Trešo pušu risks VDAR, NIS2 un DORA kontekstā

Viens un tas pats piegādātājs var radīt privātuma, kiberdrošības un darbības noturības saistības. Algu aprēķina pakalpojumu sniedzējs apstrādā personas datus; pārvaldīto pakalpojumu sniedzējam ir priviliģēta piekļuve; mākoņplatforma uztur biznesam kritiskas lietotnes. Dažreiz viens piegādātājs dara visu trīs.

Kopīgs piegādātāja ieraksts palīdz komandām koordinēt novērtējumu, ja vien katra saistība paliek identificējama. CTO praktiskais izaicinājums ir sasaistīt līgumsaistības ar tehnisko realitāti: kam piegādātājs var piekļūt, kā kļūmes izplatās, kuras kontroles ir pierādītas un vai organizācija spēj atjaunoties vai aiziet.

Nosakiet piemērojamību, pirms apvienojat novērtējumus

Šie instrumenti pārklājas, taču tie neattiecas uz katru organizāciju vai piegādātāju vienādi.

VDAR 28. pants prasa pārziņiem izmantot apstrādātājus, kas sniedz pietiekamas garantijas. 28. panta līgums nav piemērots tikai tāpēc, ka piegādātājs saņem datus: vispirms nosakiet faktisko apstrādes lomu.

NIS2 20.–23. pants aptver vadības uzraudzību, riska pārvaldības pasākumus un ziņošanu par būtiskiem incidentiem. NIS2 ir direktīva, ko ievieš ar nacionālajiem tiesību aktiem, tāpēc tvērums un procedūras jāpārbauda katrā jurisdikcijā atsevišķi.

DORA tiek piemērota kopš 2025. gada 17. janvāra. Tā galvenokārt attiecas uz noteiktām finanšu vienībām; parastiem IKT piegādātājiem var nākties izpildīt klientu līgumiskās prasības, savukārt izraudzītajiem kritiskajiem IKT pakalpojumu sniedzējiem ir atsevišķs uzraudzības režīms. Tvērumā esošām finanšu vienībām DORA attiecīgajās NIS2 jomās darbojas kā nozarei specifisks ES tiesību akts. Nedublējiet automātiski abus kontroļu kopumus.

Veidojiet ierakstu ap atkarību

Sāciet ar pakalpojumu, nevis piegādātāja anketu. Viens piegādātājs var sniegt vairākus pakalpojumus ar atšķirīgiem datiem, piekļuvi un darbības nozīmīgumu.

Kā praktisku bāzi reģistrējiet:

• Pakalpojumu, piegādātāja juridisko personu, biznesa īpašnieku, tehnisko īpašnieku un pārskatītājus.
• Atbalstītās funkcijas, sistēmas, integrācijas un priviliģēto piekļuvi.
• Personas datu kategorijas, apstrādes nolūkus, atrašanās vietas un apakšapstrādātājus.
• Pieejamības prasības, atjaunošanas mērķus un pieļaujamos traucējumus.
• Pamatā esošos pakalpojumu sniedzējus, līgumiskās atkarības un reālas alternatīvas.
• Piemērojamās saistības, pierādījumu datumus, neatrisinātās nepilnības un lēmumus.

Nosakiet, kuras funkcijas pēc kompromitēšanas vai pārtraukuma pārstātu darboties vai pasliktinātos. Piegādātājs, kas glabā maz sensitīvu datu, joprojām var kontrolēt autentifikāciju vai izvietošanas konveijerus. Savukārt pakalpojums ar zemu pieejamības risku var atklāt ļoti sensitīvus personas datus.

Turiet šīs dimensijas atsevišķi, nevis saplūdiniet tās vienā neizskaidrotā „augsta riska” novērtējumā. DORA tvērumā esošām finanšu vienībām sasaistiet šo darbības inventāru ar obligāto informācijas reģistru par IKT līgumiskajām vienošanām; vispārīgs piegādātāju saraksts ne vienmēr ir pietiekams.

Izmantojiet pierādījumus atkārtoti, bet neizmantojiet akli secinājumus

Drošības ziņojums, datu plūsmas karte vai atjaunošanas tests var pamatot vairākus pārskatus. Pirms uz tiem paļauties, pārbaudiet to pakalpojumu tvērumu, pārskata periodu, izslēgumus, izņēmumus un klienta atbildības jomas.

Piemēram, ziņojums, kas aptver piegādātāja infrastruktūru, ne vienmēr aptver tā atbalsta personāla piekļuvi klientu ierakstiem. Dokumentēta rezerves kopēšanas politika neparāda, ka atjaunošana atbilst jūsu lietotnes atjaunošanas prasībām.

