Κίνδυνος από τρίτους υπό τον ΓΚΠΔ, την NIS2 και τον DORA

Ο ίδιος προμηθευτής μπορεί να δημιουργεί υποχρεώσεις προστασίας δεδομένων, κυβερνοασφάλειας και επιχειρησιακής ανθεκτικότητας. Ένας πάροχος μισθοδοσίας επεξεργάζεται δεδομένα προσωπικού χαρακτήρα· ένας πάροχος διαχειριζόμενων υπηρεσιών έχει προνομιακή πρόσβαση· μια πλατφόρμα cloud υποστηρίζει επιχειρησιακά κρίσιμες εφαρμογές. Μερικές φορές ένας προμηθευτής κάνει και τα τρία.

Ένα κοινό αρχείο προμηθευτή βοηθά τις ομάδες να συντονίζουν την αξιολόγηση, εφόσον κάθε υποχρέωση παραμένει αναγνωρίσιμη. Για έναν CTO, η πρακτική πρόκληση είναι να συνδέσει τις συμβατικές δεσμεύσεις με την τεχνική πραγματικότητα: σε τι μπορεί να έχει πρόσβαση ο προμηθευτής, πώς διαδίδονται οι αστοχίες, ποιοι έλεγχοι τεκμηριώνονται και αν ο οργανισμός μπορεί να αποκατασταθεί ή να αποχωρήσει.

Προσδιορίστε την εφαρμογή πριν συνδυάσετε τις αξιολογήσεις

Οι πράξεις αυτές επικαλύπτονται, αλλά δεν εφαρμόζονται με τον ίδιο τρόπο σε κάθε οργανισμό ή προμηθευτή.

Το άρθρο 28 ΓΚΠΔ απαιτεί από τους υπευθύνους επεξεργασίας να χρησιμοποιούν εκτελούντες την επεξεργασία που παρέχουν επαρκείς εγγυήσεις. Μια συμφωνία του άρθρου 28 δεν είναι κατάλληλη απλώς επειδή ένας προμηθευτής λαμβάνει δεδομένα: προσδιορίστε πρώτα τον πραγματικό ρόλο επεξεργασίας.

Τα άρθρα 20–23 της NIS2 αφορούν την εποπτεία από τη διοίκηση, τα μέτρα διαχείρισης κινδύνων και την αναφορά σημαντικών περιστατικών. Η NIS2 είναι οδηγία που ενσωματώνεται μέσω εθνικού δικαίου, επομένως το πεδίο εφαρμογής και οι διαδικασίες απαιτούν ελέγχους ανά δικαιοδοσία.

Ο DORA εφαρμόζεται από τις 17 Ιανουαρίου 2025. Καλύπτει κυρίως συγκεκριμένες χρηματοοικονομικές οντότητες· οι συνήθεις προμηθευτές ΤΠΕ μπορεί να αντιμετωπίζουν συμβατικές απαιτήσεις από πελάτες, ενώ οι πάροχοι ΤΠΕ που έχουν χαρακτηριστεί κρίσιμοι υπόκεινται σε ξεχωριστό καθεστώς εποπτείας. Για τις χρηματοοικονομικές οντότητες που καλύπτονται, ο DORA λειτουργεί ως τομεακό δίκαιο της ΕΕ για τους σχετικούς τομείς της NIS2. Μην αναπαράγετε αυτομάτως και τα δύο σύνολα ελέγχων.

Δημιουργήστε το αρχείο γύρω από την εξάρτηση

Ξεκινήστε από την υπηρεσία, όχι από το ερωτηματολόγιο προμηθευτή. Ένας προμηθευτής μπορεί να παρέχει περισσότερες υπηρεσίες με διαφορετικά δεδομένα, πρόσβαση και επιχειρησιακή σημασία.

