Trečiųjų šalių rizika pagal BDAR, NIS2 ir DORA

Tas pats tiekėjas gali sukurti privatumo, kibernetinio saugumo ir veiklos atsparumo pareigų. Darbo užmokesčio paslaugų teikėjas tvarko asmens duomenis; valdomų paslaugų teikėjas turi privilegijuotą prieigą; debesijos platforma palaiko verslui ypatingos svarbos programas. Kartais vienas tiekėjas daro visa tai.

Bendras tiekėjo įrašas padeda komandoms koordinuoti vertinimą, jei kiekviena pareiga lieka atpažįstama. CTO praktinis iššūkis – susieti sutartinius įsipareigojimus su technine realybe: ką tiekėjas gali pasiekti, kaip plinta gedimai, kurios kontrolės priemonės pagrįstos įrodymais ir ar organizacija gali atsigauti arba pasitraukti.

Prieš derindami vertinimus, nustatykite taikymą

Šie teisės aktai iš dalies sutampa, tačiau ne kiekvienai organizacijai ar tiekėjui jie taikomi vienodai.

BDAR 28 straipsnis reikalauja, kad duomenų valdytojai naudotųsi tik pakankamas garantijas teikiančiais duomenų tvarkytojais. 28 straipsnio susitarimas netinka vien todėl, kad tiekėjas gauna duomenis: pirmiausia nustatykite faktinį duomenų tvarkymo vaidmenį.

NIS2 direktyvos 20–23 straipsniai reglamentuoja vadovybės priežiūrą, rizikos valdymo priemones ir pranešimus apie didelio poveikio incidentus. NIS2 yra direktyva, įgyvendinama per nacionalinę teisę, todėl taikymo sritį ir procedūras reikia tikrinti kiekvienoje jurisdikcijoje.

DORA taikomas nuo 2025 m. sausio 17 d. Jis daugiausia aprėpia nurodytas finansų įmones; įprastiems IRT tiekėjams gali būti taikomi klientų sutartiniai reikalavimai, o paskirtiems ypatingos svarbos IRT paslaugų teikėjams taikomas atskiras priežiūros režimas. Aprėpiamoms finansų įmonėms DORA veikia kaip sektorinė ES teisė atitinkamose NIS2 srityse. Automatiškai nedubliuokite abiejų kontrolės priemonių rinkinių.

Įrašą kurkite aplink priklausomybę

Pradėkite nuo paslaugos, o ne nuo tiekėjo klausimyno. Vienas tiekėjas gali teikti kelias paslaugas su skirtingais duomenimis, prieiga ir veiklos svarba.

Kaip praktinę bazinę liniją užfiksuokite:

• Paslaugą, tiekėjo juridinį asmenį, verslo savininką, techninį savininką ir vertintojus.
• Palaikomas funkcijas, sistemas, integracijas ir privilegijuotą prieigą.
• Asmens duomenų kategorijas, tvarkymo tikslus, vietas ir subtvarkytojus.
• Prieinamumo reikalavimus, atkūrimo tikslus ir toleruotiną sutrikimą.
• Pagrindinius paslaugų teikėjus, sutartines priklausomybes ir realistiškas alternatyvas.
• Taikomas pareigas, įrodymų datas, neišspręstas spragas ir sprendimus.

Nustatykite, kurios funkcijos sutriktų ar pablogėtų po pažeidimo ar gedimo. Tiekėjas, saugantis mažai jautrių duomenų, vis tiek gali kontroliuoti autentifikavimą ar diegimo grandines. Ir atvirkščiai, mažos prieinamumo rizikos paslauga gali atskleisti labai jautrius asmens duomenis.

Šiuos aspektus laikykite atskirai, o ne sujunkite į vieną nepaaiškintą „didelės rizikos“ balą. DORA aprėpiamoms finansų įmonėms susiekite šį veiklos inventorių su privalomu informacijos registru apie IRT sutartinius susitarimus; bendras tiekėjų sąrašas nebūtinai yra pakankamas.

Pakartotinai naudokite įrodymus, bet ne aklai perimkite išvadas

Saugumo ataskaita, duomenų srautų žemėlapis ar atkūrimo testas gali pagrįsti kelias peržiūras. Prieš jais remdamiesi, patikrinkite jų paslaugų apimtį, ataskaitinį laikotarpį, neįtrauktas sritis, išimtis ir kliento atsakomybes.

