Vis daugiau Lietuvos įmonių, teikiančių paslaugas ar technologinius sprendimus stambiam verslui, susiduria su nauja verslo realybe: vien geros paslaugų kokybės ar konkurencingos kainos nebeužtenka. Tiekėjų atrankos ir sutarčių procesuose vis didesnę reikšmę įgyja gebėjimas įrodyti, kad įmonė tinkamai valdo kibernetinio saugumo rizikas.
Tai ypač aktualu organizacijoms, dirbančioms su finansų, energetikos, telekomunikacijų, logistikos, sveikatos priežiūros ir kitų reguliuojamų sektorių įmonėmis. Didelės organizacijos pačios privalo vis daugiau dėmesio skirti tiekimo grandinės saugumui, todėl atitinkami reikalavimai natūraliai persikelia ir į sutartis su jų tiekėjais.
Šią tendenciją pastebi ir „Baltic Amadeus“, sėkmingai įgyvendinanti kibernetinio saugumo audito bei rizikos vertinimo projektus. Bendrovė padeda organizacijoms identifikuoti kibernetinio saugumo rizikas, įvertinti atitiktį ir pasirengti reguliuotojų bei verslo partnerių patikroms. „Baltic Amadeus“ specialistų komandoje dirba tarptautiniu mastu pripažintus CISA ir CISSP sertifikatus turintys kibernetinio saugumo ekspertai.
Kodėl tiekėjo kibernetinis saugumas tapo verslo klausimu
Kibernetinio saugumo rizika šiandien retai apsiriboja vienos organizacijos IT infrastruktūra. Įmonės naudoja debesijos paslaugas, išorines apskaitos ar personalo valdymo sistemas, mokėjimų platformas, IT priežiūros paslaugas ir daugybę kitų sprendimų, kuriems suteikiama prieiga prie organizacijos duomenų ar sistemų.
Todėl incidentas tiekėjo aplinkoje gali turėti tiesioginių pasekmių ir jo klientui. Jeigu tiekėjas nėra tinkamai apsaugojęs savo sistemų, net ir brandi bei gerai apsaugota pagrindinės organizacijos infrastruktūra gali būti paveikta per tiekimo grandinę.
Kibernetinio saugumo reguliavimas šią riziką apima vis plačiau. Kibernetinio saugumo subjektai turi atsižvelgti į rizikas, susijusias su tiesioginiais tiekėjais, jų teikiamomis paslaugomis ir tiekimo grandine. Praktikoje tai reiškia, kad didelė organizacija turi ne tik žinoti, kas yra jos tiekėjai, bet ir gebėti įvertinti, kokią kibernetinę riziką jie kelia.
Tiekėjo saugumas tokiu būdu tampa nebe vien techniniu klausimu. Jis gali turėti įtakos kliento veiklos tęstinumui, duomenų apsaugai, reputacijai ir net galimybei pradėti ar išlaikyti verslo santykius.
Kibernetinio saugumo auditas tiekėjams: ką reikia įrodyti stambiam klientui
Tiekėjui tai nebūtinai reiškia, kad jis automatiškai tampa kibernetinio saugumo subjektu ar jam tiesiogiai taikomi visi tokie patys reguliaciniai reikalavimai kaip klientui. Tačiau verslo praktikoje situacija keičiasi greičiau nei formali teisinė pareiga.
Stambus klientas gali paprašyti tiekėjo pateikti informaciją apie jo saugumo politiką, incidentų valdymą, prieigos kontrolę, pažeidžiamumų valdymą, atsargines kopijas, darbuotojų mokymus ar atliktą kibernetinio saugumo rizikos vertinimą. Kai kuriais atvejais sutartyje gali būti numatyta ir pareiga periodiškai atlikti nepriklausomą kibernetinio saugumo auditą.
