Najpierw usługa, potem dostawca: jak zacząć ocenę ryzyka łańcucha dostaw ICT w UKSC.

Najpierw usługa, potem dostawca: UKSC

Najpierw usługa, potem dostawca: jak zacząć ocenę ryzyka łańcucha dostaw ICT w UKSC.

W praktyce ocena ryzyka dostawcy ICT często zaczyna się zbyt późno i z niewłaściwego miejsca: od ankiety, certyfikatu albo ogólnej oceny firmy. Tymczasem w UKSC kluczowe jest najpierw zrozumienie, jaką usługę dostawca wspiera, od czego ta usługa zależy i jakie skutki wywoła jej niedostępność.

Punktem wyjścia jest ustalenie, jaką usługę dostawca realizuje i jakie znaczenie ma ona dla organizacji.

1. Opisz usługę i proces

UKSC wymaga systematycznego szacowania ryzyka oraz zapewnienia bezpieczeństwa i ciągłości łańcucha dostaw produktów ICT, usług ICT i procesów ICT, od których zależy świadczenie usługi. Dlatego najpierw opisz usługę i proces, a następnie ustal:

• jaki proces lub usługa biznesowa jest wspierana,
• jaki system, produkt albo proces ICT jest wykorzystywany,
• kto jest właścicielem usługi,
• jakie dane są przetwarzane,
• jaki zakres odpowiedzialności przejmuje dostawca.

2. Zidentyfikuj zależności

Odpowiedz, czy usługa zależy również od:

• dostawców chmury,
• centrów przetwarzania danych,
• podwykonawców,
• operatorów telekomunikacyjnych,
• producentów sprzętu lub oprogramowania,
• usług zarządzanych,
• lokalizacji i jurysdykcji, w których realizowane jest wsparcie.

3. Oceń wpływ niedostępności

Dostawca bezpośredni może być tylko jednym elementem dłuższego łańcucha zależności. Dlatego oceń wpływ niedostępności i odpowiedz na pytanie: co się stanie, jeżeli usługa przestanie działać? Ustal w szczególności:

• czy zostanie przerwana usługa o krytycznym znaczeniu dla organizacji,
• czy możliwa jest praca w trybie awaryjnym,
• czy istnieje skuteczne obejście,
• jak długo organizacja może działać bez usługi,
• czy naruszenie integralności danych wpłynie na decyzje operacyjne,
• jakie będą skutki finansowe, prawne, społeczne lub wizerunkowe.

4. Sprawdź zakres dostępu dostawcy

Ryzyko zależy nie tylko od rodzaju danych, lecz także od tego, czy dostawca może:

• uzyskać zdalny dostęp do systemów,
• korzystać z uprawnień uprzywilejowanych,
• instalować kod, aktualizacje lub firmware,
• zmieniać konfigurację,
• uzyskać dostęp do środowisk IT, OT lub ICS,
• wpływać na backup, odtwarzanie albo monitoring.

5. Oceń zastępowalność

Nawet dostawca z ograniczonym dostępem do danych może generować wysokie ryzyko, jeżeli może zmienić konfigurację systemu istotnego dla ciągłości działania. Dlatego oceń zastępowalność i sprawdź, czy organizacja posiada:

• alternatywnego dostawcę,
• aktualną dokumentację,
• dane i konfiguracje,
• prawa do korzystania z rozwiązania,
• kompetencje potrzebne do migracji,
• możliwość przeniesienia danych,
• wystarczający czas na przeprowadzenie zmiany.

6. Brak alternatywy, długi czas migracji i uzależnienie od obecnego dostawcy zwiększają znaczenie całej usługi.

Kategoria usługi

Na podstawie powyższych informacji można zakwalifikować usługę jako:

• Krytyczna - gdy jej niedostępność może zatrzymać albo poważnie zakłócić świadczenie usługi o krytycznym znaczeniu dla organizacji,
• Ważna - gdy organizacja może nadal działać, ale z istotnymi ograniczeniami operacyjnymi,
• Wspierająca - gdy niedostępność powoduje ograniczony wpływ i nie przerywa świadczenia usług o krytycznym znaczeniu dla organizacji.

Kategoria usługi nie jest jeszcze oceną bezpieczeństwa dostawcy. Dopiero po określeniu znaczenia usługi można ocenić zabezpieczenia dostawcy, jego zdolność do obsługi incydentów, zarządzanie podatnościami, ciągłość działania, podwykonawców, możliwość audytu oraz warunki zakończenia współpracy.

W cyklu życia usługi i relacji z dostawcą ICT warto rozdzielić trzy momenty zarządzania ryzykiem:

• Przegląd bazowy istniejącej umowy i usługi - wykonywany w celu ustalenia aktualnego poziomu ryzyka, zakresu zależności, stanu zabezpieczeń oraz braków w umowie,
• Ocena przed odnowieniem, aneksowaniem, rozszerzeniem lub istotną zmianą umowy albo usługi - obejmująca również zmianę zakresu dostępu, technologii, lokalizacji przetwarzania lub podwykonawcy,
• Ocena bieżąca - prowadzona w trakcie współpracy i obejmująca monitoring incydentów, podatności, zmian, ciągłości działania, podwykonawców oraz realizacji wymagań umownych, a także formalną weryfikację poziomu ryzyka co najmniej raz w roku.

Nie są to trzy niezależne oceny tej samej umowy, lecz kolejne punkty kontrolne w cyklu życia współpracy. W przypadku umów już obowiązujących proces rozpoczyna się od przeglądu bazowego. Przed każdą istotną zmianą należy przeprowadzić ponowną ocenę, a w trakcie współpracy prowadzić monitoring i okresową weryfikację poziomu ryzyka, co najmniej w cyklu rocznym.

Prawidłowa kolejność procesu

Dlatego w ocenie ryzyka łańcucha dostaw ICT warto zaczynać od usługi, a nie od dostawcy. To usługa wyznacza zakres oceny, proporcjonalne wymagania, właściciela ryzyka i dowody, których naprawdę potrzebuje organizacja.