Przewodnik · 8 min czytania
NIS2 Art. 21(2): lista kontrolna bezpieczeństwa dla dostawców
Roboczy scenariusz dla zespołów ds. zamówień i bezpieczeństwa: zarówno przy wdrażaniu nowego dostawcy, jak i przy corocznym przeglądzie. Dla każdej z sześciu istotnych dla łańcucha dostaw klauzul art. 21 ust. 2 NIS2: o co pytać, dlaczego to ważne, jakiego dowodu żądać i jak reagować, gdy odpowiedź jest niewystarczająca.
Najważniejsze punkty
- Sześć podpunktów art. 21 ust. 2 dźwiga większość ciężaru łańcucha dostaw: oto o co pytać przy każdym i jaki dokument to potwierdza.
- Połowa z nich jest techniczna i zmienia się bez ostrzeżenia, więc wymaga ciągłego sprawdzania, a nie jednej linijki w corocznym kwestionariuszu.
- Luka nie jest wyrokiem. To udokumentowana, przypisana decyzja o naprawie sprawia, że Twoja pozycja jest do obrony przed audytorem.
Artykuł 21 ust. 2 lit. d) czyni ocenę bezpieczeństwa dostawców częścią Twojego własnego zarządzania ryzykiem, i nie jest to czynność jednorazowa. Obowiązek obejmuje zarówno dostawcę, z którym masz właśnie podpisać umowę, jak i tego, z którym współpracujesz od lat. Coroczny przegląd to podłoga, nie sufit. Trudność polega na tym, że standard („odpowiednie środki”) skaluje się z ryzykiem i nigdy nie stoi w miejscu, więc ocena czysta wiosną może powiedzieć bardzo niewiele jesienią.
Poniżej przechodzimy przez sześć podpunktów art. 21 ust. 2, które dźwigają najwięcej ciężaru łańcucha dostaw. Każdy przedstawiono tak, jak jest naprawdę użyteczny w rozmowie: o co pytać, dlaczego to ważne i jaki dokument zażądać jako dowód. Traktuj to jako scenariusz zarówno rozmowy wdrożeniowej, jak i corocznego przeglądu: a klauzule techniczne czytaj jako rzeczy do weryfikowania na bieżąco, nie raz.
Uwaga o zakresie. To wskazówka, nie opinia prawna: właściwy organ lub audytor może oczekiwać więcej w zależności od sektora i wielkości, a brzmienie umowne warto przejrzeć z prawnikiem. Wymienione terminy (okna na poprawki i podobne) to rozsądne wartości odniesienia, a nie ustawowe terminy NIS2.
Sześć podpunktów, w kolejności, w jakiej warto je zadać:
Art. 21(2)(a)Zarządzanie ryzykiem
Zacznij od różnicy między dostawcą, który zarządza cyberryzykiem jako stałą dyscypliną, a takim, który zrywa się do działania raz w roku. Udokumentowany system zarządzania bezpieczeństwem informacji (ISO 27001 to czysty skrót, ale pisemna polityka ISMS wystarczy) pokazuje, że proces istnieje; bardziej wymowne jest pytanie, kiedy kierownictwo lub zarząd ostatnio go przeglądały i czy krytyczne systemy oraz dane faktycznie zinwentaryzowano i sklasyfikowano. Poproś o politykę lub certyfikat i zanotuj datę tego ostatniego przeglądu: program, którego nikt nie otworzył od dwóch lat, jest nim tylko z nazwy.
Art. 21(2)(b)Obsługa incydentów
Jeśli ten dostawca jest na tyle istotny, że jego naruszenie mogłoby zakłócić Twoją usługę, jego incydent uruchamia Twój zegar zgłoszenia z art. 23: a dotrzymasz go tylko wtedy, gdy szybko Cię powiadomi. Dobra wola tego nie udźwignie; musi to udźwignąć umowa: określone okno na powiadomienie Cię o incydencie bezpieczeństwa, wskazana osoba kontaktowa odpowiadająca całą dobę, a za nią przetestowany plan reagowania, a nie dokument, którego nikt nie ćwiczył. Poproś o streszczenie planu reagowania na incydenty i uczyń z powiadomienia w ciągu 24 godzin pisemny zapis umowny, nie linijkę w e-mailu.
Art. 21(2)(d)Łańcuch dostaw
Twoja ekspozycja sięga poza dostawcę, z którym podpisałeś umowę, do tych, od których on zależy: ryzyka czwartej strony. Kompetentny dostawca potrafi nazwać podwykonawców, którzy dotykają Twoich danych lub systemów, trzyma ich w ryzach warunków bezpieczeństwa wpisanych do własnych umów, a nie mglistego ukłonu w stronę „standardów branżowych”, i ocenia ich ponownie co najmniej raz w roku. Zapytaj, czy potrafi przedstawić rejestr podwykonawców i opisać, jak weryfikuje te strony; dostawca, który nie umie nazwać swoich krytycznych czwartych stron, właśnie powiedział Ci coś, co warto wiedzieć.
