Dodavatel je součást vašeho bezpečnostního perimetruJak řídit třetí strany bez stovek formálních dotazníků

Dodavatelé jsou dnes součástí perimetru

Účetní systém ve cloudu, externí podpora servisu, dodavatel ERP nebo marketingová agentura s přístupem do firemních nástrojů: všichni mají legitimní přístup do prostředí firmy. Pokud je dodavatel kompromitován, může útočník použít jeho přístupové údaje a cesty, které nikdo nekontroluje. Z pohledu NIS2 a běžné praxe řízení rizik přitom odpovědnost zůstává u organizace: to, že incident začal u dodavatele, neodpovědnost přenáší.

Segmentace podle kritičnosti a přístupu k datům

Základem efektivního přístupu je rozdělit dodavatele podle toho, k čemu mají přístup a jaký dopad má jejich selhání. Jiné požadavky má dodavatel, který provozuje klíčový systém, a jiné ten, který dodává spotřební materiál. Segmentace umožní zaměřit pozornost tam, kde je reálné riziko, a nepřetěžovat zbytek četnými formalitami. Dobrý filtrovací otazník zní: přistupuje dodavatel ke sítím, systémům nebo osobním údajům, a co se stane, když jeho služba přestane fungovat?

Smluvní požadavky jako hlavní nástroj

Nejúčinnějším nástrojem řízení dodavatelů je smlouva. V ní je možné si vyžádat: dodržování konkrétních bezpečnostních opatření, oznámení bezpečnostního incidentu ve stanovené lhůtě, používání vícefaktorového ověření pro přístupy, pravidlo neuchovávat data déle než je nutné a povinnost navrácení či vymazání dat při ukončení spolupráce. Pro klíčové dodavatele je rozumné mít i dohodu o průběžné kontrole a právo na ověření. Smluvní podmínky je vhodné zapracovat do šablon, které pak právník nebo compliance ověří jednou, ne u každého dodavatele zvlášť.

Ověření místo masy dotazníků

Formální dotazníky mají smysl u dodavatelů, kteří provozují klíčové systémy nebo pracují s citlivými údaji. Tam je odpověď podrobnější a stojí za to si ji vyžádat. U širokého okruhu menších dodavatelů je ale hromadné rozesílání dotazníků kontraproduktivní: dotazovaní je nečtou, vy nevíte, jak odpovědi ověřit, a vzniká falešný pocit kontroly. Praktičtější je krátká sada otázek zaměřených na konkrétní riziko a smluvní řešení, případně přímá konzultace u klíčových dodavatelů, kde je to podmínkou obnovy smlouvy.

Průběžná kontrola a revize

Řízení dodavatelů není jednorázová akce při podpisu smlouvy. Je potřeba: udržovat aktuální seznam dodavatelů a jejich přístupů, pravidelně kontrolovat, kdo ke čemu skutečně má přístup, a při ukončení spolupráce přístupy neodkladně zrušit. Průběžná kontrola může zahrnovat i sdílení postupů, společné scénáře pro případ výpadku a sdílený plán obnovy. Pro klíčové dodavatele je vhodné mít připravený postup, co uděláte, pokud jejich služba přestane fungovat: záložní dodavatel, offline postup, minimální doba obnovy.

• Udržujte seznam dodavatelů, jejich přístupů a kategorie rizika jako běžnou součást IT dokumentace.
• Přístupy dodavatelů ověřujte pravidelně a rušte je okamžitě při ukončení spolupráce.
• V smlouvách si vyžádejte oznámení incidentu ve stanovené lhůtě.
• Pro klíčové dodavatele mějte připravený postup pro případ jejich výpadku.