Jak zakwalifikować usługę lub umowę ICT do kategorii krytycznej, ważnej albo wspierającej?

Klasyfikacja usług ICT: UKSC

Jak zakwalifikować usługę lub umowę ICT do kategorii krytycznej, ważnej albo wspierającej?

W poprzednim artykule punktem wyjścia była usługa, a nie dostawca. W przypadku podmiotu kluczowego lub ważnego idziemy o krok dalej.

Najpierw identyfikujemy usługę świadczoną przez organizację. Potem procesy, systemy, dane i dostawców, od których zależy jej realizacja. Dopiero na końcu kwalifikujemy usługę ICT albo umowę z dostawcą.

UKSC wymaga od podmiotów kluczowych i ważnych systematycznego szacowania ryzyka oraz wdrożenia proporcjonalnych środków technicznych i organizacyjnych. W ramach systemu zarządzania bezpieczeństwem informacji należy uwzględnić bezpieczeństwo i ciągłość łańcucha dostaw produktów ICT, usług i procesów ICT, od których zależy świadczenie usługi. Zarządzanie ryzykiem nie kończy się więc na własnej infrastrukturze — obejmuje cały łańcuch dostaw.

Podział na usługi krytyczne, ważne i wspierające nie wynika wprost z UKSC. To praktyczny model, który pomaga ocenić znaczenie usług ICT i dostawców z perspektywy ryzyka i ciągłości działania. Określenie „ważna” odnosi się w nim do usługi lub umowy — nie oznacza ustawowego statusu podmiotu ważnego w rozumieniu UKSC. Nie należy również mylić tej klasyfikacji z odrębnym pojęciem podmiotu krytycznego.

Najpierw usługa świadczona przez organizację.

Nie każda umowa ICT ma takie samo znaczenie. O znaczeniu nie decyduje sama wartość kontraktu ani rozpoznawalność dostawcy — decyduje wpływ na usługę i procesy organizacji. Dlatego ustalamy kolejno:

• jaką usługę świadczy organizacja,
• jakie procesy są niezbędne do jej realizacji,
• jakie systemy i dane ją wspierają,
• od jakich usług ICT i dostawców zależy jej działanie,
• jaki zakres odpowiedzialności przejmuje dostawca i czy może zmieniać konfigurację, kod lub ustawienia systemu,
• czy usługę da się odtworzyć albo zastąpić.

Jedna umowa może obejmować kilka usług. Każdą oceniamy oddzielnie. Jeżeli wymagań nie da się rozdzielić, dla wspólnych obowiązków przyjmujemy najwyższą kategorię wynikającą z zakresu umowy.

Najczęstszy błąd? Najpierw oceniamy dostawcę, a dopiero potem zastanawiamy się, do czego jest potrzebny. Prawidłowa kolejność jest odwrotna:

Powiązanie z ISO 22301

ISO 22301 nie klasyfikuje usług jako krytyczne, ważne albo wspierające. Tworzy ramy systemu zarządzania ciągłością działania, w których wykorzystuje się analizę wpływu na działalność (BIA). Szczegółowe wytyczne dotyczące procesu BIA zawiera ISO/TS 22317.

Na wynikach BIA warto oprzeć kwalifikację. Dla każdej usługi określamy w szczególności:

• maksymalny tolerowany czas przerwy (MTPD),
• wymagany czas odtworzenia usługi (RTO),
• maksymalną akceptowalną utratę danych (RPO),
• minimalny poziom działania w trybie awaryjnym oraz zależności od systemów, ludzi, lokalizacji i dostawców.

UKSC określa, co trzeba zapewnić: bezpieczeństwo i ciągłość. ISO 22301 pomaga ustalić, jak długo organizacja może działać w ograniczeniu, co odtworzyć w pierwszej kolejności i jak potwierdzić gotowość.

Kryteria kwalifikacji

Przy ocenie odpowiadamy na kilka praktycznych pytań:

• co stanie się z usługą organizacji po kilku godzinach niedostępności,
• czy istnieje skuteczny tryb awaryjny albo minimalny poziom działania,
• czy utrata integralności lub autentyczności danych wpłynie na decyzje albo bezpieczeństwo operacyjne,
• czy ujawnienie danych spowoduje istotne skutki prawne lub operacyjne,
• czy kilku dostawców korzysta z tego samego podwykonawcy lub tej samej platformy,
• jakie będą skutki finansowe, prawne, społeczne i wizerunkowe.

Nie patrzymy wyłącznie na dostępność. Usługa może być krytyczna również wtedy, gdy jej kompromitacja prowadzi do utraty integralności, autentyczności lub poufności informacji. Kategoria wynika z najbardziej dotkliwego, ale wiarygodnego scenariusza — skutków różnych zagrożeń nie uśredniamy.

