Mitä suuryritysasiakkaat tarvitsevat tietoturvamerkin lisäksi

Varmennusasiakirja voi avata hankintakeskustelun. Seuraava kysymys on, kuvaako se palvelua, jota ostaja todellisuudessa käyttää, ja riskejä, joita ostajan on hallittava.

Toimitusjohtajalle tämä on kaupallinen ja hallinnollinen kysymys, ei pelkästään auditointikysymys. Suuryritysasiakkaat päättävät, uskovatko ne tietoja, operatiivisia riippuvuuksia ja sopimuksellisia sitoumuksia toisen yrityksen käsiin. Sertifikaatti tai raportti vähentää osaa epävarmuudesta; se ei tee päätöstä heidän puolestaan.

Toimittajan tehtävänä on esittää johdonmukainen kuvaus tietoturvastaan: mitä katetaan, mitä on testattu, mikä on vielä ratkaisematta ja kuka on vastuussa. Ostajan tehtävänä on muuttaa tämä näyttö dokumentoiduksi päätökseksi ehdotetusta suhteesta.

Aloita hankinnasta, älä merkistä

Määrittele altistuminen ennen asiakirjojen pyytämistä. Mitä tietoja toimittaja saa? Pääseekö se tuotantojärjestelmiin? Keskeyttäisikö sen käyttökatko olennaisen prosessin? Käsitteleekö se maksutapahtumia, ajaako se työkuormia vai tarjoaako se vain vähäisen vaikutuksen sisäisen työkalun?

Nämä kysymykset määrittävät katselmoinnin syvyyden. Käytännön suosituksena varaa yksityiskohtainen tekninen jatkoselvitys toimittajille, joiden pääsy, tietojen arkaluonteisuus tai operatiivinen merkitys sitä edellyttää. Kaikille lähetettävä kyselylomake voi tuhlata aikaa ja silti ohittaa kaikkein merkittävimmän riippuvuuden.

Kirjaa lyhyt palveluprofiili, joka sisältää:

• Sopimuksen tekevän oikeushenkilön, tuotteen, käyttöönottomallin ja aiotun käytön.
• Tietoluokat, etuoikeutetun pääsyn ja merkittävät integraatiot.
• Vaarantumisen tai käyttökatkon liiketoimintavaikutuksen.
• Kriittiset alihankkijat ja asiakkaan vastuut.
• Henkilön, jolla on valtuudet hyväksyä jäännösriski.

Tästä profiilista tulee jokaisen varmennusväitteen viitekohta. Ilman sitä katselmoijat voivat hyväksyä aidon asiakirjan, joka koskee väärää palvelua.

Lue asiakirjan rajat

ISO 27001: ymmärrä hallintajärjestelmän soveltamisala

ISO/IEC 27001 koskee tietoturvallisuuden hallintajärjestelmää eli ISMS:ää. Sertifioinnin tekee riippumaton sertifiointielin, ei ISO. Se antaa varmuutta määritellystä hallintajärjestelmän soveltamisalasta; se ei takaa, että jokainen tuote, tytäryhtiö tai toimipaikka on turvallinen.

Tarkastele sertifikaatin oikeushenkilöä, soveltamisalan kuvausta, standardin versiota, sertifikaatin numeroa, voimassaoloaikoja ja myöntävää elintä. Tarkista sovellettava akkreditointi ja varmista tila sertifiointielimeltä tai sen rekisteristä, jos sellainen on saatavilla. Kysy nykyisestä valvonta-auditointitilanteesta sen sijaan, että olettaisit painetun voimassaolopäivän ratkaisevan kaikki kysymykset.

Soveltamisala voi kuvata toimintoja sen sijaan, että se luettelisi yksittäisiä sovelluksia. Pyydä toimittajaa selittämään, miten ostettu palvelu, sitä operoivat tiimit ja tukeva infrastruktuuri sijoittuvat tämän rajan sisään. Puuttuva tuotenimi ei automaattisesti tarkoita poissulkemista, mutta selittämätön yhteys ei riitä.

Soveltamislausuma (SoA) tai sen asianmukainen tiivistelmä tuo lisäkontekstia: mitkä liitteen A hallintakeinot ovat sovellettavissa, miksi ne ovat sovellettavissa ja miksi muut on suljettu pois. Liite A on riskiperusteinen, ei vaatimus toteuttaa jokainen hallintakeino samalla tavalla. Soveltamisalalla, soveltamislausumalla, riskien käsittelyllä, sisäisellä auditoinnilla ja johdon katselmuksella on eri tarkoitukset; yksi asiakirja ei voi korvata niitä kaikkia.

”ISO 27001:n mukainen” on eri väite kuin riippumattomasti sertifioitu. Omaan ilmoitukseen perustuva vakuutus voi kuvata hyödyllistä työtä, mutta ostajien ei pitäisi pitää sitä samanarvoisena varmuutena.

