenje podizvršitelja, lokaciju obrade podataka i pravila njihove promjene. Jednako je važno definirati obvezu prijave incidenta u vremenu koje vašoj organizaciji ostavlja dovoljno prostora za procjenu učinka, poduzimanje mjera i ispunjavanje regulatornih obveza.
Kod ključnih dobavljača potrebno je predvidjeti pravo na dobivanje dokaza, periodične provjere ili neovisne izvještaje. Međutim, zahtjev za neograničenom fizičkom revizijom nije uvijek realan, osobito kod velikih pružatelja usluga u oblaku. U takvim slučajevima kombinacija certifikata, izvješća neovisne revizije, sigurnosnih priloga ugovoru i transparentnog postupka upravljanja incidentima može biti razmjerna alternativa.
Ugovor mora riješiti i izlazak iz odnosa. Ako se dobavljač promijeni, doživi ozbiljan incident ili prestane pružati uslugu, organizacija mora znati kako će preuzeti podatke, opozvati pristupe, potvrditi brisanje podataka i održati kontinuitet poslovanja. Izlazna strategija nije pesimizam, nego kontrola operativne ovisnosti.
Procjena nije jednokratna aktivnost
Dobavljačev sigurnosni profil mijenja se nakon akvizicije, uvođenja novih podizvršitelja, preseljenja podataka, većeg incidenta ili promjene usluge. Jednokratna provjera pri nabavi zato stvara lažan osjećaj kontrole. Kritične dobavljače treba redovito preispitivati, a značajne promjene moraju pokrenuti izvanrednu procjenu.
Učestalost nadzora ovisi o razini rizika. Kritični dobavljači često zahtijevaju godišnju ili češću provjeru, dok se za manje rizične odnose može odrediti dulji ciklus. Uz redovitu provjeru, potrebno je pratiti promjene ugovora, istek certifikata, otvorene korektivne mjere, incidente i odstupanja od dogovorene razine usluge.
Najveći operativni izazov nije samo procijeniti rizik, nego održati dokaziv trag odluka. Tko je procjenu proveo? Na temelju kojih dokaza? Koje su nesukladnosti utvrđene? Tko je prihvatio preostali rizik i do kada se mjera mora provesti? Bez tih odgovora organizacija teško može dokazati da upravlja dobavljačkim rizicima sustavno, a ne samo reaktivno.
Uspostavite proces koji ostavlja revizijski trag
Učinkovit proces povezuje nabavu, IT, sigurnost, pravne poslove, zaštitu podataka i vlasnike poslovnih procesa. Nabava ne bi trebala ugovoriti kritičnu uslugu prije nego što sigurnosna funkcija utvrdi minimalne zahtjeve. S druge strane, sigurnosni tim mora dati procjenu dovoljno brzo da ne blokira poslovanje bez opravdanog razloga.
Za svaku procjenu vodite strukturirani zapis: klasifikaciju dobavljača, upitnik i dostavljene dokaze, utvrđene nedostatke, plan korektivnih mjera, odluku o prihvaćanju rizika i datum sljedeće provjere. Time se sigurnosna procjena pretvara u upravljiv proces, a ne u niz nepovezanih dokumenata u e-pošti.
Platforma poput ITrevizija.hr može objediniti samoprocjenu, upravljanje dokazima, evidentiranje nesukladnosti i provedbu aktivnosti u jednom kontroliranom procesu. To je posebno vrijedno kada organizacija mora pokazati stvarnu razinu usklađenosti, pratiti otvorene rizike i pripremiti izvješća bez ručnog prikupljanja dokumentacije iz više odjela.
Dobar prvi potez nije slanje novog općeg upitnika svim partnerima. Odaberite tri dobavljača bez kojih bi ključni procesi stali, provjerite koje dokaze imate danas i utvrdite tko formalno odlučuje o preostalom riziku. Taj mali, mjerljiv korak često otkrije gdje se stvarna sigurnosna ovisnost već nalazi.