Как да оцените риска от доставчиците, преди да е настъпил пробив

Един доставчик не се нуждае от директен достъп до цялата ви мрежа, за да създаде сериозна кибер експозиция. Доставчикът на услуги по заплати може да обработва данни на служителите. Маркетинг платформата може да съхранява имейл адресите на клиентите. Управляваната ИТ компания може да държи привилегировани администраторски идентификационни данни. Да знаете как да оцените риска от доставчиците означава да погледнете отвъд цената, нивата на обслужване и одобренията от отдела по доставки и да разберете какво би могло да се случи, ако тази трета страна бъде пробита, стане недостъпна или не успее да изпълни задълженията си.

За бизнес лидерите оценката на риска от доставчиците не е просто ИТ упражнение. Тя е решение, свързано с непрекъснатостта на дейността, съответствието, договорите и застраховането. Целта е да се установи къде външните доставчици увеличават вашата експозиция и да се реши кои рискове трябва да бъдат намалени, приети, прехвърлени или избегнати, преди един проблем да се превърне в инцидент.

Започнете с това, което доставчикът може да засегне

Не всеки доставчик изисква еднаква степен на проверка. Местна фирма за канцеларски материали и облачен доставчик, който хоства чувствителни клиентски данни, не бива да минават през еднакви прегледи. Започнете, като определите ролята на доставчика във вашите операции и активите, до които може да има достъп, които може да съхранява, предава или нарушава.

Първо разгледайте информацията, която е замесена. Това може да включва лично идентифицируема информация, платежни данни, здравна информация, вътрешни бизнес записи, идентификационни данни или регулирани клиентски данни. След това разгледайте достъпа. Може ли доставчикът да се свързва с вашата мрежа, да използва инструменти за отдалечено администриране, да има достъп до споделена облачна среда или да влиза в критично бизнес приложение?

За много организации наличността е също толкова важна, колкото и поверителността. Срив при доставчик на счетоводни, комуникационни, логистични, платежни или управлявани услуги може да спре нормалната дейност, дори когато не са откраднати никакви данни. Задайте си прекия въпрос: ако този доставчик стане недостъпен за три дни, кой бизнес процес би се провалил и колко би струвал този провал?

Този първоначален преглед ви позволява да класифицирате доставчиците по риск. Доставчиците с висок риск обикновено обработват чувствителни данни, имат привилегирован достъп, поддържат съществени услуги или работят в регулирани области. Те заслужават по-подробна оценка на сигурността и устойчивостта преди включването и на редовни интервали след това.

Изградете практичен списък на доставчиците

Не можете да управлявате експозицията към доставчици, ако не знаете кои са те. Създайте централизиран списък, който включва доставчици на софтуер като услуга (SaaS), консултанти, управлявани доставчици на услуги, платежни процесори, облачни платформи, правни и финансови партньори и всеки изпълнител с достъп до системи или данни.

За всеки доставчик запишете бизнес собственика, предоставяните услуги, датите на договора, достъпваните системи, включените категории данни, датата на подновяване и присвоения рисков рейтинг. Включете и четвъртите страни, където е възможно. Един доставчик може да разчита на собствена хостинг компания, подизпълнители, екипи за поддръжка или обработващи данни, а тези отношения могат да внесат допълнителна експозиция.

Списъкът трябва да се поддържа съвместно. Отделът по доставки може да води данните по договорите, ИТ може да познава достъпа до системите, юридическият отдел и отделът по съответствие могат да определят задълженията, а финансите могат да отчитат оперативните зависимости. Откъсната електронна таблица, която се води от един отдел, рядко е достатъчна, за да подпомогне смислена реакция, когато настъпи инцидент.

Прегледайте мерките за сигурност, които съответстват на експозицията

Когато оценявате доставчик с висок риск, поискайте доказателства за мерките, които са важни за вашата среда. Изпипаната декларация за сигурност не е същото като доказателство, че защитите работят ефективно. Дълбочината на прегледа трябва да отразява потенциалното въздействие на евентуален срив.