Ως πρακτική βάση, καταγράψτε:

• Την υπηρεσία, τη νομική οντότητα του προμηθευτή, τον επιχειρησιακό υπεύθυνο, τον τεχνικό υπεύθυνο και τους αξιολογητές.
• Τις υποστηριζόμενες λειτουργίες, τα συστήματα, τις ενοποιήσεις και την προνομιακή πρόσβαση.
• Τις κατηγορίες δεδομένων προσωπικού χαρακτήρα, τους σκοπούς επεξεργασίας, τις τοποθεσίες και τους υπεργολάβους επεξεργασίας.
• Τις απαιτήσεις διαθεσιμότητας, τους στόχους αποκατάστασης και την ανεκτή διαταραχή.
• Τους υποκείμενους παρόχους, τις συμβατικές εξαρτήσεις και τις ρεαλιστικές εναλλακτικές.
• Τις εφαρμοστέες υποχρεώσεις, τις ημερομηνίες των τεκμηρίων, τα ανεπίλυτα κενά και τις αποφάσεις.

Προσδιορίστε ποιες λειτουργίες θα αποτύγχαναν ή θα υποβαθμίζονταν μετά από παραβίαση ή διακοπή. Ένας προμηθευτής που αποθηκεύει λίγα ευαίσθητα δεδομένα μπορεί παρ' όλα αυτά να ελέγχει την αυθεντικοποίηση ή τα pipeline ανάπτυξης. Αντίστροφα, μια υπηρεσία με χαμηλό κίνδυνο διαθεσιμότητας μπορεί να εκθέτει ιδιαίτερα ευαίσθητα δεδομένα προσωπικού χαρακτήρα.

Κρατήστε αυτές τις διαστάσεις χωριστές αντί να τις συμπτύσσετε σε μια ανεξήγητη βαθμολογία «υψηλού κινδύνου». Για τις χρηματοοικονομικές οντότητες που καλύπτονται από τον DORA, συνδέστε αυτή τη λειτουργική απογραφή με το απαιτούμενο μητρώο πληροφοριών για τις συμβατικές ρυθμίσεις ΤΠΕ· μια γενική λίστα πωλητών δεν αρκεί απαραίτητα.

Επαναχρησιμοποιήστε τα τεκμήρια χωρίς να επαναχρησιμοποιείτε τυφλά τα συμπεράσματα

Μια έκθεση ασφάλειας, ένας χάρτης ροής δεδομένων ή μια δοκιμή αποκατάστασης μπορεί να υποστηρίζει περισσότερες επανεξετάσεις. Ελέγξτε το πεδίο της υπηρεσίας, την περίοδο αναφοράς, τις εξαιρέσεις, τις αποκλίσεις και τις αρμοδιότητες του πελάτη πριν βασιστείτε σε αυτήν.

Για παράδειγμα, μια έκθεση που καλύπτει την υποδομή του προμηθευτή δεν καλύπτει απαραίτητα την πρόσβαση του προσωπικού υποστήριξής του σε εγγραφές πελατών. Μια τεκμηριωμένη πολιτική αντιγράφων ασφαλείας δεν δείχνει ότι η επαναφορά πληροί τις απαιτήσεις αποκατάστασης της εφαρμογής σας.

Διατηρήστε έναν πίνακα αντιστοίχισης τεκμηρίων και ερωτημάτων:

Ένα πιστοποιητικό ISO ή μια έκθεση SOC 2 υποστηρίζει τη διασφάλιση εντός του πεδίου του· κανένα από τα δύο δεν αποδεικνύει συμμόρφωση με τον ΓΚΠΔ ή την NIS2. Διατηρήστε το σκεπτικό του αξιολογητή, όχι μόνο το έγγραφο που μεταφορτώθηκε. Η αξιολόγηση της διασφάλισης ασφάλειας πρέπει να είναι μια επαναλήψιμη τεχνική επανεξέταση, όχι έλεγχος σημάτων πιστοποίησης.