SOC 2: lue raportti, älä logoa

SOC 2 on varmennusraportti, ei tuotesertifiointi. Tarkastele järjestelmäkuvausta, valittuja Trust Services -kategorioita, auditoijan lausuntoa, arvioinnin päivämäärää tai jaksoa, poikkeamia ja alipalveluorganisaatioiden käsittelyä.

Type 1 käsittelee hallintakeinojen suunnittelua tiettynä päivänä. Type 2 käsittelee lisäksi toiminnan vaikuttavuutta tietyn ajanjakson aikana. Kumpikaan ei lupaa, ettei poikkeamia voisi sattua tai että jokainen asiakaskonfiguraatio olisi katettu.

Tietoturva sisältyy SOC 2 -toimeksiantoihin; saatavuus, käsittelyn eheys, luottamuksellisuus ja yksityisyys riippuvat toimeksiannon soveltamisalasta. Tietoturvaan keskittyvä raportti ei automaattisesti vastaa ostajan kysymyksiin maksutapahtumien oikeellisuudesta tai palvelun jatkuvuudesta.

Lue, miten pilvipalvelualustoja ja muita alipalveluorganisaatioita käsitellään. Carve-out-menetelmässä niiden asiaankuuluvat hallintakeinot jätetään toimittajan auditoijan testauksen ulkopuolelle. Tämä ei ole sinänsä hyväksymätöntä, mutta se edellyttää riippuvuuden ja sitä koskevan saatavilla olevan varmuuden ymmärtämistä.

Jos raportointijakso päättyi ennen merkittävää siirtoa tai yritysostoa, kysy, mikä muuttui. Johdon päivitys tai niin sanottu bridge letter voi selittää välissä olevan jakson, mutta se ei ole uusi riippumaton auditointilausunto.

Kytke havainnot todelliseen altistumiseenne

Raportoitu poikkeama on analyysin lähtökohta, ei automaattinen hylkäysperuste. Tuotannon ylläpitäjiä koskevalla käyttöoikeuskatselmoinnin epäonnistumisella on erilaiset seuraukset kuin eristetyn sisäisen työkalun myöhästyneellä katselmoinnilla.

Kysy, mihin järjestelmiin ja identiteetteihin se vaikutti, kuinka kauan tilanne jatkui, paljastuivatko asiakastiedot ja mitkä korvaavat hallintakeinot olivat toiminnassa. Pyydä sitten korjaavien toimenpiteiden tila ja ongelmaan nähden oikeasuhteinen näyttö.

Erota auditoijan testipoikkeama kielteisestä tai varauksellisesta lausunnosta. Lue lausunto ja yksityiskohtaiset tulokset yhdessä sen sijaan, että luokittelisit jokaisen poikkeaman samaksi ongelmaksi.

Täydentävät käyttäjäorganisaation hallintakeinot (CUEC) ansaitsevat yhtä paljon huomiota. Jos raportti olettaa, että asiakkaat konfiguroivat identiteettifederaation, poistavat lähteneet käyttäjät tai katselmoivat ylläpitäjien käyttöoikeudet, näistä tehtävistä tulee osa teidän toteutusvastuutanne. Osoita ne omistajille ennen käyttöönottoa; muuten varmuus voi riippua hallintakeinoista, joita kukaan ei ole toteuttanut.

Päätöstietueessa pitäisi todeta altistuminen, katselmoitu näyttö, ratkaisemattomat kysymykset, vaaditut toimenpiteet ja hyväksyntävaltuudet. Hankinnan tila ”tietoturva hyväksytty” on liian ohut selittämään myöhempää päätöstä.

Kysy, miten tietoturva toimii arviointien välillä

Suuryritysasiakkaat tarvitsevat näyttöä siitä, että tietoturva jatkuu auditointijakson jälkeen. Vahvimmat vastaukset kytkevät väitteen toimivaan prosessiin, tuoreeseen artefaktiin ja vastuuhenkilöön.

Testauksen pitäisi kertoa kattavuudesta ja rajoituksista

Haavoittuvuusskannaus ja tunkeutumistestaus vastaavat eri kysymyksiin. Skannaus voi tunnistaa tunnettuja heikkouksia eri kohteissa; tunkeutumistestaus tutkii, voidaanko heikkouksia hyödyntää määritellyn soveltamisalan sisällä. Kumpikaan ei anna täydellistä varmuutta.

Hyödyllisestä testausyhteenvedosta käyvät ilmi arvioija, päivämäärä, ympäristö, menetelmä, poissulkemiset, havainnot ja korjaavien toimenpiteiden tila. Usean vuokralaisen palvelussa ostajat voivat perustellusti kysyä, tarkasteltiinko vuokralaisten eristystä ja valtuutuspolkuja, eikä vain sitä, testattiinko julkinen kirjautumissivu.