Pavyzdžiui, ataskaita, apimanti tiekėjo infrastruktūrą, nebūtinai apima jo pagalbos personalo prieigą prie klientų įrašų. Dokumentuota atsarginių kopijų politika neparodo, kad atkūrimas atitinka jūsų programos atkūrimo reikalavimus.

Palaikykite įrodymų ir klausimų matricą:

ISO sertifikatas ar SOC 2 ataskaita pagrindžia užtikrinimą savo taikymo srityje; nė vienas iš jų neįrodo BDAR ar NIS2 atitikties. Išsaugokite vertintojo argumentus, o ne vien įkeltą dokumentą. Saugumo užtikrinimo vertinimas turėtų būti pakartojama techninė peržiūra, o ne ženkliuko patikrinimas.

Reikalavimus paverskite sutartimis ir kontrolės priemonėmis

Pagal BDAR 28 straipsnį duomenų tvarkytojo sąlygose turi būti nurodytas duomenų tvarkymo dalykas, trukmė, pobūdis ir tikslas, duomenų rūšys ir duomenų subjektų kategorijos. Jos taip pat apima dokumentuotus nurodymus, konfidencialumą, saugumą, subtvarkytojų pasitelkimo sąlygas, pagalbą, ištrynimą ar grąžinimą bei informacijos ir audito pareigas. Tarptautiniams perdavimams reikia atskiro V skyriaus vertinimo; vien duomenų laikymas ES neišsprendžia prieigos ar tolesnio perdavimo klausimų.

NIS2 21 straipsnis apima tiekimo grandinės saugumą ir tiesioginių tiekėjų pažeidžiamumų bei kibernetinio saugumo praktikos įvertinimą. Praktiniai sutartiniai lūkesčiai gali apimti prieigos apribojimus, pažeidžiamumų tvarkymą, bendradarbiavimą incidentų atveju ir įrodymų teikimą. Pritaikykite juos paslaugai ir nacionaliniams reikalavimams, o ne laikykite vieną universalų sąlygų paketą teisiškai pakankamu.

DORA 30 straipsnis nustato IRT sutarčių nuostatas, su papildomais reikalavimais paslaugoms, palaikančioms ypatingos svarbos ar svarbias funkcijas. Peržiūrėkite paslaugų aprašymus, vietas, duomenų apsaugą ir atkūrimą, pagalbą, nutraukimą ir atitinkamas priežiūros teises. Šioms ypatingos svarbos ar svarbioms funkcijoms reikia ypatingo dėmesio paslaugų lygiams, ataskaitų teikimui, nenumatytų atvejų priemonėms, bendradarbiavimui testuojant, audito teisėms ir pereinamojo laikotarpio tvarkai.

Tada patikrinkite įgyvendinimą. Jei sutartyje pažadėta ribota administracinė prieiga, gaukite vaidmenų atskyrimo, autentifikavimo, patvirtinimo ir žurnalų registravimo įrodymus. Jei pažadėtas ištrynimas, išsiaiškinkite, kas nutinka atsarginėms kopijoms ir saugomiems įrašams. Teisines ir technines spragas priskirkite atitinkamiems vertintojams.

Incidentų perdavimo taškus suplanuokite prieš incidentą

Tiekėjo reagavimo į incidentus politika gali pagrįsti saugumo vertinimą, palikdama neišspręstas pranešimo pareigas. Nurodykite kontaktinius kanalus, eskalavimo aprėptį, pradinę informaciją, atnaujinimų lūkesčius ir atsakomybę už įrodymų išsaugojimą.

Pagal BDAR 33–34 straipsnius duomenų tvarkytojas praneša duomenų valdytojui nepagrįstai nedelsdamas. Duomenų valdytojas įvertina pranešimą priežiūros institucijai nepagrįstai nedelsdamas ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo sužinojimo, nebent pažeidimas neturėtų kelti pavojaus asmenų teisėms ir laisvėms. Dėl didelio pavojaus gali reikėti pranešti asmenims, atsižvelgiant į išimtis. Kai pranešti nereikia, užfiksuokite argumentus.

NIS2 ES pranešimų apie didelio poveikio incidentus etapai apima išankstinį įspėjimą per 24 valandas, pranešimą per 72 valandas ir paprastai galutinę ataskaitą per vieną mėnesį nuo pranešimo; patikrinkite nacionalines ir sektorines taisykles. DORA turi savo pranešimų apie didelius su IRT susijusius incidentus sistemą. Nepakeiskite šių vertinimų viena tiekėjo „pažeidimo“ žyma.

