Aneks A, deo 5: A.5.19–5.23 — Odnosi sa dobavljačima i cloud uslugama

Peti deo serije o Aneksu A. Ista logika kontrole pristupa i prenosa informacija koju smo pokrili u prethodnom delu sada se primenjuje na nekoga ko nije zaposlen u firmi, ali ipak ima pristup njenim podacima — dobavljače, i posebno cloud usluge, na kojima počiva rad gotovo svake male firme danas.

Šta ove kontrole traže

A.5.19 — Bezbednost informacija u odnosima sa dobavljačima. Treba da postoje procesi za upravljanje rizikom koji dolazi od korišćenja proizvoda ili usluga dobavljača — ne samo za najveće, očigledne dobavljače, nego za sve koji imaju bilo kakav pristup informacijama firme.

A.5.20 — Bezbednost informacija u ugovorima sa dobavljačima. Relevantni bezbednosni zahtevi treba da budu dogovoreni i uneti u ugovor sa svakim dobavljačem, u zavisnosti od prirode odnosa.

A.5.21 — Upravljanje bezbednošću u IKT lancu snabdevanja. Rizik se ne zaustavlja na direktnom dobavljaču — treba razmotriti i podizvođače kojima vaš dobavljač dalje poverava deo posla.

A.5.22 — Praćenje, pregled i upravljanje promenama kod usluga dobavljača. Firma treba redovno da prati i pregleda bezbednosnu praksu dobavljača i da upravlja promenama u njihovoj usluzi — ne samo da potpiše ugovor jednom i pretpostavi da će sve ostati isto.

A.5.23 — Bezbednost informacija za korišćenje cloud usluga. Treba da postoje procesi za nabavku, korišćenje, upravljanje i izlazak iz cloud usluga, u skladu sa bezbednosnim zahtevima firme — poslednja tačka, izlazak, često je najzanemarenija.

Zašto su ove kontrole bitne

Male firme retko imaju sopstvenu infrastrukturu — oslanjaju se na cloud platforme, spoljne IT saradnike, hosting provajdere. To znači da veliki deo stvarnog rizika ne zavisi direktno od odluka firme, nego od odluka njenih dobavljača. Ovih pet kontrola postoje da bi taj rizik, koji je lako zaboraviti jer se dešava „negde drugde", ostao vidljiv i upravljan.

Primer iz prakse

A.5.19, mapa dobavljača: knjigovodstvena agencija je napravila kratak spisak dobavljača sa pristupom osetljivim podacima — cloud platforma za knjigovodstvo i spoljni IT saradnik su na vrhu liste, dok dobavljač kancelarijske opreme, koji nema pristup podacima, uopšte nije uključen. Ne troši se isti nivo pažnje na sve dobavljače podjednako, nego prema stvarnom riziku.

A.5.20, zahtevi u ugovoru: ugovor o nivou usluge sa cloud platformom, prvi put pomenut u tekstu o klauzuli 4.3 i primenjen kroz kriterijume u klauzuli 8.1, eksplicitno zahteva dostupnost dvofaktorske autentifikacije za sve korisnike — konkretan primer bezbednosnog zahteva unetog direktno u ugovor, ne samo usmeno dogovorenog.

A.5.21, dobavljač dobavljača: agencija je, primenjujući ovu kontrolu prvi put, zatražila od cloud platforme spisak podizvođača koje koriste za hosting i rezervne kopije podataka. Ispostavilo se da platforma koristi spoljni hosting servis za skladištenje podataka — nešto što agencija do tada nije ni znala, iako je ceo taj lanac direktno relevantan za bezbednost njenih klijentskih podataka. Agencija je zatražila potvrdu da i taj podizvođač ispunjava odgovarajuće bezbednosne standarde, umesto da se pouzda samo u reč direktnog dobavljača.

A.5.22, promena koju već poznajete: setite se nenamerne promene opisane u tekstu o klauzuli 8.1 — dobavljač je, u sklopu ažuriranja platforme, bez najave privremeno isključio podrazumevanu dvofaktorsku autentifikaciju za sve korisnike, a agencija je to otkrila kroz redovnu proveru i odmah reagovala. To je bila prva, praktična primena baš ove kontrole, iako je tada nismo imenovali — redovno praćenje i pregled prakse dobavljača, uz spremnost da se reaguje kad se nešto promeni bez najave.

A.5.23, izlazna strategija: pre potpisivanja ugovora sa cloud platformom, agencija je proverila i deo koji se retko unapred razmatra — da li platforma omogućava izvoz svih podataka u standardnom formatu ako agencija ikad odluči da promeni dobavljača, i dobila pisanu potvrdu da će svi podaci biti trajno obrisani sa servera dobavljača u određenom roku posle raskida ugovora. Ovo pitanje nikad nije bilo aktuelno u praksi, ali agencija sada zna odgovor, umesto da bi ga tražila usred krize ako bi dobavljač, na primer, iznenada prestao sa radom.

Gde se dokumentuje

A.5.19 dokumentuje se kao kratak spisak dobavljača sa procenjenim nivoom rizika za svakog. A.5.20 dokumentuje se kroz sam ugovor ili aneks ugovora sa bezbednosnim zahtevima. A.5.21 dokumentuje se kroz kratku belešku o podizvođačima ključnih dobavljača, ako postoje. A.5.22 dokumentuje se kroz zapise redovnih provera, slične onima opisanim u klauzuli 9.1. A.5.23 dokumentuje se kroz kratku potvrdu ili odeljak ugovora koji pokriva izlazak iz usluge.

Najčešća greška

Najčešća greška kod A.5.19 i A.5.20 je tretiranje svih dobavljača isto, bez razlike između onog ko ima pristup osetljivim podacima i onog ko dostavlja kancelarijski materijal — trošenje jednake pažnje na oboje razvodnjava fokus tamo gde je stvarno potreban. Kod A.5.21, najčešća greška je potpuno zanemarivanje pitanja ko su podizvođači vašeg dobavljača — pretpostavka da je to „njihov problem", iako podaci firme na kraju ipak prolaze kroz taj lanac. Kod A.5.22, greška je potpisivanje ugovora i potom nikad više ne proveravanje da li se dobavljač i dalje pridržava dogovorenog. Kod A.5.23, najčešća i najskuplja greška je nikad ne postaviti pitanje o izlasku iz usluge dok se stvarno ne pojavi potreba — trenutak kad je najteže pregovarati o povoljnim uslovima.

Šta sledi

Sledeći deo serije ide na kontrole A.5.24–5.28 — upravljanje incidentima, gde formalno organizujemo sve ono što smo neformalno gradili kroz vodič za klauzulu 4.4 i desetine primera kroz čitav blog, u jasnu, standardom propisanu strukturu.