Mida suurettevõtetest ostjad vajavad lisaks turvamärgile

Kindlustandev dokument võib avada hankevestluse. Järgmine küsimus on, kas see kirjeldab teenust, mida ostja tegelikult kasutama hakkab, ja riske, mida ostja peab juhtima.

Tegevjuhi jaoks on see äriline ja juhtimisalane küsimus, mitte lihtsalt auditi küsimus. Suurettevõtetest kliendid otsustavad, kas anda teave, operatiivsed sõltuvused ja lepingulised kohustused teise ettevõtte kätte. Sertifikaat või aruanne vähendab osa ebakindlusest; see ei tee seda otsust nende eest.

Tarnija ülesanne on esitada oma turvalisusest sidus ülevaade: mis on kaetud, mida on testitud, mis on lahendamata ja kes vastutab. Ostja ülesanne on muuta need tõendid dokumenteeritud otsuseks kavandatava suhte kohta.

Alustage ostust, mitte märgist

Enne dokumentide küsimist määratlege kokkupuude. Millist teavet tarnija saab? Kas tal on juurdepääs tootmissüsteemidele? Kas tema katkestus peataks olulise protsessi? Kas ta hakkab töötlema tehinguid, majutama töökoormusi või pakub lihtsalt väikese mõjuga sisemist tööriista?

Need küsimused määravad ülevaatuse sügavuse. Praktilise soovitusena jätke üksikasjalik tehniline järelkontroll tarnijatele, kelle juurdepääs, andmete tundlikkus või operatiivne tähtsus seda õigustab. Üldine küsimustik võib raisata aega, jättes samal ajal kahe silma vahele kõige olulisema sõltuvuse.

Koostage lühike teenuseprofiil, mis sisaldab:

• Lepingupoolest üksust, toodet, juurutusmudelit ja kavandatud kasutust.
• Andmekategooriaid, privilegeeritud juurdepääsu ja olulisi integratsioone.
• Kompromiteerimise või katkestuse ärimõju.
• Kriitilisi alltöövõtjaid ja kliendi kohustusi.
• Isikut, kellel on volitus jääkrisk heaks kiita.

See profiil muutub iga kindlustandva väite lähtepunktiks. Ilma selleta võivad hindajad heaks kiita ehtsa dokumendi, mis puudutab valet teenust.

Lugege dokumendi piire

ISO 27001: mõistke juhtimissüsteemi ulatust

ISO/IEC 27001 käsitleb infoturbe juhtimissüsteemi ehk ISMS-i. Sertifitseerimise teeb sõltumatu sertifitseerimisasutus, mitte ISO. See annab kindluse määratletud juhtimissüsteemi ulatuse kohta; see ei ole garantii, et iga toode, tütarettevõte või asukoht on turvaline.

Uurige sertifikaadi juriidilist isikut, ulatuse kirjeldust, standardi väljaannet, sertifikaadi numbrit, kehtivuskuupäevi ja väljaandvat asutust. Kontrollige kohaldatavat akrediteerimist ja kontrollige olekut sertifitseerimisasutuse kaudu või võimaluse korral selle registrist. Küsige praeguse järelevalve oleku kohta, selle asemel et eeldada, et trükitud aegumiskuupäev lahendab kõik küsimused.

Ulatus võib kirjeldada tegevusi, mitte loetleda üksikuid rakendusi. Paluge tarnijal selgitada, kuidas ostetav teenus, seda käitavad meeskonnad ja toetav taristu sellesse piiri paigutuvad. Tootenime puudumine ei tähenda automaatselt välistamist, kuid selgitamata seos ei ole piisav.

Kohaldatavuse avaldus või sobiv kokkuvõte lisab konteksti: millised lisa A kontrollimeetmed kohalduvad, miks need kohalduvad ja miks teised on välistatud. Lisa A on riskipõhine, mitte nõue rakendada iga kontrollimeedet ühtmoodi. Ulatus, kohaldatavuse avaldus, riskikäsitlus, siseaudit ja juhtkonnapoolne läbivaatus teenivad erinevaid eesmärke; üks dokument ei saa neid kõiki asendada.