Μεταφράστε τις απαιτήσεις σε συμβάσεις και ελέγχους

Σύμφωνα με το άρθρο 28 ΓΚΠΔ, οι όροι για τον εκτελούντα την επεξεργασία πρέπει να καλύπτουν το αντικείμενο, τη διάρκεια, τη φύση και τον σκοπό της επεξεργασίας, το είδος των δεδομένων και τις κατηγορίες προσώπων. Καλύπτουν επίσης τις καταγεγραμμένες εντολές, την εμπιστευτικότητα, την ασφάλεια, τις προϋποθέσεις για υπεργολάβους επεξεργασίας, τη συνδρομή, τη διαγραφή ή επιστροφή, καθώς και τις υποχρεώσεις πληροφόρησης και ελέγχου. Οι διεθνείς διαβιβάσεις απαιτούν ξεχωριστή αξιολόγηση κατά το Κεφάλαιο V· η φιλοξενία στην ΕΕ από μόνη της δεν λύνει τα ζητήματα πρόσβασης ή περαιτέρω διαβίβασης.

Το άρθρο 21 της NIS2 περιλαμβάνει την ασφάλεια της εφοδιαστικής αλυσίδας και τη συνεκτίμηση των ευπαθειών και των πρακτικών κυβερνοασφάλειας των άμεσων προμηθευτών. Οι πρακτικές συμβατικές προσδοκίες μπορούν να περιλαμβάνουν περιορισμούς πρόσβασης, χειρισμό ευπαθειών, συνεργασία σε περιστατικά και παροχή τεκμηρίων. Προσαρμόστε τες στην υπηρεσία και στις εθνικές απαιτήσεις αντί να θεωρείτε ένα καθολικό πακέτο ρητρών νομικά επαρκές.

Το άρθρο 30 του DORA ορίζει τις συμβατικές διατάξεις για τις ΤΠΕ, με πρόσθετες απαιτήσεις για υπηρεσίες που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Επανεξετάστε τις περιγραφές υπηρεσιών, τις τοποθεσίες, την προστασία και την ανάκτηση δεδομένων, τη συνδρομή, την καταγγελία και τα σχετικά δικαιώματα εποπτείας. Οι κρίσιμες ή σημαντικές λειτουργίες απαιτούν ιδιαίτερη προσοχή στα επίπεδα υπηρεσιών, τις αναφορές, τα μέτρα έκτακτης ανάγκης, τη συνεργασία σε δοκιμές, τα δικαιώματα ελέγχου και τις ρυθμίσεις μετάβασης.

Στη συνέχεια, επαληθεύστε την εφαρμογή. Αν μια σύμβαση υπόσχεται περιορισμένη διαχειριστική πρόσβαση, ζητήστε τεκμήρια διαχωρισμού ρόλων, αυθεντικοποίησης, έγκρισης και καταγραφής. Αν υπόσχεται διαγραφή, προσδιορίστε τι συμβαίνει με τα αντίγραφα ασφαλείας και τα διατηρούμενα αρχεία. Αναθέστε τα νομικά και τα τεχνικά κενά στους κατάλληλους αξιολογητές.

Σχεδιάστε τα σημεία παράδοσης για περιστατικά πριν από ένα περιστατικό

Η πολιτική αντιμετώπισης περιστατικών ενός προμηθευτή μπορεί να υποστηρίζει μια αξιολόγηση ασφάλειας αφήνοντας ανεπίλυτες τις υποχρεώσεις γνωστοποίησης. Ορίστε κανάλια επικοινωνίας, κάλυψη κλιμάκωσης, αρχικές πληροφορίες, προσδοκίες ενημέρωσης και ευθύνη για τη διατήρηση τεκμηρίων.