ISO 27001 tai SOC 2 eivät sisällä yleistä lakisääteistä tunkeutumistestausvaatimusta. Testaustarpeet riippuvat riskeistä, valituista hallintakeinoista ja asiakkaiden vaatimuksista. Johdon pitäisi rahoittaa palveluun sopivaa testausta eikä ostaa asiakirjaa pelkästään kyselylomakkeen täyttämiseksi.

Korjaavien toimenpiteiden pitäisi olla jäljitettävissä

Osoita tärkeiden havaintojen osalta havaitsemispäivä, vakavuusluokituksen perustelut, omistaja, tavoitepäivä, rajaaminen ja sulkemisnäyttö. Selitä määräaikojen pidennykset ja hyväksytty riski. Pelkkä suljettu tiketti ei osoita, että heikkous on korjattu; uudelleentestaus tai muu soveltuva validointi vahvistaa väitettä.

Vältä pitämästä vakavuusluokituksia koko päätöksenä. Internetiin näkyvyys, hyödynnettävyys, koskevat tiedot ja korvaavat suojatoimet voivat muuttaa prioriteettia. Ostajat tarvitsevat riittävästi kontekstia ymmärtääkseen tämän päättelyn.

Vastuun on ulotuttava päätöksentekijään asti

Jaettu tietoturvan sähköpostilaatikko on hyödyllinen vastaanottoon, mutta se ei korvaa vastuullista omistajuutta. Nimeä tietoturvasta vastaava henkilö, asiaankuuluva palvelun omistaja ja johdon eskalointipolku. Varmennuksesta keskustelevan henkilön pitäisi pystyä selittämään päätökset tai tuomaan vastuussa oleva asiantuntija mukaan keskusteluun.

Johto on edelleen vastuussa korjaavien toimenpiteiden rahoittamisesta ja olennaisten jäännösriskien hyväksymisestä. Konsultti voi neuvoa; kumpikaan, konsultti tai ohjelmistotilaus, ei poista tätä vastuuta.

Valmistele palvelukohtainen varmennuspaketti

Toimittajien pitäisi ylläpitää johdonmukaista pakettia sen sijaan, että ne kokoaisivat ristiriitaisia vastauksia jokaista kauppaa varten. Sisällytä siihen voimassa oleva sertifikaatti tai raportti, soveltamisalan selitys, arkkitehtuurikonteksti, asiaankuuluvat testausyhteenvedot, poikkeamien yhteyshenkilöt, asiakkaan toteutusvastuut ja hyväksytyt vastaukset yleisiin kysymyksiin.

Anna jokaiselle kohteelle omistaja ja katselmointipäivä. Katselmoi olennaisten muutosten jälkeen sekä aikataulun mukaisesti: uusi hosting-malli, merkittävä alihankkija tai merkittävä poikkeama voi tehdä muuten ajantasaisesta vastauksesta harhaanjohtavan.

Jaa arkaluonteiset tekniset yksityiskohdat asianmukaisen pääsyprosessin kautta. Vaiheittaisessa lähestymistavassa voidaan ensin antaa yleiskatsaus, seuraavaksi rajatut raportit salassapitoehdoin ja tarvittaessa asiantuntijoiden jatkoselvitys. Poista tunnistetiedot, asiaan liittymättömät asiakastiedot ja tarpeettomat hyväksikäyttöyksityiskohdat piilottamatta havaintoja tai rajoituksia.

Avoin havainto, jolla on selkeä omistaja ja käsittelysuunnitelma, on informatiivisempi kuin selittämätön valmis-tila. Kieltäytyminen julkaisemasta koko raporttia ei sinänsä todista heikkoa tietoturvaa; kieltäytyminen tarjoamasta mitään merkityksellistä varmennuspolkua edellyttää lisäselvitystä.

Varmennus ei myöskään korvaa oikeudellista analyysia. Yleisen tietosuoja-asetuksen (GDPR) mukaiset rekisterinpitäjän ja käsittelijän väliset sopimukset sekä riskiperusteiset turvallisuusvelvoitteet edellyttävät omaa arviointiaan. SOC 2 -raportti tai ISO 27001 -sertifikaatti ei osoita GDPR:n tai NIS2:n noudattamista.

Esimerkki: asiakastukialustan hyväksyminen

Tarkastellaan havainnollistavaa suuryritystä, joka ostaa SaaS-tukialustan. Oletetaan, että alustalle tallennetaan asiakaskirjeenvaihtoa ja asiakastunnisteita mutta ei maksukorttitietoja. Asiakkaan ylläpitäjät hallinnoivat pääsyä federaation kautta, ja käyttökatko viivästyttäisi asiakastukea mutta ei pysäyttäisi keskeisiä liiketoimia.