„ISO 27001-ga kooskõlas“ on teistsugune väide kui sõltumatult sertifitseeritud. Enesedeklaratsioon võib kirjeldada kasulikku tööd, kuid ostjad ei tohiks seda käsitleda samaväärse kindlusena.

SOC 2: lugege aruannet, mitte logo

SOC 2 on kinnitusaruanne, mitte toote sertifikaat. Vaadake üle süsteemi kirjeldus, valitud Trust Services kategooriad, audiitori arvamus, hindamise kuupäev või periood, erandid ja alamteenuste osutajate käsitlemine.

Type 1 käsitleb kontrollimeetmete ülesehitust kindlal kuupäeval. Type 2 käsitleb lisaks toimimise tõhusust teatud perioodi jooksul. Kumbki ei luba, et intsidente ei saa juhtuda või et iga kliendi konfiguratsioon on kaetud.

Turvalisus on SOC 2 töödesse kaasatud; käideldavus, töötlemise terviklus, konfidentsiaalsus ja privaatsus sõltuvad töö ulatusest. Turvalisusele keskendunud aruanne ei vasta automaatselt ostja küsimustele tehingute täpsuse või teenuse järjepidevuse kohta.

Lugege, kuidas käsitletakse pilvemajutajaid ja teisi alamteenuste osutajaid. Väljalõike (carve-out) meetodi korral jäetakse nende asjakohased kontrollimeetmed tarnija audiitori testimisest välja. See ei ole olemuslikult vastuvõetamatu, kuid nõuab sõltuvuse ja selle jaoks kättesaadava kindluse mõistmist.

Kui aruande periood lõppes enne suurt migratsiooni või omandamist, küsige, mis muutus. Juhtkonna uuendus või sillakiri (bridge letter) võib selgitada vahepealset perioodi, kuid see ei ole uus sõltumatu audiitori arvamus.

Siduge leiud oma tegeliku kokkupuutega

Aruandes esitatud erand on analüüsi lähtepunkt, mitte automaatne tagasilükkamine. Tootmisadministraatoreid mõjutaval juurdepääsuõiguste ülevaatuse tõrkel on teistsugused tagajärjed kui isoleeritud sisemise tööriista hilinenud ülevaatusel.

Küsige, milliseid süsteeme ja identiteete see mõjutas, kui kaua olukord kestis, kas klientide teave paljastus ja millised kompenseerivad kontrollimeetmed toimisid. Seejärel küsige parandustööde olekut ja probleemiga proportsionaalseid tõendeid.

Eristage audiitori testi erandit eitavast või märkustega arvamusest. Lugege arvamust ja üksikasjalikke tulemusi koos, selle asemel et liigitada iga kõrvalekalle samaks probleemiks.

Täiendavad kasutajaüksuse kontrollimeetmed väärivad võrdset tähelepanu. Kui aruanne eeldab, et kliendid konfigureerivad identiteedi föderatsiooni, eemaldavad lahkunud kasutajad või vaatavad üle administraatorite juurdepääsu, muutuvad need ülesanded osaks teie rakendusvastutusest. Määrake need enne kasutuselevõttu; vastasel juhul võib kindlus sõltuda kontrollimeetmetest, mida keegi pole rakendanud.

Otsusekirje peaks märkima kokkupuute, üle vaadatud tõendid, lahendamata küsimused, nõutavad tegevused ja heakskiitmise volituse. Hankeolek „turvalisus heaks kiidetud“ on liiga napp, et hilisemat otsust selgitada.

Küsige, kuidas turvalisus hindamiste vahel toimib

Suurettevõtetest ostjad vajavad tõendeid, et turvalisus jätkub ka pärast auditiakent. Tugevaimad vastused seovad väite toimiva protsessi, hiljutise artefakti ja vastutava isikuga.

Testimine peaks selgitama kaetust ja piiranguid

Haavatavuste skaneerimine ja läbistustest vastavad erinevatele küsimustele. Skaneerimine võib tuvastada teadaolevaid nõrkusi kõigis varades; läbistustestimine uurib, kas nõrkusi saab määratletud ulatuses ära kasutada. Kumbki ei anna täielikku kindlust.

Kasulik testimise kokkuvõte tuvastab hindaja, kuupäeva, keskkonna, metoodika, välistused, leiud ja parandustööde oleku. Mitme rentnikuga teenuse puhul võivad ostjad põhjendatult küsida, kas rentnike isoleerimist ja autoriseerimisteid uuriti, mitte ainult seda, kas avalikku sisselogimislehte testiti.