Kaip praktinė rekomendacija, surenkite tiekėjo incidento pratybas su neišsamia informacija. Patikrinkite, ar komandos gali nustatyti paveiktas paslaugas, pažeidžiamumą, poveikį veiklai ir pranešimo sprendimus, nelaukdamos galutinės pagrindinės priežasties ataskaitos.

Išnagrinėtas pavyzdys: viena paslauga, trys peržiūros keliai

Iliustraciniais tikslais tarkime, kad aprėpiama finansų įmonė naudoja talpinamą klientų aptarnavimo platformą, kuri tvarko asmens duomenis ir palaiko funkciją, įmonės pagal DORA priskirtą ypatingos svarbos ar svarbioms.

Tiekėjas pateikia užtikrinimo ataskaitą, incidentų politiką ir atkūrimo testo santrauką. Saugumo komanda nustato, kad administracinės prieigos kontrolė pagrįsta įrodymais, tačiau atkūrimo testas neapima kliento integracijos.

Privatumo komanda atskirai nustato neaiškų subtvarkytojų keitimo procesą ir neišspręstą nuotolinės prieigos perdavimo tvarką. DORA peržiūra nustato, kad dėmesio reikia pereinamojo laikotarpio pagalbai ir atitinkamoms audito nuostatoms.

Gautas veiksmų planas yra konkretus:

• Techninis savininkas išbando integracijos atkūrimą ir dokumentuoja rezultatą.
• Privatumo vertintojas išsprendžia subtvarkytojų ir perdavimų klausimus.
• Teisės ir pirkimų specialistai sprendžia sutartines spragas.
• Atskaitingas savininkas nusprendžia, ar laikinas naudojimas priimtinas, nustatydamas sąlygas ir peržiūros datą.

Įrodymai naudojami pakartotinai, tačiau nė viena iš trijų išvadų nėra išvedama iš kitos. Išlaikyta saugumo peržiūra neuždaro privatumo ar atsparumo spragų.

Stebėkite pokyčius, koncentraciją ir įgyvendinamą pasitraukimą

Peržiūrų dažnumą nustatykite pagal priklausomybę ir riziką. Papildomą peržiūrą inicijuokite po incidentų, didelių paslaugos pokyčių, naujų subtvarkytojų, duomenų buvimo vietos pokyčių, nuosavybės pasikeitimų ar sutarties atnaujinimo.

Žvelkite giliau nei tiekėjų pavadinimai: kelios paslaugos gali priklausyti nuo to paties debesijos regiono, tapatybių teikėjo ar subrangovo. Įvertinkite koreliuotą sutrikimą ir tai, ar siūloma alternatyva turi tą pačią priklausomybę. DORA 29 straipsnis aiškiai reglamentuoja IRT koncentracijos rizikos vertinimą.

Palaikykite proporcingą pasitraukimo planą, apimantį duomenų eksportą, migraciją, tęstinumą, prieigos atšaukimą ir ištrynimo įrodymus. Išbandykite eksporto tinkamumą naudoti ir nustatykite, kas gali valdyti pakaitinę paslaugą. Nutraukimo teisė naudingesnė, kai organizacija gali ją įgyvendinti.

Pasekmės taip pat skiriasi. BDAR numato nuo pažeidimo priklausančias sankcijų pakopas; NIS2 reikalauja nacionalinės sankcijų tvarkos su skirtingomis viršutinėmis ribomis esminiams ir svarbiems subjektams. DORA sankcijos finansų įmonėms priklauso nuo taikomos tvarkos, o ypatingos svarbos paslaugų teikėjų priežiūros sankcijos yra atskiros. Nemodeliuokite rizikos remdamiesi viena tariama universalia bauda.

Pradėkite nuo vienos reikšmingos priklausomybės

Pasirinkite vieną tiekėją, palaikantį svarbią funkciją. Suderinkite jo paslaugų inventorių, sutartis, įrodymus, atviras rizikas ir pasitraukimo prielaidas. Užbaikite įvardytais savininkais ir atskiromis, datuotomis išvadomis kiekvienai taikomai pareigai.

Secani komandos gali sumodeliuoti paslaugą ir išorinį paslaugų teikėją, susieti reikalavimus ir kontrolės priemones su įrodymais ir sekti spragas kaip užduotis su savininkais. Žmonių peržiūrėti sprendimai, nuorodos į šaltinius, komentarai ir laiko žymos išsaugo argumentus. Tai palaiko bendrą tiekėjo kontekstą, neslepiant atskirų privatumo, saugumo ir atsparumo vertinimų.