Bezpieczeństwo łańcucha dostaw w NIS2/KSC

Klasyfikacja dostawcy

• wpływ przerwy na usługę krytyczną
• dostęp do systemów, sieci, OT lub danych oraz uprzywilejowane uprawnienia
• rodzaj i wrażliwość informacji
• możliwość zastąpienia i koncentracja rynku
• podwykonawcy i lokalizacje
• zależność od chmury, łączy, energii i komponentów
• historia incydentów oraz wymogi sektorowe i kontraktowe

Cykl życia dostawcy

1. Zapotrzebowanie i określenie wymagań.
2. Ocena ryzyka i due diligence.
3. Wybór i decyzja o odstępstwach.
4. Klauzule umowne i plan wdrożenia.
5. Bezpieczne nadanie dostępów.
6. Monitoring usługi i ryzyka.
7. Reocena po zmianie, incydencie lub cyklicznie.
8. Plan wyjścia, zwrot danych i odebranie dostępów.

Due diligence — zakres

• governance, odpowiedzialność i zarządzanie ryzykiem
• certyfikaty i zakres certyfikacji
• ochrona tożsamości i kont uprzywilejowanych oraz separacja klientów
• aktualizacje, podatności, monitorowanie i SOC
• obsługa incydentów; BCP, DR i wyniki testów
• backup i retencja; szyfrowanie i zarządzanie kluczami
• bezpieczeństwo rozwoju i podwykonawcy
• lokalizacja oraz transfer danych
• prawo do audytu i dostarczenia dowodów; zakończenie usługi

Nie wymagać identycznego, długiego kwestionariusza od każdego dostawcy. Zakres pytań ma odpowiadać ryzyku.

Minimalne klauzule bezpieczeństwa

• wymagane środki bezpieczeństwa oraz zgodność z prawem i instrukcjami klienta
• termin zgłoszenia incydentu pozwalający klientowi dochować własnych terminów
• zakres danych w zgłoszeniu i aktualizacji; współpraca przy analizie i raportowaniu
• utrzymanie logów i dowodów
• korzystanie z podwykonawców; lokalizacja danych i usług
• dostęp administracyjny; ciągłość, backup, RTO/RPO i testy
• zarządzanie podatnościami
• prawo do audytu lub uzyskania niezależnych raportów
• obowiązek informowania o istotnych zmianach
• zwrot, eksport i bezpieczne usunięcie danych; odebranie dostępów
• plan wyjścia i wsparcie migracji
• odpowiedzialność, ubezpieczenie i środki naprawcze

Certyfikat nie wystarcza

Certyfikat ISO 27001 lub raport typu SOC może być wartościowym dowodem, ale trzeba sprawdzić: zakres, lokalizacje i usługi objęte oceną, okres ważności, wyłączenia, zastrzeżenia audytora, czy raport dotyczy konkretnej usługi klienta oraz jakie kontrole pozostają po stronie klienta.

Monitoring dostawców krytycznych

• dostępność i SLA; incydenty oraz czas zgłoszenia
• zmiany podwykonawców; wyniki testów ciągłości
• otwarte ryzyka i działania; certyfikaty i raporty
• ważne podatności; zmiany własności, lokalizacji lub architektury
• skuteczność planu wyjścia; aktualność dostępów

Plan wyjścia

• dane i format eksportu; czas potrzebny na migrację
• alternatywni dostawcy lub rozwiązanie wewnętrzne
• zależności techniczne i licencyjne; dostęp do konfiguracji i dokumentacji
• zachowanie ciągłości w okresie przejściowym
• sposób potwierdzenia usunięcia danych
• odebranie kont, certyfikatów, kluczy i połączeń
• odpowiedzialność za koszty i wsparcie

Najczęstsze błędy

• brak centralnego rejestru dostawców
• właściciel usługi nie uczestniczy w ocenie
• bezpieczeństwo sprawdzane po podpisaniu umowy
• brak terminu zgłaszania incydentu i nieznani podwykonawcy
• automatyczna akceptacja certyfikatu
• brak monitoringu po wdrożeniu
• konta dostawcy bez MFA i daty ważności
• brak planu wyjścia
• jedna chmura lub dostawca traktowane jako pełna strategia ciągłości

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.