ο πελάτης ρωτά πώς προστατευόμαστε από επιθέσεις μέσω των προμηθευτών μας

Αυτή η ερώτηση αφορά το άρθρο 21 παράγραφος 2 στοιχείο δ, όχι ολόκληρη την πολιτική ασφάλειάς σας

Αυτή η ερώτηση αναφέρεται ειδικά στην ασφάλεια της αλυσίδας εφοδιασμού: τι κάνετε για να αποτρέψετε ότι ένα αδύναμο σημείο στον προμηθευτή σας είναι δυνατό να δημιουργήσει μια επίθεση σε εσάς. Αυτό είναι ένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 NIS2, εκτός από ανάλυση κινδύνου, διαχείριση συμβάντων και κρυπτογραφία. Το ερωτώμενο μέρος δεν θέλει λοιπόν να μάθει πώς είναι ασφαλή τα δικά σας συστήματα — αυτό είναι ένα άλλο ερώτημα στη λίστα — αλλά πώς μπορείτε να ελέγξετε τους κινδύνους που προέρχονται από τρίτους.

Συγκεκριμένη απόδειξη γι' αυτό αποτελείται συνήθως από τρία στοιχεία: αξιολόγηση προμηθευτή πριν συναφθεί σύμβαση, απαιτήσεις ασφάλειας που έχουν συμβατικά καθορίσει (σκεφτείτε μια συμφωνία επεξεργασίας ή ένα χωριστό παράρτημα ασφάλειας), και μια επισκόπηση ποιοι προμηθευτές έχουν πρόσβαση σε ποια συστήματα ή δεδομένα. Αν δεν το έχετε, τότε "όχι" είναι η ειλικρινής απάντηση — μια λίστα προμηθευτών χωρίς βασικές απαιτήσεις δεν αποτελεί απόδειξη ελέγχου. Αν θέλετε να εξετάσετε διεξοδικότερα τι ακριβώς εννοεί ο πελάτης με αυτή την ερώτηση, τότε βοηθά να δείτε αν η επιχείρηση θέτει απαιτήσεις ασφάλειας για τους δικούς της προμηθευτές έχει αναλυθεί χωριστά στο δοσιέ της αλυσίδας, ανεξάρτητα από το εάν εσείς συμπίπτετε υπό την οδηγία.

Αν είστε διαπιστευμένη με ISO 27001, η απάντηση είναι συχνά ήδη έτοιμη: το Παράρτημα Α περιέχει ένα συγκεκριμένο μέτρο ελέγχου για σχέσεις με προμηθευτές (A.5.19 έως A.5.22 στην έκδοση 2022), και ένας ελεγκτής το έχει ήδη ελέγξει. Χωρίς πιστοποίηση η απάντηση δεν είναι αυτόματα "όχι" — πρόκειται για ό,τι κάνετε στην πράξη, όχι για το σήμα. Ελέγξτε σε περίπτωση αμφιβολίας αν η επιχείρηση είναι διαπιστευμένη με ISO 27001 έχει ήδη καταγραφεί στο δοσιέ, που εξοικονομεί δουλειά έρευνας σε αυτό το ερώτημα.

Πόθεν προέρχεται αυτό: άρθρο 21 παράγραφος 2 στοιχείο δ NIS2

Το άρθρο 21 παράγραφος 2 στοιχείο δ της Οδηγίας (ΕΕ) 2022/2555 αναφέρει ρητώς "την ασφάλεια της αλυσίδας εφοδιασμού" ως υποχρεωτικό στοιχείο της διαχείρισης κινδύνου, συμπεριλαμβανομένης της σχέσης με μεμονωμένους προμηθευτές. Ο Νόμος Κυβερνοασφάλειας αναλαμβάνει αυτήν την υποχρέωση μόλις εμπίπτει σε ισχύ· μέχρι τότε η ερώτηση μπορεί ήδη να εμφανίζεται επειδή ο ίδιος ο πελάτης εμπίπτει ήδη υπό την οδηγία και το επιχειρεί κάτω από την αλυσίδα, ακόμη κι αν εσείς δεν είστε αυτή καθαυτή φορέας NIS2.