Art. 21(2)(e)Zamówienia i rozwój
Znane, niezałatane podatności i oprogramowanie w końcu życia należą do najczęściej wykorzystywanych dróg wejścia, więc dostawca powinien wykazać, że zarządzanie podatnościami jest rzeczywiste, a nie życzeniowe. Rozsądne punkty odniesienia: nic po końcu wsparcia nie działa w produkcji, krytyczne luki (CVSS 9,0 i wyżej) łatane w ciągu około miesiąca od ujawnienia, a wszystko z katalogu znanych wykorzystywanych podatności CISA traktowane jako sytuacja awaryjna. Poproś o opis procesu łatania i świeżą migawkę stanu podatności: odległość między polityką a najnowszym skanem to zwykle miejsce, w którym mieszka prawda.
Art. 21(2)(h)Kryptografia
To najbardziej widoczna z zewnątrz klauzula i ta, która osuwa się najciszej. Wygasłe lub samopodpisane certyfikaty TLS, witryny niewymuszające HTTPS i uwierzytelnianie poczty pozostawione w połowie skonfigurowane są powszechne, zmieniają się bez ostrzeżenia i wszystkie da się sprawdzić z zewnątrz. Poprzeczka jest nieefektowna: ważne certyfikaty wszędzie, HTTPS wymuszone na każdej witrynie i w każdym API oraz SPF, DKIM i DMARC faktycznie skonfigurowane (hardfail, podpisane, co najmniej polityka kwarantanny) a nie pozostawione na wartościach domyślnych. Poproś o proces zarządzania certyfikatami i odczyt DMARC lub DNS.
Art. 21(2)(i)/(j)Kontrola dostępu i uwierzytelnianie
Skradzione dane uwierzytelniające pozostają najczęstszym sposobem, w jaki atakujący zyskuje przyczółek, więc dostawca musi wykazać zarówno to, że nadużycie jest trudne, jak i to, że zostałoby szybko wychwycone. W praktyce oznacza to uwierzytelnianie wieloskładnikowe wymuszone na każdym krytycznym systemie i koncie administratora bez cichych wyjątków, monitorowanie wyciekłych danych uwierzytelniających pojawiających się w danych z naruszeń i dark webu oraz nawyk natychmiastowej rotacji każdego ujawnionego logowania i zapisania incydentu. Poproś o wgląd w politykę wymuszania MFA oraz w to, jak prowadzone jest monitorowanie wycieków danych uwierzytelniających.
Gdy dostawca nie dociąga
Pojedyncza luka rzadko jest powodem do odejścia; organ nadzoru (i Twój własny zarząd) będzie szukał dowodu, że ją zauważyłeś i podjąłeś w jej sprawie świadomą, przypisaną decyzję. Dostosuj reakcję do tego, ile brakuje i gdzie.
Jedna lub dwie luki: udokumentuj i zaakceptuj
Zarejestruj je w rejestrze dostawców, poproś o plan naprawczy w ciągu około 90 dni i wróć do sprawy przy następnym przeglądzie. Odnotowane, zaakceptowane ryzyko to pozycja do obrony; zapomniane: nie.
Od trzech do pięciu luk lub jakakolwiek luka w obsłudze incydentów: zacieśnij nadzór
Przenieś dostawcę na wyższy poziom ryzyka, poproś o pisemny plan naprawczy z datami i rozważ ograniczenie jego dostępu do najbardziej krytycznych systemów, dopóki luki się nie zamkną.
Sześć lub więcej luk albo krytyczna podatność techniczna: eskaluj
Przekaż sprawę swojemu CISO lub kierownictwu, rozważ środki umowne, którymi faktycznie dysponujesz, i (jeśli dostawca może sięgnąć do danych lub systemów produkcyjnych) rozważ zawieszenie tego dostępu, dopóki obraz nie będzie jasny.
Zobacz, jak naprawdę wypadają Twoi dostawcy
7 dni bezpłatnie · bez karty kredytowej · anuluj w każdej chwili
Czego nie zrobisz ręcznie
Kilka z tych kontroli jest technicznych i niszczeją bez tego, by ktokolwiek wysłał Ci powiadomienie: certyfikat wygasa, dane uwierzytelniające pojawiają się w wycieku, dostawca trafia na listę ofiar ransomware. Kwestionariusz wypełniany raz w roku nie widzi nic z tego, i to jest właśnie odległość między przeglądem na papierze a ciągłą starannością, której oczekuje standard „odpowiednich środków”.
norppa.io uruchamia techniczną połowę tej listy każdego dnia, dla każdego dodanego dostawcy:
- Kryptografia (h): ważność certyfikatów TLS i wymuszanie HTTPS, konfiguracja SPF/DKIM/DMARC, DNSSEC
- Dostęp i uwierzytelnianie (i): dane uwierzytelniające pracowników i klientów pojawiające się w danych z naruszeń i dark webu
- Zamówienia i rozwój (e): wpisy w katalogu wykorzystywanych podatności i wyniki podatności z oceną wagi
- Obsługa incydentów (b): pojawienia się na listach ofiar ransomware, z alertem w chwili, gdy dostawca się pojawi
Podpunkty na poziomie procesu (zarządzanie ryzykiem, obsługa incydentów i nadzór nad łańcuchem dostaw) to dokładnie to, do czego służy kwestionariusz samooceny; możesz wysłać go do dostawcy bezpośrednio z portalu i czytać jego odpowiedzi obok ustaleń technicznych.