Toimittaja esittää voimassa olevan ISO 27001 -sertifikaatin ja SOC 2 Type 2 -raportin. Katselmointi osoittaa, että sertifikaatti kattaa palvelun operoinnin. SOC 2 -raportti sisältää tietoturvan ja saatavuuden, mutta käyttää pilvipalvelualustan osalta carve-out-menetelmää. Yksi poikkeama koskee työntekijän tuotantokäyttöoikeuksien myöhästynyttä poistamista.

Ostaja pyytää neljä kohdennettua jatkoselvitystä: käyttöoikeuden poiston aikajanan, näytön korjatusta käyttöoikeuksien poistoprosessista, pilviriippuvuuden varmennuspolun sekä ehdotetun palvelun kannalta merkitykselliset palautustestien tulokset. Se osoittaa myös oman federaatioasetuksensa ja ylläpitäjäkatselmointinsa sisäiselle omistajalle.

Oletetaan, että käyttöoikeusongelma on ratkaistu ja validoitu, mutta palautusnäyttö ei tue ostajan toivomaa palautumistavoitetta. Liiketoiminnan omistaja voi tällöin päättää hyväksyä pidemmän käyttökatkon, ottaa käyttöön toimivan varajärjestelyn tai hylätä palvelun. Hankintatoimi kirjaa sovitun jatkuvuussitoumuksen sopimukseen ja aikatauluttaa uudelleenarvioinnin.

Tuotoksena on ehdollinen, perusteltu hyväksyntä, ei väite siitä, että toimittaja olisi riskitön. Sertifikaatti auttaa luomaan luottamusta, kun taas jatkoselvitys käsittelee varsinaista hankintaa.

Sovella samaa tarkkuutta ostaessasi vaatimustenmukaisuustukea

Varmennukseen valmistautumisessa auttavien palveluntarjoajien pitäisi selittää, mitä niiden tarjous sisältää: ohjelmiston, käyttöönottoneuvontaa, näytön katselmointia, auditoinnin koordinointia vai näiden yhdistelmän. Pyydä nimetyt vastuut ja suunnitelma, joka erottaa teidän työnne heidän työstään.

Pidä taattua auditoinnin lopputulosta varoitusmerkkinä: palveluntarjoaja ei hallitse riippumatonta arvioijaa. Myös hyvin lyhyet aikataulut vaativat selityksen. Kypsän organisaation, jolla on vakiintuneet hallintakeinot, työ eroaa sellaisen organisaation työstä, joka aloittaa ilman omistajuutta, riskinarviointia tai toimintanäyttöä; rehellistä yleistä valmisteluaikaa ei ole.

Kysy, miten suunnitelma käsittelee soveltamisalan, riskien käsittelyn, sisäisen auditoinnin, johdon katselmuksen ja jatkuvan ylläpidon. Mallipohjat voivat nopeuttaa dokumentointia, mutta ne eivät voi osoittaa, että prosessi on toteutunut. Aiemmin puuttuneesta näytöstä pitäisi tulla puute, jolla on käsittelysuunnitelma, ei jälkikäteen rakennettu historia.

Johdon pitäisi arvioida tukea sen perusteella, tekeekö se vastuista ja päätöksistä selkeämpiä, ei sen perusteella, kuinka varmasti se lupaa merkin.

Tee seuraavasta varmennuskatselmoinnista helpompi

Valitse yksi tärkeä palvelu ja täsmäytä sen ulkoiset väitteet sen todelliseen soveltamisalaan, näyttöön ja avoimiin riskeihin. Osoita ristiriidoille omistajat, hyväksy asiakkaille suunnatut sanamuodot ja sovi katselmointirytmistä. Tämä on käytännön lähtökohta sekä pakettia valmisteleville toimittajille että päätöstään dokumentoiville ostajille.

Secani tukee tätä työnkulkua mallintamalla palvelut ja riippuvuudet, kytkemällä näytön vaatimuksiin ja hallintakeinoihin ja muuttamalla puutteet omistajille osoitetuiksi tehtäviksi. Tiimit voivat säilyttää lähdelinkit, kommentit, hyväksynnät ja aikaleimat katselmointipäätösten yhteydessä; tekoälyavusteiset ehdotukset pysyvät luonnoksina ihmisen tekemään katselmointiin asti. Käytä GRC-ohjelmisto-opastamme arvioidaksesi, tukevatko työkalunne samaa lähestymistapaa.

Johdon tavoitteena on puolustettavissa oleva kuvaus palvelusta: selkeät rajat, näyttöön perustuvat vastaukset ja nimenomainen omistajuus siitä, mikä vaatii vielä työtä.