Czego wymaga ustawa? 

Ustawa o krajowym systemie cyberbezpieczeństwa wymaga zarządzania ryzykiem związanym z dostawcami produktów, usług i procesów ICT. Obejmuje to w szczególności zapewnienie bezpieczeństwa i ciągłości łańcucha dostaw, ocenę ryzyka dostawców i świadczonych przez nich usług, weryfikację jakości wykorzystywanych produktów, usług i procesów ICT, a także monitorowanie dostawców oraz zarządzanie zależnościami od podmiotów zewnętrznych, w tym dostawców wysokiego ryzyka. Celem tych działań jest ograniczenie ryzyka incydentów, zakłóceń oraz negatywnego wpływu problemów po stronie dostawców na funkcjonowanie organizacji.

Co to oznacza w praktyce? 

• Bezpieczeństwo i ciągłość łańcucha dostaw produktów, usług i procesów ICT (art. 8 ust. 1 pkt 2 lit. e oraz 8 ust. 2 pkt 3)

Organizacja powinna wiedzieć, od których dostawców jest zależna i które rozwiązania są niezbędne do jej działania. Warto przygotować listę najważniejszych zależności i zastanowić się, jakie byłyby skutki niedostępności usług lub/i dostaw. Przy ocenie ryzyka związanego z dostawcami i usługami ICT należy brać pod uwagę nie tylko własne analizy i doświadczenia, ale także publicznie dostępne, publikowane przez zaufane organizacje i instytucje informacje i oceny bezpieczeństwa (publikowane na przykład na poziomie Unii Europejskiej). Mogą one pomóc w identyfikacji zagrożeń, podatności oraz innych ryzyk związanych z konkretnymi produktami, usługami lub dostawcami. Dzięki temu można wcześniej zaplanować działania ograniczające ryzyko i wspierające ciągłość działania.

• Ocena ryzyka dostawców i usług ICT (art. 8 ust. 2 pkt 1)

Przed wyborem dostawcy warto sprawdzić, jak dba on o bezpieczeństwo informacji i czy zapewnia odpowiedni poziom ochrony swoich usług. Należy ocenić, jakie konsekwencje dla organizacji mogłaby mieć awaria systemu lub wyciek danych po stronie dostawcy. Taką ocenę warto powtarzać również w trakcie współpracy, szczególnie gdy zmienia się zakres usług lub pojawiają się nowe zagrożenia.

• Jakość produktów, usług i procesów ICT (art. 8 ust. 2 pkt 2)

Przed zakupem lub wdrożeniem systemu, oprogramowania lub usługi warto sprawdzić, czy są one regularnie aktualizowane, wspierane przez dostawcę lub producenta oraz spełniają wymagania bezpieczeństwa organizacji. Powinno się także zwrócić uwagę na sposób utrzymania i rozwijania wykorzystywanych rozwiązań, w tym proces wprowadzania aktualizacji i usuwania podatności. Dobrą praktyką jest określenie wymagań już na etapie zapytania ofertowego lub umowy, tak aby dostawca od początku znał oczekiwania organizacji.

• Zarządzanie zależnościami od dostawców ICT, w tym dostawców wysokiego ryzyka (art. 8 ust. 2 pkt 4)

Organizacja powinna identyfikować sytuacje, w których jest zależna od jednego dostawcy oraz podejmować działania ograniczające związane z tym ryzyko, szczególnie jeśli mogłoby to zakłócić lub sparaliżować realizację zadań. Warto rozważyć rozwiązania alternatywne i przygotować sposób działania na wypadek zakończenia współpracy lub dłuższej niedostępności usługi. Należy zwrócić uwagę na ryzyko uznania dostawcy za dostawcę wysokiego ryzyka i konsekwencje związane z koniecznością wycofania z użytkowania produktu, usługi lub procesu ICT dostarczanych przez ten podmiot.

Jak sprawdzić, czy organizacja spełnia ten obowiązek?  

Ochrona systemów i informacji obejmuje zarówno rozwiązania techniczne, jak i działania organizacyjne, które mają zapewnić poufność, integralność i dostępność danych oraz odporność systemów na zagrożenia. Aby ocenić, czy wymagania w tym obszarze są realizowane, warto spojrzeć na nie z kilku uzupełniających się perspektyw:

• decyzji i odpowiedzialności,
• zasad i procedur,
• systemów i bezpieczeństwa technicznego,
• usług, ludzi i codziennej działalności.

