klientas klausia, kaip mes apsaugoti nuo atakų per mūsų tiektuvus

Šis klausimas susijęs su 21 straipsnio 2 dalies d punktu, o ne su visa jūsų saugumo politika

Šis klausimas skirtas konkrečiai tiekiamosios grandinės saugumui: ką jūs darote, kad būtų išvengta, jog silpna vieta jūsų tiekėjo pusėje leistų ataką jums. Tai yra vienas iš dešimties priemonių iš 21 straipsnio 2 dalies NIS2, be kita ko, lygiai šalia rizikos analizės, incidentų valdymo ir kriptografijos. Klausimo užduotojas norėtų žinoti ne tai, kaip jūsų pačių sistemos yra apsaugotos — tai yra kitas klausimas sąraše — bet kaip jūs valdote rizikus, kurie gali patekti per trečiąją šalį.

Konkretus įrodymas tam paprastai susideda iš trijų dalių: tiekėjo įvertinimo prieš sudarant sutartį, saugos reikalavimų, nustatytos sutartyje (pagalvokite apie duomenų tvarkymo sutartį arba atskirą saugumo priedą), ir apžvalgos, kurie tiekėjai turi prieigą prie kokių sistemų arba duomenų. Jei to neturite, tada "ne" yra sąžiningas atsakymas — tiekėjų sąrašas be pagrindinių reikalavimų nėra valdymo įrodymas. Jei norite giliau pažvelgti į tai, ką klientas tiksliai turėje omenyje šioje klausime, tada padeda pamatyti, ar įmonė nustato saugumo reikalavimus savo pačios tiekėjams yra atskirai išdėstyta grandinės bylose, atskirai nuo klausimo, ar patys esate vadovautas direktyva.

Jei turite ISO 27001 sertifikatą, atsakymas dažnai jau yra paruoštas: Priedas A apima konkrečią valdymo priemonę tiekėjo santykiams (A.5.19 iki A.5.22 2022 metų versijoje), ir auditorius tai jau kartą patikrinęs. Be sertifikato atsakymas nėra automatiškai "ne" — tai yra dėl to, ką jūs iš tikro darote, o ne dėl ženklo. Jei abejojate, patikrinkite, ar įmonė turi ISO 27001 sertifikatą jau yra užregistruota bylose, tai sutrumpintų šiame klausime atliekamus tyrimus.

Iš kur tai atsiranda: 21 straipsnio 2 dalies d punktas NIS2

21 straipsnio 2 dalies d punktas iš Direktyvos (EU) 2022/2555 aiškiai mini "tiekiamosios grandinės saugumą" kaip privalomą rizikos valdymo dalį, įskaitant ryšį su atskirais tiekėjais. Kibernetinio saugumo įstatymas perima šią pareigą, kai tik tas įstatymas įsigalioja; iki tos datos klausimas jau gali pasirodyti, nes pats klientas jau vadovautas direktyva ir tai perleistas grandinėje, net jei jūs patys neesate NIS2 subjektas.