Ankiety, oceny, decyzje. EBA publikuje wytyczne, a Ministerstwo Cyfryzacji ankietę. Pomogą? Ja mam narzędzie :)

Ważnym elementem tworzenia naszej odporności w zakresie bezpieczeństwa informacji jest co? Oczywiście zarządzanie łańcuchem dostaw!

Oczywiście różne akty prawne różnie to interpretują, ale w zasadzie możemy powiedzieć, że w każdym przypadku chodzi o zarządzanie ryzykiem związanym z angażowaniem podmiotów trzecich do jakichś zadań związanych z usługami teleinformatycznymi (i nie tylko).

Dla przykładu ustawa o krajowym systemie cyberbezpieczeństwa i art. 8, czyli wymogi dla podmiotu kluczowego i ważnego. Naszym zadaniem jest:

(...) wdrożenie odpowiednich i proporcjonalnych do oszacowanego ryzyka środków technicznych i organizacyjnych, uwzględniających najnowszy stan wiedzy, koszty wdrożenia, wielkość podmiotu, prawdopodobieństwo wystąpienia incydentów, narażenie podmiotu na ryzyka, skutki społeczne i gospodarcze, w szczególności: (...)

bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi, z uwzględnieniem związków pomiędzy bezpośrednim dostawcą sprzętu lub oprogramowania a podmiotem kluczowym lub podmiotem ważnym.

No i pojawia się pytanie - jak to zrobić? I czy wystarczy, że sobie spojrzę na stronę www dostawcy? No... w dzisiejszych czasach z użyciem asystentów AI można zrobić całkiem niezły "biały wywiad" (OSINT), który może stanowić część całego procesu zarządzania relacji, ale bądźmy szczerzy - to nie wystarczy.

O tym za chwilę, a tradycyjnie już, nieco później, ogłoszenia drobne:

pod tym linkiem możecie zobaczyć jak wyglądają cykliczne newslettery wysyłane z legalarchitect.pl - nieustannie zachęcam Was do zapisania się i korzystania z wiedzy, Na www.cyberszlif.pl udostępniłem narzędzie do oceny dostawcy na bazie projektu, który zaproponowało Ministerstwo Cyfryzacji pod tym linkiem i spróbowałem to połączyć z wytycznymi EBA dla podmiotów trzecich świadczących usługi "nie-ICT", Zostały 2 miejsca na trzecią edycję szkolenia " Zostań AI Governance Officer'em ", która odbędzie się 22 września (dużo extrasów dla uczestników).

Co więcej? Oczywiście sposobów na zapewnienie dobrego zarządzania jest kilka (najczęściej trzeba to robić równolegle) i możemy wśród nich wymienić:

✅ stosowanie modelowych klauzul umownych, które "zapewniają" nas o tym, że określone wymagania w zakresie bezpieczeństwa informacji są spełnione,

✅ prowadzenie rejestru umów z dostawcami, w którym znajdziemy informacje m.in. o poziomie dostępności usług (SLA) i które potem powinny być monitorowane,

✅ wdrażanie mechanizmów zautomatyzowanej kontroli i monitorowania działania określonych usług.

I jest jeszcze porządna ocena dostawcy, czyli tzw. due diligence. Pytanie tylko jak takie due diligence przeprowadzić mają ograniczony - publiczny - dostęp do informacji? Oczywiście ludzie od cyberbezpieczeństwa mają swoje sposoby, ale nie wszystkie są w pełni legalne (no takie "szare", półlegalne), więc niekoniecznie możemy je wykorzystać do realizacji środków, które potem mogą podlegać kontroli i audytowi.

Ankieta. Nie lubią jej zarówno zbierający informacje, jak i ci, którzy wypełnić ją muszą. Często, niestety przyjmuje charakter wyłącznie "rejestrowy" i audytowy, co oznacza, że bierzemy ją i archiwizujemy na "wypadek gdyby". I to też jest jakby ok, ale ma ona jednak większe znaczenie, jeżeli do operacjonalizacji systemu zarządzania bezpieczeństwem informacji podchodzimy odpowiedzialnie.

Ale najpierw spójrzmy na to jak ankietę postrzega samo Ministerstwo Cyfryzacji:

Projektowana ankieta może być wykorzystana jako adekwatny zestaw pytań bazowych przez wszystkie podmioty kluczowe i ważne w relacjach z dostawcami usług, produktów i procesów ICT.

Adekwatny zestaw pytań - pod warunkiem, że dostosujemy ją do naszej specyfiki i potrzeb, bo jak wskazują autorzy " finalny wzór ankiety powinien być dostosowany do realiów rynkowych i skutecznie przyczyniać się do sprawnej realizacji obowiązków ustawowych. Stosowanie ankiety będzie dobrowolne ". Tak więc, zgodnie z zasadą proporcjonalności i profilem ryzyka oraz modelem współpracy, powinniśmy ją sobie podrasować i być może dodać kolejne pytania.

Zaletą ankiety jes to, że jest relatywnie krótka, bo zawiera zaledwie 33 pytania, co przy np. umowach outsourcingu bankowego jest:

Samo Ministerstwo Cyfryzacji wskazuje, że " opublikowanie wzoru ankiety ułatwi stosowanie ustawy jak i zapewni bezpieczeństwo regulacyjne dla podmiotów krajowego systemu cyberbezpieczeństwa ". No więc grzechem byłoby nie skorzystać, prawda?

A jakie to są pytania? I czego dotyczą? To może zacznę od zakresu ( a jak się śpieszycie to zarzyjcie tutaj):

✅ polityka zarządzania bezpieczeństwem informacji, w tym to czy dostawca ją w ogóle ma ;)

✅ zarządzanie ryzykiem,

✅ obsługa incydentów,

✅ zarządzanie ciągłością działania,

✅ bezpieczeństwo łańcucha dostaw,

✅ bezpieczeństwo nabywania, rozwoju i utrzymania systemów,

✅ cyberhigiena i szkolenia,

✅ kryptografia,

✅ bezpieczeństwo fizyczne i środowiskowe

✅ zarządzanie aktywami,

✅ bezpieczeństwo osobowe,

✅ kontrola dostępu.

Nie przedłużając - zrobiłem dla Was narzędzie (wykorzystując moją wiedzę i model Fable 5.1), które zawiera te pytania i pozwala na dokonanie oceny (scoringu), który potem możemy wykorzystać w naszym procesie zarządzania ryzykiem łańcucha dostaw. Brzmi dobrze? To sprawdzajcie!

Wszystko pod tym linkiem. Aha, dołożyłem jako ciekawostkę komponent dotyczący wytycznych EBA, ale to raczej jako ciekawostka. Dajcie znać czy narzędzie się Wam podoba.