ISO 27001-s ega SOC 2-s ei ole universaalset seadusega nõutavat läbistustesti. Testimisvajadused sõltuvad riskidest, valitud kontrollimeetmetest ja klientide nõuetest. Juhid peaksid rahastama teenusele sobivat testimist, mitte ostma dokumenti üksnes küsimustiku rahuldamiseks.

Parandustööd peaksid olema jälgitavad

Oluliste leidude puhul näidake avastamise kuupäeva, raskusastme põhjendust, omanikku, sihtkuupäeva, ohjeldamist ja sulgemise tõendeid. Selgitage pikendusi ja aktsepteeritud riski. Suletud pilet üksi ei näita, et nõrkus parandati; kordustestimine või muu sobiv valideerimine tugevdab väidet.

Vältige raskusastme siltide käsitlemist kogu otsusena. Internetile avatus, ärakasutatavus, mõjutatud teave ja kompenseerivad kaitsemeetmed võivad prioriteeti muuta. Ostjad vajavad piisavalt konteksti, et seda arutluskäiku mõista.

Vastutus peab jõudma otsustajani

Jagatud turvapostkast on kasulik päringute vastuvõtmiseks, kuid see ei asenda vastutavat omandit. Nimetage turvajuht, asjakohane teenuse omanik ja tegevjuhtkonna eskaleerimistee. Kindlustandvatest tõenditest rääkiv inimene peaks suutma otsuseid selgitada või kaasata vestlusse vastutava spetsialisti.

Juhtkond jääb vastutavaks parandustööde rahastamise ja oluliste jääkriskide heakskiitmise eest. Konsultant võib nõustada; ei konsultant ega tarkvaratellimus seda vastutust ei kõrvalda.

Valmistage ette teenusepõhine kindlustandvate tõendite pakett

Tarnijad peaksid hoidma sidusat paketti, selle asemel et iga tehingu jaoks vastuolulisi vastuseid kokku panna. Kaasake kehtiv sertifikaat või aruanne, ulatuse selgitus, arhitektuuri kontekst, asjakohased testimise kokkuvõtted, intsidendikontaktid, kliendi rakendusvastutus ja heakskiidetud vastused levinud küsimustele.

Andke igale elemendile omanik ja ülevaatuse kuupäev. Vaadake üle nii oluliste muudatuste järel kui ka plaanilise sagedusega: uus majutusmudel, suur alltöövõtja või oluline intsident võib muidu ajakohase vastuse eksitavaks muuta.

Jagage tundlikke tehnilisi üksikasju asjakohase juurdepääsuprotsessi kaudu. Etapiviisiline lähenemine võib pakkuda kõigepealt üldist ülevaadet, seejärel konfidentsiaalsustingimustega piiratud aruandeid ja vajaduse korral spetsialistide järelkontrolli. Eemaldage volitused, mitteseotud klientide teave ja mittevajalikud ärakasutamise üksikasjad, varjamata leide või piiranguid.

Avatud leid selge omaniku ja käsitluskavaga on informatiivsem kui selgitamata lõpetatud olek. Keeldumine täielikku aruannet avaldamast ei ole iseenesest tõend nõrgast turvalisusest; keeldumine pakkumast mingit sisukat kindluse saamise teed väärib aga täiendavat uurimist.

Kindlustandev töö ei asenda ka õiguslikku analüüsi. GDPR-i kohaselt nõuavad vastutava ja volitatud töötleja vahelised lepingud ning riskipõhised turvakohustused oma hindamist. SOC 2 aruanne või ISO 27001 sertifikaat ei tõenda vastavust GDPR-ile ega NIS2-le.

Näide: klienditoe platvormi heakskiitmine

Vaatleme illustreerivat suurettevõtet, mis ostab SaaS-tugiplatvormi. Oletame, et see hakkab hoidma klientide kirjavahetust ja kontoidentifikaatoreid, kuid mitte maksekaardiandmeid. Kliendi administraatorid haldavad juurdepääsu föderatsiooni kaudu ja katkestus lükkaks klienditoe edasi, mitte ei peataks põhitehinguid.