Σύμφωνα με τα άρθρα 33–34 ΓΚΠΔ, ο εκτελών την επεξεργασία ενημερώνει τον υπεύθυνο επεξεργασίας χωρίς αδικαιολόγητη καθυστέρηση. Ο υπεύθυνος επεξεργασίας αξιολογεί τη γνωστοποίηση στην εποπτική αρχή χωρίς αδικαιολόγητη καθυστέρηση και, εφόσον είναι εφικτό, εντός 72 ωρών από τη στιγμή που αποκτά γνώση, εκτός αν η παραβίαση δεν είναι πιθανό να θέσει σε κίνδυνο τα δικαιώματα και τις ελευθερίες των προσώπων. Ο υψηλός κίνδυνος μπορεί να απαιτεί ανακοίνωση στα πρόσωπα, με την επιφύλαξη εξαιρέσεων. Καταγράψτε το σκεπτικό όταν η γνωστοποίηση δεν απαιτείται.

Τα στάδια αναφοράς σημαντικών περιστατικών της NIS2 σε επίπεδο ΕΕ περιλαμβάνουν έγκαιρη προειδοποίηση εντός 24 ωρών, γνωστοποίηση εντός 72 ωρών και, κατά κανόνα, τελική έκθεση εντός ενός μήνα από τη γνωστοποίηση· ελέγξτε τους εθνικούς και τομεακούς κανόνες. Ο DORA έχει δικό του πλαίσιο αναφοράς για σοβαρά περιστατικά που σχετίζονται με ΤΠΕ. Μην αντικαθιστάτε αυτές τις αξιολογήσεις με μια ενιαία σήμανση «παραβίασης» για τον προμηθευτή.

Ως πρακτική σύσταση, κάντε μια άσκηση με περιστατικό προμηθευτή χρησιμοποιώντας ελλιπείς πληροφορίες. Δοκιμάστε αν οι ομάδες μπορούν να προσδιορίσουν τις επηρεαζόμενες υπηρεσίες, την έκθεση, τον λειτουργικό αντίκτυπο και τις αποφάσεις αναφοράς χωρίς να περιμένουν μια τελική έκθεση βασικής αιτίας.

Παράδειγμα: μία υπηρεσία, τρεις διαδρομές επανεξέτασης

Ας υποθέσουμε, ενδεικτικά, ότι μια χρηματοοικονομική οντότητα που καλύπτεται χρησιμοποιεί μια φιλοξενούμενη πλατφόρμα υποστήριξης πελατών η οποία επεξεργάζεται δεδομένα προσωπικού χαρακτήρα και υποστηρίζει μια λειτουργία που η οντότητα έχει ταξινομήσει ως κρίσιμη ή σημαντική κατά τον DORA.

Ο προμηθευτής παρέχει μια έκθεση διασφάλισης, μια πολιτική περιστατικών και μια σύνοψη δοκιμής αποκατάστασης. Η ασφάλεια διαπιστώνει ότι οι έλεγχοι διαχειριστικής πρόσβασης τεκμηριώνονται, αλλά η δοκιμή αποκατάστασης εξαιρεί την ενοποίηση του πελάτη.

Η προστασία δεδομένων εντοπίζει χωριστά μια ασαφή διαδικασία αλλαγής υπεργολάβων επεξεργασίας και ανεπίλυτες ρυθμίσεις διαβίβασης για την απομακρυσμένη πρόσβαση. Η επανεξέταση για τον DORA διαπιστώνει ότι η συνδρομή κατά τη μετάβαση και οι σχετικές διατάξεις ελέγχου χρειάζονται προσοχή.

Το σχέδιο δράσης που προκύπτει είναι συγκεκριμένο:

• Ο τεχνικός υπεύθυνος δοκιμάζει την αποκατάσταση της ενοποίησης και τεκμηριώνει το αποτέλεσμα.
• Ο αξιολογητής προστασίας δεδομένων επιλύει τα ζητήματα υπεργολάβων επεξεργασίας και διαβιβάσεων.
• Το νομικό τμήμα και το τμήμα προμηθειών αντιμετωπίζουν τα συμβατικά κενά.
• Ο υπεύθυνος που λογοδοτεί αποφασίζει αν η προσωρινή χρήση είναι αποδεκτή, με όρους και ημερομηνία επανεξέτασης.