Съсредоточете се върху начина, по който доставчикът защитава идентичностите, крайните устройства, мрежите, облачните системи и чувствителните данни. Многофакторната автентикация, достъпът с най-малки привилегии, криптирането, управлението на уязвимости, откриването и реакцията на крайни точки (EDR), журналирането и навременното прилагане на актуализации са съществени индикатори. За доставчици с директна свързаност към вашата среда попитайте как отдалеченият достъп се защитава, наблюдава, ограничава и премахва, когато вече не е необходим.

Независимите оценки могат да са полезни, включително одиторски доклади, резюмета от тестове за проникване, сертификати за сигурност и декларации за съответствие. Те трябва да подпомагат вашето решение, а не да го заместват. Един доклад може да обхваща само конкретна услуга, система или период. Уверете се, че обхватът му съответства на услугата, която купувате, и че значимите констатации са отстранени.

Попитайте доставчиците как управляват собствените си трети страни. Ако платформа за управление на взаимоотношенията с клиенти предава данни на доставчици на анализи, поддръжка, резервно копиране или хостинг, вашият преглед трябва да отчита и тези страни надолу по веригата. Рискът често се прехвърля през веригата на доставки, а не се елиминира.

Оценете способността за реакция при инциденти и възстановяване

Един доставчик може да има разумни превантивни мерки и пак да претърпи кибер инцидент. Това, което отличава управляемото събитие от продължителното прекъсване на дейността, е способността да се открие, ограничи, разследва, комуникира и възстанови.

Попитайте дали доставчикът има документиран план за реакция при инциденти, определен екип за реакция и процес за уведомяване на клиентите. Срокът за уведомяване е критичен. Договор, който позволява на доставчика да изчака неопределен период, преди да докладва за събитие със сигурността, може да остави вашата организация неспособна да изпълни правните, регулаторните, договорните или застрахователните си задължения за докладване.

Прегледайте уредбата за резервно копиране и възстановяване при доставчици, които поддържат критични услуги. Резервните копия трябва да са защитени от ransomware, да се тестват редовно и да са съчетани с реалистични цели за възстановяване. Доставчик, който обещава висока наличност, но не може да обясни как възстановява операциите след разрушителна атака, представлява проблем за непрекъснатостта.

Полезно е също да разберете дали доставчикът е репетирал процедурите си за реакция. Симулационните упражнения (tabletop) и тестовете за възстановяване не гарантират представяне под напрежение, но показват, че справянето с инциденти е нещо повече от документ, оставен в папка.

Проверете съответствието и договорната отговорност

Рискът от доставчиците често е мястото, където се проверяват ангажиментите ви за съответствие. Вашата организация може да носи отговорност за защитата на клиентската информация, дори когато трета страна обработва тази информация от ваше име. Прегледайте правните и регулаторните изисквания, които се прилагат за вашите данни, отрасъл и клиенти, след което се уверете, че доставчикът може да ги изпълни.

Договорът трябва ясно да определя допустимото използване на данните, задълженията за поверителност, очакванията за сигурност, изискванията за уведомяване при пробив, местоположението на данните, сроковете за съхранение и сигурното изтриване в края на отношенията. Той трябва да уреждa и използването на подизпълнители от страна на доставчика, както и вашето право да получавате съответната информация за сигурността.

Обърнете специално внимание на ограниченията на отговорността и на обезщетенията (индемнитета). Ниската стойност на договора не означава непременно ниска кибер експозиция. Ако доставчик обработи неправилно хиляди клиентски записи, разходите за юридически съветник, уведомяване, мониторинг на кредитната история, криминалистично разследване, регулаторна реакция и претенции от клиенти може да надвишат договорния лимит на отговорността на доставчика.

Някои доставчици ще се противопоставят на обширни промени в договора, особено големите платформи със стандартизирани условия. Това автоматично не ги прави неподходящи. То обаче означава, че вашата организация трябва да документира оставащата експозиция и да обмисли компенсиращи мерки, алтернативни доставчици или допълнителна застрахователна защита.

Включете финансовото състояние и оперативната зависимост

Въпросниците за киберсигурност сами по себе си не показват дали един доставчик може да продължи да работи. Финансова слабост, недостиг на персонал, концентрирана клиентска база, неразрешени съдебни спорове или повтарящи се сривове на услугите могат да създадат бизнес риск, дори когато техническите мерки на доставчика изглеждат приемливи.