Tokio vertinimo tikslas – ne vien patikrinti, ar įmonė turi reikiamus dokumentus. Klientui svarbu suprasti, ar tiekėjas praktiškai geba valdyti jam tenkančias kibernetines rizikas ir ar jo saugumo lygis atitinka teikiamos paslaugos pobūdį.
„Tiekėjo patikimumas vis dažniau vertinamas ne tik pagal kainą, terminus ar paslaugos kokybę. Klientui tampa svarbu ir tai, ar tiekėjas gali pagrįsti, kad jo aplinkoje kibernetinė rizika yra valdoma. Tai reiškia, kad kibernetinis saugumas tampa ne tik IT, bet ir komercinių santykių klausimu“, – sako „Baltic Amadeus“ informacijos saugumo ekspertas.
Tiekėjui tai reiškia, kad pasirengimą saugumo vertinimui verta pradėti dar prieš gaunant pirmąjį kliento klausimyną. Kuo daugiau informacijos galima pagrįsti dokumentais, procesais ir nepriklausomais vertinimais, tuo sklandesnis tampa tiekėjo kvalifikavimo procesas.
Kokių kibernetinio saugumo įrodymų gali paprašyti stambus klientas?
Reikalavimai skiriasi priklausomai nuo tiekėjo paslaugos pobūdžio, jo turimos prieigos prie kliento sistemų ar duomenų ir sektoriaus, kuriame veikia klientas. Vienais atvejais pakanka užpildyti išsamią saugumo klausimyno formą, kitais – pateikti galiojančius sertifikatus ar nepriklausomo vertinimo rezultatus.
Tarp dažniausiai vertinamų sričių gali būti:
- informacijos saugumo politika ir atsakomybės;
- prieigos prie sistemų ir duomenų valdymas;
- darbuotojų kibernetinio saugumo mokymai;
- incidentų nustatymo ir valdymo procesai;
- pažeidžiamumų valdymas;
- atsarginių kopijų ir veiklos tęstinumo užtikrinimas;
- tiekėjo naudojamų trečiųjų šalių paslaugų kontrolė;
- kibernetinio saugumo rizikos vertinimas;
- atlikto kibernetinio saugumo audito ataskaita ar kiti nepriklausomo vertinimo įrodymai.
Kai kuriais atvejais klientas taip pat gali norėti suprasti, kaip tiekėjas valdo savo tiekimo grandinę, kaip riboja darbuotojų prieigas prie jautrių sistemų, kaip testuoja atsarginių kopijų atkūrimą ar per kiek laiko įsipareigoja informuoti apie saugumo incidentą.
Svarbu ir tai, kad ne kiekvienam tiekėjui bus taikomas vienodas reikalavimų rinkinys. Kibernetinio saugumo vertinimo apimtis turėtų būti proporcinga realiai rizikai. Tiekėjas, turintis prieigą prie kritinės infrastruktūros ar jautrių klientų duomenų, bus vertinamas kitaip nei įmonė, teikianti paslaugą, kuriai tokios prieigos nereikia.
Kai tiekėjas gali šią informaciją pateikti greitai ir struktūruotai, tai tampa ne tik atitikties klausimu, bet ir praktiniu pranašumu. Naujam klientui nereikia pradėti saugumo vertinimo nuo nulio, o tiekėjui paprasčiau pagrįsti savo pasirengimą.
Kibernetinio saugumo auditas – ne tik dokumentas klientui
Svarbu suprasti, kad kibernetinio saugumo audito vertė nėra vien galimybė pateikti ataskaitą potencialiam klientui. Kokybiškai atliktas vertinimas leidžia pačiai organizacijai pamatyti, kaip jos saugumo procesai veikia praktikoje, kur yra didžiausios spragos ir kokias rizikas reikėtų mažinti pirmiausia.
Auditas gali padėti atsakyti į klausimus, ar organizacijos saugumo kontrolės veikia taip, kaip numatyta, ar prieigos prie sistemų suteikiamos pagal poreikį, ar incidentų valdymo procesai yra aiškūs ir išbandyti, ar svarbiausi duomenys bei sistemos turi tinkamas apsaugos priemones.