Τα τεκμήρια επαναχρησιμοποιούνται, αλλά κανένα από τα τρία συμπεράσματα δεν συνάγεται από άλλο. Μια επιτυχημένη επανεξέταση ασφάλειας δεν κλείνει τα κενά προστασίας δεδομένων ή ανθεκτικότητας.

Παρακολουθήστε τις αλλαγές, τη συγκέντρωση και την εκτελέσιμη αποχώρηση

Ορίστε τη συχνότητα επανεξέτασης ανάλογα με την εξάρτηση και τον κίνδυνο. Ενεργοποιήστε πρόσθετη επανεξέταση μετά από περιστατικά, σημαντικές αλλαγές υπηρεσιών, νέους υπεργολάβους επεξεργασίας, αλλαγές τοποθεσίας δεδομένων, αλλαγές ιδιοκτησίας ή ανανέωση σύμβασης.

Κοιτάξτε κάτω από τα ονόματα των προμηθευτών: περισσότερες υπηρεσίες μπορεί να εξαρτώνται από την ίδια περιοχή cloud, τον ίδιο πάροχο ταυτοτήτων ή τον ίδιο υπεργολάβο. Αξιολογήστε τη συσχετισμένη διαταραχή και το αν η προτεινόμενη εναλλακτική μοιράζεται την ίδια εξάρτηση. Το άρθρο 29 του DORA αφορά ρητά την αξιολόγηση του κινδύνου συγκέντρωσης ΤΠΕ.

Διατηρήστε ένα αναλογικό σχέδιο αποχώρησης που καλύπτει την εξαγωγή δεδομένων, τη μετάβαση, τη συνέχεια, την ανάκληση πρόσβασης και τα τεκμήρια διαγραφής. Δοκιμάστε την αξιοποιησιμότητα της εξαγωγής και προσδιορίστε ποιος μπορεί να λειτουργήσει την αντικατάσταση. Ένα δικαίωμα καταγγελίας είναι πιο χρήσιμο όταν ο οργανισμός μπορεί να το εκτελέσει.

Οι συνέπειες διαφέρουν επίσης. Ο ΓΚΠΔ έχει κλίμακες κυρώσεων ανάλογα με την παράβαση· η NIS2 απαιτεί εθνικές ρυθμίσεις κυρώσεων με διαφορετικά ανώτατα όρια για βασικές και σημαντικές οντότητες. Οι κυρώσεις του DORA για τις χρηματοοικονομικές οντότητες εξαρτώνται από τις εφαρμοστέες ρυθμίσεις, ενώ οι κυρώσεις στο πλαίσιο της εποπτείας των κρίσιμων παρόχων είναι διακριτές. Μη μοντελοποιείτε την έκθεση με βάση ένα υποτιθέμενο καθολικό πρόστιμο.

Ξεκινήστε με μία εξάρτηση με σημαντικές συνέπειες

Επιλέξτε έναν προμηθευτή που υποστηρίζει μια σημαντική λειτουργία. Συμφωνήστε την απογραφή υπηρεσιών του, τις συμβάσεις, τα τεκμήρια, τους ανοιχτούς κινδύνους και τις παραδοχές αποχώρησης. Ολοκληρώστε με ονομαστικούς υπευθύνους και χωριστά, χρονολογημένα συμπεράσματα για κάθε εφαρμοστέα υποχρέωση.

Στο Secani, οι ομάδες μπορούν να μοντελοποιήσουν την υπηρεσία και τον εξωτερικό πάροχο, να συνδέσουν απαιτήσεις και ελέγχους με τεκμήρια και να παρακολουθούν τα κενά ως εργασίες με υπευθύνους. Οι αποφάσεις που επανεξετάζονται από ανθρώπους, οι σύνδεσμοι πηγών, τα σχόλια και οι χρονοσφραγίδες διατηρούν το σκεπτικό. Αυτό υποστηρίζει ένα κοινό πλαίσιο για τους προμηθευτές χωρίς να αποκρύπτει τις διακριτές κρίσεις για την προστασία δεδομένων, την ασφάλεια και την ανθεκτικότητα.