W pierwszej kolejności należy ustalić, którzy dostawcy mają istotne znaczenie dla funkcjonowania organizacji, kto odpowiada za współpracę z nimi oraz w jaki sposób akceptowane jest ryzyko związane z korzystaniem z ich usług. Ważne jest również sprawdzenie, czy kwestie bezpieczeństwa są uwzględniane przy wyborze dostawców i czy organizacja posiada odpowiednie procedury regulujące współpracę z podmiotami zewnętrznymi.

Należy także zweryfikować, czy wymagania dotyczące bezpieczeństwa zostały uwzględnione w umowach, obejmują podwykonawców oraz określają zasady przechowywania i przetwarzania danych. Istotnym elementem jest również okresowa ocena dostawców pod kątem spełniania wymagań bezpieczeństwa.

Z perspektywy systemów i bezpieczeństwa technicznego, organizacja powinna wiedzieć, do jakich systemów i danych mają dostęp dostawcy, oceniać poziom bezpieczeństwa dostarczanych rozwiązań oraz analizować wpływ potencjalnych awarii lub incydentów po stronie dostawcy na własne systemy i usługi. Przykładowo, przed wdrożeniem usługi chmurowej warto ocenić stosowane przez dostawcę mechanizmy bezpieczeństwa, zakres dostępu do danych oraz procedury postępowania w przypadku incydentu.

Koniecznym jest również sprawdzenie, czy pracownicy wiedzą, gdzie zgłaszać problemy związane z usługami dostawców, czy określono oczekiwany czas reakcji na awarie oraz czy użytkownicy są informowani o planowanych zmianach i przerwach w świadczeniu usług.

Zaniedbania w tych obszarach mogą prowadzić do zakłóceń działalności, niekontrolowanego dostępu do danych, wydłużonego czasu niedostępności usług oraz strat finansowych i wizerunkowych.

Jakie działania wspierają realizację wymagań ustawowych?

Skuteczne zarządzanie bezpieczeństwem dostawców zaczyna się jeszcze przed nawiązaniem współpracy. Ryzyko w obszarze cyberbezpieczeństwa warto uwzględniać już na etapie wyboru i kwalifikacji dostawców, oceniając nie tylko oferowane usługi, ale również poziom stosowanych przez nich zabezpieczeń. Pomocne jest także śledzenie rekomendacji i ostrzeżeń publikowanych przez właściwe organy odpowiedzialne za cyberbezpieczeństwo.

Skuteczne zarządzanie bezpieczeństwem dostawców nie powinno również kończyć się na podpisaniu umowy. Ważnym elementem jest stałe monitorowanie dostawców oraz weryfikowanie, czy realizują oni uzgodnione wymagania bezpieczeństwa. Dobrą praktyką jest także ograniczanie zależności od pojedynczych dostawców oraz przygotowanie rozwiązań awaryjnych na wypadek problemów po ich stronie. Analiza incydentów, awarii i wyników okresowych ocen pozwala wyciągać wnioski i stale doskonalić sposób zarządzania bezpieczeństwem w łańcuchu dostaw.

Regularna weryfikacja współpracy z dostawcami, kontrola uprawnień oraz uwzględnianie ryzyka w całym łańcuchu dostaw pozwalają ograniczyć prawdopodobieństwo wystąpienia problemów i zwiększyć odporność organizacji na cyberzagrożenia.

Cyberbezpieczeństwo dostawców i usług zewnętrznych – więcej niż zapisy w umowie

Wiele incydentów związanych z dostawcami i usługami zewnętrznymi nie wynika z braku procedur, lecz z pozornie drobnych zaniedbań czy błędnych założeń. Do najczęstszych błędów należą traktowanie oceny bezpieczeństwa dostawcy jako jednorazowego działania, pozostawianie nadmiernych uprawnień do systemów i danych, pomijanie podwykonawców w ocenie ryzyka czy nadmierne uzależnienie od jednego dostawcy. Ryzyko zwiększa również skupianie się wyłącznie na kosztach i funkcjonalności usług oraz błędne przekonanie, że odpowiedzialność za cyberbezpieczeństwo można przenieść na podmiot zewnętrzny. Świadomość tych pułapek i ich konsekwentne unikanie pozwalają ograniczać ryzyko oraz wzmacniać odporność organizacji na cyberzagrożenia.

Więcej informacji znajduje się w poradniku „Od wymagań do działania. Praktyczny przewodnik po nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa”. Publikacja zawiera pytania kontrolne, przykładowe działania i dokumenty oraz dobre praktyki wspierające wdrażanie wymagań ustawowych i budowanie odporności organizacji na cyberzagrożenia.

 

Artykuł wyraża jedynie poglądy autorów i nie może być utożsamiany
z oficjalnym stanowiskiem Ministerstwa Cyfryzacji