Uzturiet pierādījumu un jautājumu matricu:

ISO sertifikāts vai SOC 2 ziņojums pamato apliecinājumu sava tvēruma ietvaros; neviens no tiem nepierāda atbilstību VDAR vai NIS2. Saglabājiet pārskatītāja argumentāciju, ne tikai augšupielādēto dokumentu. Drošības apliecinājuma izvērtēšanai jābūt atkārtojamam tehniskam pārskatam, nevis žetona pārbaudei.

Pārvērtiet prasības līgumos un kontrolēs

Saskaņā ar VDAR 28. pantu apstrādātāja noteikumos jāaptver apstrādes priekšmets, ilgums, raksturs un nolūks, datu veidi un datu subjektu kategorijas. Tie aptver arī dokumentētus norādījumus, konfidencialitāti, drošību, apakšapstrādātāju nosacījumus, palīdzību, dzēšanu vai atdošanu, kā arī informācijas un audita pienākumus. Starptautiskai nosūtīšanai nepieciešams atsevišķs V nodaļas novērtējums; mitināšana ES vien neatrisina piekļuves vai tālākas nosūtīšanas jautājumus.

NIS2 21. pants ietver piegādes ķēdes drošību un tiešo piegādātāju ievainojamību un kiberdrošības prakses izvērtēšanu. Praktiskās līgumiskās gaidas var ietvert piekļuves ierobežojumus, ievainojamību apstrādi, sadarbību incidentu gadījumā un pierādījumu sniegšanu. Pielāgojiet tās pakalpojumam un nacionālajām prasībām, nevis uzskatiet vienu universālu klauzulu paketi par juridiski pietiekamu.

DORA 30. pants nosaka IKT līgumu noteikumus ar papildu prasībām pakalpojumiem, kas atbalsta kritiskas vai svarīgas funkcijas. Pārskatiet pakalpojumu aprakstus, atrašanās vietas, datu aizsardzību un atjaunošanu, palīdzību, izbeigšanu un attiecīgās uzraudzības tiesības. Šīm kritiskajām vai svarīgajām funkcijām īpaša uzmanība jāpievērš pakalpojumu līmeņiem, ziņošanai, ārkārtas pasākumiem, sadarbībai testēšanā, audita tiesībām un pārejas kārtībai.

Pēc tam pārbaudiet ieviešanu. Ja līgums sola ierobežotu administratīvo piekļuvi, iegūstiet pierādījumus par lomu nošķiršanu, autentifikāciju, apstiprināšanu un žurnalēšanu. Ja tas sola dzēšanu, noskaidrojiet, kas notiek ar rezerves kopijām un saglabātajiem ierakstiem. Uzdodiet juridiskās nepilnības un tehniskās nepilnības attiecīgajiem pārskatītājiem.

Izstrādājiet incidentu nodošanu pirms incidenta

Piegādātāja incidentu reaģēšanas politika var pamatot drošības novērtējumu, atstājot paziņošanas pienākumus neatrisinātus. Nosakiet saziņas kanālus, eskalācijas pārklājumu, sākotnējo informāciju, gaidas attiecībā uz atjauninājumiem un atbildību par pierādījumu saglabāšanu.

Saskaņā ar VDAR 33.–34. pantu apstrādātājs bez nepamatotas kavēšanās paziņo pārzinim. Pārzinis bez nepamatotas kavēšanās un, ja iespējams, 72 stundu laikā pēc tam, kad tas kļuvis zināms, izvērtē paziņošanu uzraudzības iestādei, ja vien nav ticams, ka pārkāpums radīs risku personu tiesībām un brīvībām. Augsts risks var prasīt informēt datu subjektus, ievērojot izņēmumus. Reģistrējiet argumentāciju, ja paziņošana nav nepieciešama.

NIS2 ES ziņošanas posmi būtiskiem incidentiem ietver agrīnu brīdinājumu 24 stundu laikā, paziņojumu 72 stundu laikā un parasti galīgo ziņojumu viena mēneša laikā pēc paziņojuma; pārbaudiet nacionālos un nozares noteikumus. DORA ir savs ziņošanas regulējums par lieliem ar IKT saistītiem incidentiem. Neaizstājiet šos novērtējumus ar vienu piegādātāja „pārkāpuma” atzīmi.