Tarnija esitab kehtiva ISO 27001 sertifikaadi ja SOC 2 Type 2 aruande. Ülevaatus tuvastab, et sertifikaat hõlmab teenuse käitamist. SOC 2 aruanne hõlmab turvalisust ja käideldavust, kuid kasutab oma pilvemajutaja puhul väljalõiget. Üks erand puudutab töötaja tootmisjuurdepääsu hilinenud eemaldamist.

Ostja esitab neli sihitud järelküsimust: juurdepääsu eemaldamise ajajoon, tõendid parandatud töösuhte lõpetamise protsessi kohta, kindluse saamise tee pilvesõltuvuse jaoks ja kavandatava teenusega seotud taastamistestide tulemused. Ta määrab ka oma föderatsiooni seadistamise ja administraatorite ülevaatused sisemisele omanikule.

Oletame, et juurdepääsuprobleem lahendatakse koos valideerimisega, kuid taastamistõendid ei toeta ostja eelistatud taastamiseesmärki. Äriomanik saab seejärel valida, kas aktsepteerida pikemat katkestust, võtta kasutusele toimiv varulahendus või teenus tagasi lükata. Hange fikseerib kokkulepitud järjepidevuskohustuse lepingus ja planeerib uue hindamise.

Tulemus on tingimuslik, põhjendatud heakskiit, mitte väide, et tarnija on riskivaba. Sertifikaat aitab usaldust luua, samas kui järelkontroll käsitleb tegelikku ostu.

Rakendage sama põhjalikkust vastavustoe ostmisel

Teenusepakkujad, kes aitavad teil kindlustandvaks hindamiseks valmistuda, peaksid selgitama, mida nende pakkumine sisaldab: tarkvara, juurutusnõustamist, tõendite ülevaatust, auditi koordineerimist või nende kombinatsiooni. Küsige nimetatud vastutusalasid ja plaani, mis eraldab teie töö nende omast.

Käsitlege garanteeritud auditi tulemust hoiatusmärgina: teenusepakkuja ei kontrolli sõltumatut hindajat. Väga lühikesed ajakavad vajavad samuti selgitust. Väljakujunenud kontrollimeetmetega küps organisatsioon seisab silmitsi teistsuguse tööga kui organisatsioon, mis alustab ilma omandi, riskihindamise või toimimistõenditeta; ausat universaalset ettevalmistusperioodi ei ole.

Küsige, kuidas plaan käsitleb ulatust, riskikäsitlust, siseauditit, juhtkonnapoolset läbivaatust ja pidevat hooldust. Mallid võivad dokumenteerimist kiirendada, kuid need ei saa tõendada, et protsess toimus. Varem puudunud tõenditest peaks saama käsitluskavaga lünk, mitte rekonstrueeritud ajalugu.

Juhtkond peaks hindama tuge selle järgi, kas see muudab vastutusalad ja otsused selgemaks, mitte selle järgi, kui enesekindlalt see märki lubab.

Muutke järgmine kindlustandev ülevaatus lihtsamaks

Valige üks oluline teenus ja ühitage selle välised väited selle tegeliku ulatuse, tõendite ja lahendamata riskidega. Määrake lahknevustele omanikud, kiitke heaks klientidele suunatud sõnastus ja kehtestage ülevaatuse rütm. See on praktiline lähtepunkt nii tarnijatele, kes paketti ette valmistavad, kui ka ostjatele, kes otsust dokumenteerivad.

Secani toetab seda töövoogu, modelleerides teenuseid ja sõltuvusi, sidudes tõendid nõuete ja kontrollimeetmetega ning muutes lüngad omanikuga ülesanneteks. Meeskonnad saavad ülevaatusotsuste ümber säilitada allikalingid, kommentaarid, heakskiidud ja ajatemplid; tehisintellekti abil tehtud soovitused jäävad mustandiks kuni inimese ülevaatuseni. Kasutage meie GRC-tarkvara juhendit, et hinnata, kas teie tööriistad toetavad sama lähenemisviisi.

Juhtkonna eesmärk on teenuse põhjendatud kirjeldus: selged piirid, tõenditele tuginevad vastused ja selgesõnaline omand selle üle, mis vajab veel tööd.