Bezpieczeństwo łańcucha dostaw NIS2: czego naprawdę wymaga artykuł 21 ust. 2 lit. d)

Kogo to dotyczy?

NIS2 dzieli objęte organizacje na dwa poziomy, według sektora i wielkości. Obowiązek zarządzania ryzykiem dostawcy jest dla obu taki sam. Różni się intensywność nadzoru i wysokość możliwych kar.

Z reguły próg zaczyna się od 50 pracowników albo 10 milionów euro rocznego obrotu lub sumy bilansowej. Po osiągnięciu tego w objętym sektorze zwykle jesteś w zakresie stosowania. Niektóre podmioty są objęte bez względu na wielkość, w tym operatorzy DNS i rejestrów domen najwyższego poziomu, dostawcy usług zaufania i publicznej łączności oraz jedyny dostawca usługi kluczowej w danym kraju.

Jest też druga, cichsza droga. Gdy sprzedajesz usługę krytyczną klientowi związanemu przez NIS2, jego obowiązki zwykle trafiają na Twoje biurko poprzez umowę: klauzule bezpieczeństwa, kwestionariusz i stałe prawo do żądania dowodów. Wielu małych dostawców spotyka NIS2 w swojej skrzynce odbiorczej na długo przed tym, zanim jakikolwiek organ do nich napisze.

Czego konkretnie wymaga artykuł 21 ust. 2 lit. d)

Sam artykuł to jedno zdanie: podjąć odpowiednie środki na rzecz bezpieczeństwa łańcucha dostaw, w tym aspekty bezpieczeństwa relacji z bezpośrednimi dostawcami. Czytany razem z wytycznymi ENISA i sposobem, w jaki stosują go organy krajowe, rozkłada się na cztery rzeczy, które musisz umieć wykazać.

Dlaczego coroczny przegląd nie wystarcza

Coroczny audyt dostawcy, kwestionariusz i być może certyfikat w segregatorze to rozsądne minimum. To nie jest ciągłe monitorowanie, a odległość między nimi jest właśnie tam, gdzie żyją incydenty. Trzy zwyczajne sposoby, w jakie zawodzi:

Nic z tego nie jest egzotyczne. To codzienna postać ryzyka łańcucha dostaw. Zadaniem monitorowania nie jest ich przewidywanie, lecz zauważenie ich w ciągu dni, zamiast rekonstruowania ich w analizie powypadkowej.

Klasyfikacja: kieruj uwagę tam, gdzie się liczy

Monitorowanie każdego dostawcy z jednakową intensywnością nie jest ani realistyczne, ani oczekiwane. Posortowanie ich według rzeczywistego dostępu i wpływu jest zarazem praktyczne i w pełni zgodne z sensem odpowiednich środków.

Ryzyko czwartej strony: warstwa za warstwą

Twoja ekspozycja nie kończy się na dostawcach, z którymi podpisałeś umowy. Ich dostawcy też mogą Cię dosięgnąć. Jeśli Twój dostawca chmury opiera się na jednym podwykonawcy w zakresie przechowywania, a ten podwykonawca zostanie zaatakowany, zakłócenie schodzi prosto w dół łańcucha do Ciebie, a nigdy nie miałeś umowy z firmą, która je wywołała.

Nie możesz monitorować firmy, z którą nie masz relacji, więc dźwignią jest pytanie, które zadajesz bezpośredniemu dostawcy: czy wiesz, którzy z Twoich własnych podwykonawców są krytyczni, i czy utrzymujesz ich na tym samym standardzie, na który zgadzasz się wobec nas? Dostawca, który nie potrafi wymienić swoich krytycznych czwartych stron, właśnie powiedział Ci coś, co warto wiedzieć.

Artykuł 23: kiedy incydent dostawcy staje się Twoim terminem

Jeśli incydent dostawcy powoduje znaczące zakłócenie usług, które świadczysz, zegar zgłoszenia jest Twój, nie jego. Uruchamia wczesne ostrzeżenie w ciągu 24 godzin do Twojego CSIRT lub właściwego organu, następnie pełniejsze zgłoszenie incydentu w ciągu 72 godzin i raport końcowy w ciągu miesiąca, lub raport z postępów na koniec miesiąca, jeśli wciąż się nim zajmujesz.

Haczyk tkwi w czasie. Zegar biegnie od chwili, gdy się dowiadujesz, a nie od chwili, gdy dostawca w końcu Ci powie, a ujawnienie, które przychodzi tydzień za późno, już spaliło Twój termin. Jedyną prawdziwą obroną jest niezależny wgląd w kłopoty krytycznego dostawcy: wpis na liście ransomware, zrzut danych logowania, usługa, która gaśnie, bez czekania na jego e-mail.

Co audytor naprawdę chce zobaczyć

Organy ważą to, co możesz pokazać, a nie to, co twierdzisz. Materiały, które zwykle przesądzają:

• Rejestr dostawców: kim są, ich poziom, ich klasyfikacja ryzyka
• Odpowiedzi na kwestionariusze: każda z datą
• Zapisy monitorowania: co sprawdzono, kiedy i co znaleziono
• Decyzje o zaakceptowanym ryzyku: pisemny, świadomy wybór dla każdego ryzyka, które odnotowałeś i postanowiłeś zaakceptować
• Ślad reakcji: co zrobiłeś z ustaleniami i do kiedy

Niewypowiedzianym sprawdzianem jest to, czy już istnieją. Akta złożone w tygodniu po telefonie od organu zwykle czyta się dokładnie jak akta złożone w tygodniu po telefonie od organu.

Egzekwowanie i dlaczego zarząd odpowiada

NIS2 celowo umieszcza cyberryzyko w porządku obrad kierownictwa. Organ zarządzający musi zatwierdzić środki zarządzania ryzykiem i nadzorować ich wdrożenie, a jego członkowie mogą ponosić osobistą odpowiedzialność, gdy ten nadzór zawiedzie (art. 20). Kary nie są symboliczne: do 10 milionów euro lub 2 % światowego rocznego obrotu dla podmiotów kluczowych i do 7 milionów euro lub 1,4 % dla ważnych (art. 34); w przypadku podmiotów kluczowych organ może nawet zawiesić funkcje kierownicze do czasu naprawy sytuacji. Ryzyko łańcucha dostaw jest wprost jednym ze środków, które kierownictwo musi nadzorować, co jest prawdziwym powodem, dla którego aktualny, udokumentowany dowód monitorowania dostawców należy do sali zarządu, a nie tylko do notatek zespołu bezpieczeństwa.

Oficjalne źródło: Dyrektywa NIS2 na EUR-Lex — artykuł 20 (zarządzanie) i artykuł 34 (kary).

Gdzie wpasowuje się norppa.io

To jest praca, którą norppa.io ma udźwignąć. Każda dodana domena dostawcy jest codziennie sprawdzana ponad setką zewnętrznych kontroli, a źródła ransomware i dark web są ponownie sprawdzane mniej więcej co sześć godzin, z alertem w chwili, gdy pojawia się coś krytycznego. Każde ustalenie jest przypisywane do właściwego artykułu NIS2 w momencie zapisu, raport jest napisany zarówno dla kierownictwa, jak i dla inżynierów, a cała historia eksportuje się do CSV, gdy audytor o nią poprosi.

Kwestionariusz samooceny trafia do dostawców z tego samego miejsca, a ich odpowiedzi leżą obok ustaleń technicznych. Tak więc gdy dostawca twierdzi, że cały ruch jest szyfrowany, a skan pokazuje wygasły certyfikat, sprzeczność jest przed Tobą, a nie pogrzebana.