Trzy praktyczne kategorie usług.

Usługa krytyczna.

To nie jest pytanie o wartość umowy. To pytanie o skutki. Jeżeli niedostępność usługi ICT może zatrzymać albo poważnie zakłócić podstawową usługę organizacji, a nie istnieje skuteczne obejście w wymaganym czasie — mamy do czynienia z usługą krytyczną.

Typowe cechy:

• bardzo krótki, akceptowalny czas przerwy,
• brak skutecznego obejścia i brak realnego zastąpienia,
• silna zależność od konkretnego dostawcy, systemu lub lokalizacji,
• długa albo złożona migracja,
• istotny wpływ na bezpieczeństwo, ciągłość działania, zgodność z przepisami lub odbiorców usługi.

Test jest prosty: jeżeli nie możemy kontynuować podstawowej usługi i nie mamy skutecznego obejścia w wymaganym czasie — usługa jest krytyczna.

Usługa ważna.

Organizacja może nadal funkcjonować, ale z istotnymi ograniczeniami: działania ręczne, czasowe obejścia, ograniczony zakres usługi, spadek wydajności, konieczność zaangażowania dodatkowych zasobów.

Działa — ale wolniej, drożej albo z większym ryzykiem. Alternatywa istnieje, ale jest ograniczona czasowo, kosztowo lub operacyjnie.

Usługa wspierająca.

Jej niedostępność nie powoduje przekroczenia ustalonego w BIA poziomu zakłócenia usług organizacji. Można zastosować tryb awaryjny, obejście lub rozwiązanie zastępcze.

Nie oznacza to niskiego ryzyka. Usługa wspierająca może przetwarzać dane wrażliwe, mieć uprawnienia administracyjne albo stanowić punkt wejścia do środowiska organizacji. W takich przypadkach wymagania bezpieczeństwa mogą być wysokie, mimo że sama usługa pozostaje wspierająca.

Umowa jest nośnikiem zależności.

Umowa nie zastępuje kwalifikacji usługi, ale powinna odzwierciedlać jej znaczenie. Im wyższa kategoria, tym bardziej szczegółowe wymagania wobec dostawcy. Wymagania dla usług ważnych i wspierających ustalamy proporcjonalnie do skutków, danych, dostępu i zależności.

Dla usług krytycznych sprawdzamy w szczególności:

• wymagania dotyczące ciągłości działania i odtworzenia usługi,
• czasy reakcji i przywrócenia działania,
• obowiązki związane z incydentami,
• zasady zarządzania zmianą i nadzór nad podwykonawcami,
• prawo do audytu oraz dostęp do dowodów i raportów,
• możliwość migracji i warunki zakończenia współpracy,
• wyniki testów ciągłości i odtworzenia.

Kategoria nie zastępuje oceny ryzyka związanego z danymi, uprawnieniami, ekspozycją i koncentracją.

Certyfikat ISO 22301 dostawcy to cenny dowód, ale nie zastępuje własnej analizy. Dostawca odtwarza usługę zgodnie ze swoimi wymaganiami — niekoniecznie zgodnie z wymaganiami klienta.

Kiedy wykonujemy kwalifikację?

Dla nowej umowy — przed jej zawarciem: oceniamy zakres usługi, poziom dostępu, zależności, parametry odtworzenia i możliwość zakończenia współpracy.

Dla umów obowiązujących — zaczynamy od oceny bazowej: jak usługa działa dzisiaj i jakie ryzyko występuje obecnie.

Ponowną ocenę wykonujemy przed:

• odnowieniem lub aneksowaniem umowy,
• rozszerzeniem zakresu,
• zmianą technologii,
• zmianą lokalizacji przetwarzania,
• zmianą podwykonawcy,
• zwiększeniem uprawnień dostawcy.

Kategorię weryfikujemy także po istotnym incydencie, znaczącej zmianie architektury lub zależności oraz przy istotnym pogorszeniu sytuacji dostawcy.

Praktyczne minimum zarządcze stanowi przegląd nie rzadziej niż raz w roku.

Co powinno być wynikiem kwalifikacji?

Decyzja o kategorii powinna być krótka i możliwa do obrony podczas audytu, kontroli lub przeglądu ryzyka.

Dokumentujemy co najmniej:

• usługę organizacji i wspierany proces,
• usługę ICT, zakres umowy oraz systemy, dane i zakres dostępu,
• zależności i podwykonawców,
• wyniki BIA i parametry odtworzenia,
• możliwości pracy awaryjnej i zastąpienia usługi,
• przyjętą kategorię wraz z uzasadnieniem,
• właściciela decyzji i termin kolejnego przeglądu.

Podsumowanie

Najważniejsze pytanie nie brzmi „jak ważny jest ten dostawca?”