Kā praktisku ieteikumu izspēlējiet piegādātāja incidentu ar nepilnīgu informāciju. Pārbaudiet, vai komandas var noteikt skartos pakalpojumus, pakļautību, darbības ietekmi un ziņošanas lēmumus, negaidot galīgo pamatcēloņa ziņojumu.

Praktisks piemērs: viens pakalpojums, trīs pārskatīšanas ceļi

Pieņemsim ilustratīvi, ka tvērumā esoša finanšu vienība izmanto mitinātu klientu atbalsta platformu, kas apstrādā personas datus un atbalsta funkciju, ko tā saskaņā ar DORA ir klasificējusi kā kritisku vai svarīgu.

Piegādātājs iesniedz apliecinājuma ziņojumu, incidentu politiku un atjaunošanas testa kopsavilkumu. Drošības komanda konstatē, ka administratīvās piekļuves kontroles ir pierādītas, taču atjaunošanas tests neaptver klienta integrāciju.

Privātuma komanda atsevišķi identificē neskaidru apakšapstrādātāju maiņas procesu un neatrisinātu attālinātās piekļuves nosūtīšanas kārtību. DORA pārskatā konstatēts, ka uzmanība jāpievērš palīdzībai pārejas laikā un attiecīgajiem audita noteikumiem.

Izrietošais rīcības plāns ir konkrēts:

• Tehniskais īpašnieks testē integrācijas atjaunošanu un dokumentē rezultātu.
• Privātuma pārskatītājs atrisina jautājumus par apakšapstrādātājiem un nosūtīšanu.
• Juridiskā un iepirkumu nodaļa novērš līgumiskās nepilnības.
• Atbildīgais īpašnieks izlemj, vai pagaidu izmantošana ir pieņemama, ar nosacījumiem un pārskatīšanas datumu.

Pierādījumi tiek izmantoti atkārtoti, taču neviens no trim secinājumiem netiek atvasināts no cita. Nokārtots drošības pārskats neslēdz privātuma vai noturības nepilnības.

Uzraugiet izmaiņas, koncentrāciju un īstenojamu aiziešanu

Nosakiet pārskatīšanas biežumu atbilstoši atkarībai un riskam. Ierosiniet papildu pārskatīšanu pēc incidentiem, būtiskām pakalpojuma izmaiņām, jauniem apakšapstrādātājiem, datu atrašanās vietas izmaiņām, īpašnieka maiņas vai līguma atjaunošanas.

Ieskatieties dziļāk par piegādātāju nosaukumiem: vairāki pakalpojumi var būt atkarīgi no viena un tā paša mākoņa reģiona, identitātes nodrošinātāja vai apakšuzņēmēja. Novērtējiet korelētus traucējumus un to, vai piedāvātajai alternatīvai ir tā pati atkarība. DORA 29. pants tieši aptver IKT koncentrācijas riska novērtējumu.

Uzturiet samērīgu aiziešanas plānu, kas aptver datu eksportu, migrāciju, darbības nepārtrauktību, piekļuves atsaukšanu un dzēšanas pierādījumus. Testējiet eksporta lietojamību un nosakiet, kurš spēj pārvaldīt aizstājēju. Izbeigšanas tiesības ir noderīgākas, ja organizācija spēj tās īstenot.

Atšķiras arī sekas. VDAR ir pārkāpumam specifiski sodu līmeņi; NIS2 prasa nacionālu sodu kārtību ar atšķirīgiem maksimālajiem apmēriem būtiskām un svarīgām vienībām. DORA sankcijas finanšu vienībām ir atkarīgas no piemērojamās kārtības, savukārt kritisko pakalpojumu sniedzēju uzraudzības sodi ir atsevišķi. Nemodelējiet pakļautību, izmantojot vienu šķietami universālu naudas sodu.

Sāciet ar vienu nozīmīgu atkarību

Izvēlieties vienu piegādātāju, kas atbalsta svarīgu funkciju. Saskaņojiet tā pakalpojumu inventāru, līgumus, pierādījumus, atklātos riskus un aiziešanas pieņēmumus. Nobeigumā nosakiet konkrētus atbildīgos un atsevišķus, datētus secinājumus par katru piemērojamo saistību.

Secani komandas var modelēt pakalpojumu un ārējo pakalpojumu sniedzēju, sasaistīt prasības un kontroles ar pierādījumiem un izsekot nepilnības kā uzdevumus ar atbildīgajiem. Cilvēka pārskatīti lēmumi, avotu saites, komentāri un laikspiedoli saglabā argumentāciju. Tas nodrošina kopīgu piegādātāja kontekstu, neslēpjot atsevišķos privātuma, drošības un noturības spriedumus.