Преценете дали доставчикът има достатъчна оперативна зрялост за услугата, която предоставя. За критичен доставчик прегледайте историята му на сривове, модела на клиентска поддръжка, географските зависимости, възможностите за възстановяване след бедствие и способността му да поддържа услугата при регионално прекъсване. Малък специализиран доставчик може да предлага отлична експертиза, но да има ограничена резервираност. Този компромис може да е приемлив, ако е разбран и подкрепен от план за действие при непредвидени обстоятелства.

Избягвайте да разчитате на един-единствен доставчик за процес, който не може да спре. Където е възможно, поддържайте документирани алтернативи, възможности за експортиране на данни, резервни методи за комуникация и вътрешни процедури за работа на ръчен режим по време на срив.

Оценете риска и вземете ясно решение

Последователният метод за оценяване помага на лидерите да сравняват доставчици и да избягват решения, основани на непълни впечатления. Оценете потенциалното въздействие от срив на доставчика заедно с вероятността от проблем със сигурността, поверителността, съответствието или непрекъснатостта. Вземете предвид чувствителността на данните, достъпа до системи, оперативната критичност, зрелостта на мерките за контрол, готовността за инциденти и договорните защити.

Резултатът трябва да води до действие, а не само до оценка. Доставчик с нисък риск може да бъде одобрен със стандартни условия. Доставчик с умерен риск може да се нуждае от по-строг контрол на достъпа или от годишни прегледи. Доставчик с висок риск може да изисква доказателства за сигурност, промени в договора, одобрение от изпълнителното ръководство и план за действие при непредвидени обстоятелства, преди да бъде използван. В някои случаи правилното решение е да се избере друг доставчик.

Документирайте обосновката и всички приети изключения. Това създава отговорност и осигурява доказателство, че вашата организация е упражнявала разумен надзор, ако по-късно инцидент при доставчик засегне клиенти, регулатори или застрахователи.

Свържете риска от доставчиците с киберзастраховката

Киберзастраховката може да помогне за покриване на финансовите последици от инцидент, свързан с доставчик, но покритието не заменя надлежната проверка. Полиците се различават по начина, по който реагират при прекъсване на дейността поради зависимост от трети страни, отговорност към трети лица, събития, свързани с поверителността, измами с превод на средства и инциденти, започнали при доставчици на услуги.

Прегледайте текста на вашата полица с оглед на най-важните ви доставчици. Например, ако срив при облачен доставчик не позволява на бизнеса ви да работи, уточнете дали се прилага покритието за прекъсване на дейността поради зависимост от трети страни и дали за задействането му е нужен квалифициран пропуск в сигурността. Ако пробив при доставчик изложи данните на вашите клиенти, разберете как могат да реагират покритията за уведомяване, защита, регулаторна реакция и отговорност.

Застрахователните заявления също все по-често разглеждат практиките за управление на доставчици и мерките за киберсигурност. Документираният процес за оценка на доставчиците може да подпомогне по-точното представяне на риска и да помогне за откриване на пропуски преди подновяване или претенция.

Превърнете надзора над доставчиците в постоянна мярка за контрол

Рискът от доставчиците се променя след подписването на договора. Един доставчик може да добави нови подизпълнители, да промени инфраструктурата си, да претърпи инцидент, да загуби сертификат или да разшири достъпа си до вашите системи. Преглеждайте доставчиците с висок риск поне веднъж годишно и всеки път, когато има съществена промяна в услугата, достъпа, използването на данни или бизнес зависимостта.

Най-полезният процес за оценка на доставчиците е този, който вашите екипи могат да поддържат. Поддържайте го пропорционален, определете собственик, съхранявайте доказателствата и ескалирайте доставчиците, които наистина могат да засегнат вашите клиенти и операции. Когато превенцията, договорните гаранции, планирането на непрекъснатостта и киберзастраховката се разглеждат заедно, отношенията с доставчиците стават по-лесни за управление и много по-малко вероятно да се превърнат в неуправляван източник на загуби.

Бърз контролен списък за оценка на риска от доставчици

Често задавани въпроси