„Kai kibernetinio saugumo auditas atliekamas tik tam, kad būtų galima pažymėti reikalavimą sutartyje, prarandama dalis jo vertės. Geras vertinimas turėtų atsakyti ne tik į klausimą, ar reikalavimai įgyvendinti, bet ir į tai, kur organizacija yra pažeidžiamiausia bei kokie konkretūs veiksmai labiausiai sumažintų riziką“, – teigia Gabrielius Vinciūnas.
„Baltic Amadeus“ atliekamuose kibernetinio saugumo vertinimuose analizuojamas informacinis turtas, saugumo kontrolės priemonės, grėsmės ir pažeidžiamumai, sudaromas prioritetizuotas rizikų registras ir rengiamas rekomenduojamų veiksmų planas. Tokia struktūra leidžia vertinimo rezultatus panaudoti ne tik atitikčiai pagrįsti, bet ir planuojant realias saugumo investicijas.
Tokiu būdu auditas tampa ne vien „pažyma klientui“, bet ir praktiniu įrankiu vadovybei. Jis leidžia nustatyti, kur verta investuoti pirmiausia, kokias rizikas galima sumažinti procesų pakeitimais, o kurioms reikalingos papildomos technologinės priemonės.
Kaip pasiruošti auditui ir kodėl tai tampa konkurenciniu pranašumu
Mažesnėms ir vidutinėms įmonėms nebūtina laukti, kol klientas atsiųs saugumo klausimyną – pasirengimą verta pradėti nuo bazinių žingsnių:
- Identifikuoti kritinį informacinį turtą – kokios sistemos ir duomenys svarbiausi veiklai bei klientams.
- Įvertinti pagrindines rizikas – kokios grėsmės ir pažeidžiamumai turėtų didžiausią poveikį.
- Peržiūrėti saugumo kontrolės priemones – prieigos valdymą, atsargines kopijas, incidentų ir pažeidžiamumų valdymą.
- Sutvarkyti dokumentaciją – įsitikinti, kad veikiantys procesai tinkamai aprašyti, o darbuotojai žino savo atsakomybes.
- Atlikti nepriklausomą vertinimą – kibernetinio saugumo auditas padeda objektyviai nustatyti prioritetines spragas.
- Pasirengti įrodymų paketą – iš anksto turėti aktualią informaciją apie saugumo priemones, procesus ir sertifikatus.
Toks pasirengimas ypač aktualus įmonėms, planuojančioms dalyvauti didesniuose viešuosiuose pirkimuose ar siekiančioms tapti stambių organizacijų ilgalaikiais partneriais – gebėjimas greitai ir aiškiai atsakyti į saugumo klausimus veikia ne tik vertinimo trukmę, bet ir bendrą kliento pasitikėjimą.
Tiekimo grandinės saugumo reikalavimai greičiausiai tik griežtės, todėl kibernetinio saugumo auditas tiekėjams tampa ne vien sutartiniu reikalavimu, o būdu įrodyti savo brandą ir išsiskirti konkurencingoje rinkoje – ypač kai keli tiekėjai siūlo panašios kokybės paslaugas panašiomis sąlygomis.
„Tiekėjams verta į kibernetinį saugumą žiūrėti ne kaip į kliūtį, kurią reikia įveikti prieš pasirašant sutartį, o kaip į pasitikėjimo kūrimo priemonę. Kai įmonė gali aiškiai parodyti, kaip valdo rizikas ir kaip pasirengusi reaguoti į incidentus, klientui paprasčiau priimti sprendimą dėl ilgalaikės partnerystės“, – įvardija „Baltic Amadeus“ informacijos saugumo ekspertas.
Įmonėms, siekiančioms dirbti su stambiais klientais, toks pasirengimas iš anksto tampa ne papildoma administracine našta, o investicija į patikimo ir konkurencingo tiekėjo statusą.
REK-21085
