Kas lieliem uzņēmumiem kā pircējiem vajadzīgs papildus drošības emblēmai

Pārliecības dokuments var atvērt iepirkuma sarunu. Nākamais jautājums ir, vai tas apraksta pakalpojumu, ko pircējs faktiski izmantos, un riskus, kas pircējam jāpārvalda.

Izpilddirektoram tas ir komerciāls un pārvaldības jautājums, nevis vienkārši audita jautājums. Lielie uzņēmumi kā klienti izlemj, vai nodot informāciju, darbības atkarības un līgumiskās saistības cita uzņēmuma rokās. Sertifikāts vai ziņojums samazina daļu nenoteiktības; tas nepieņem šo lēmumu viņu vietā.

Piegādātāja uzdevums ir sniegt saskaņotu pārskatu par savu drošību: kas ir aptverts, kas ir pārbaudīts, kas paliek neatrisināts un kas ir atbildīgs. Pircēja uzdevums ir pārvērst šos pierādījumus dokumentētā lēmumā par piedāvātajām attiecībām.

Sāciet ar iegādi, nevis emblēmu

Pirms dokumentu pieprasīšanas definējiet atklātību. Kādu informāciju piegādātājs saņems? Vai tas var piekļūt ražošanas sistēmām? Vai tā darbības pārtraukums apturētu būtisku procesu? Vai tas apstrādās transakcijas, mitinās darba slodzes vai vienkārši nodrošinās zemas ietekmes iekšēju rīku?

Šie jautājumi nosaka pārskatīšanas dziļumu. Kā praktisks ieteikums: detalizētus tehniskus papildjautājumus paturiet piegādātājiem, kuru piekļuve, datu sensitivitāte vai darbības nozīme to attaisno. Vispārīga anketa var izšķērdēt laiku, palaižot garām visnozīmīgāko atkarību.

Reģistrējiet īsu pakalpojuma profilu, kas satur:

• Līgumslēdzēju juridisko personu, produktu, izvietošanas modeli un paredzēto lietojumu.
• Datu kategorijas, priviliģēto piekļuvi un nozīmīgās integrācijas.
• Kompromitēšanas vai darbības pārtraukuma ietekmi uz biznesu.
• Kritiskos apakšuzņēmējus un klienta pienākumus.
• Personu, kas pilnvarota apstiprināt atlikušo risku.

Šis profils kļūst par atskaites punktu katram pārliecības apgalvojumam. Bez tā pārskatītāji var apstiprināt īstu dokumentu, kas attiecas uz nepareizu pakalpojumu.

Izlasiet dokumenta robežas

ISO 27001: izprotiet pārvaldības sistēmas tvērumu

ISO/IEC 27001 attiecas uz informācijas drošības pārvaldības sistēmu jeb ISMS. Sertifikāciju veic neatkarīga sertifikācijas iestāde, nevis ISO. Tā sniedz pārliecību par definētu pārvaldības sistēmas tvērumu; tā nav garantija, ka katrs produkts, meitasuzņēmums vai atrašanās vieta ir droša.

Pārbaudiet sertifikātā norādīto juridisko personu, tvēruma aprakstu, standarta izdevumu, sertifikāta numuru, derīguma datumus un izsniedzējiestādi. Pārbaudiet piemērojamo akreditāciju un, ja iespējams, verificējiet statusu sertifikācijas iestādē vai tās reģistrā. Jautājiet par pašreizējo uzraudzības auditu statusu, nevis pieņemiet, ka izdrukāts derīguma termiņš atrisina visus jautājumus.

Tvērums var aprakstīt darbības, nevis uzskaitīt atsevišķas lietotnes. Lūdziet piegādātājam paskaidrot, kā iegādātais pakalpojums, tā darbības komandas un atbalsta infrastruktūra iekļaujas šajā robežā. Izlaists produkta nosaukums automātiski nenozīmē izslēgšanu, taču neizskaidrota saikne nav pietiekama.

Piemērojamības paziņojums vai piemērots tā kopsavilkums sniedz papildu kontekstu: kuras A pielikuma kontroles ir piemērojamas, kāpēc tās ir piemērojamas un kāpēc citas ir izslēgtas. A pielikums balstās uz risku, tā nav prasība ieviest katru kontroli identiski. Tvērumam, Piemērojamības paziņojumam, riska apstrādei, iekšējam auditam un vadības pārskatam ir dažādi mērķi; viens dokuments nevar aizstāt tos visus.

„Saskaņots ar ISO 27001” ir cits apgalvojums nekā neatkarīgi sertificēts. Pašdeklarācija var aprakstīt noderīgu darbu, taču pircējiem to nevajadzētu uzskatīt par līdzvērtīgu pārliecību.

SOC 2: lasiet ziņojumu, nevis logotipu

SOC 2 ir apliecinājuma ziņojums, nevis produkta sertifikācija. Pārskatiet sistēmas aprakstu, izvēlētās Trust Services kategorijas, auditora atzinumu, novērtējuma datumu vai periodu, izņēmumus un to, kā tiek traktētas apakšpakalpojumu organizācijas.

1. tips attiecas uz kontroļu izstrādi noteiktā datumā. 2. tips attiecas arī uz darbības efektivitāti noteiktā periodā. Neviens no tiem nesola, ka incidenti nevar notikt vai ka ir aptverta katra klienta konfigurācija.

Drošība ir iekļauta SOC 2 uzdevumos; pieejamība, apstrādes integritāte, konfidencialitāte un privātums ir atkarīgi no uzdevuma tvēruma. Uz drošību vērsts ziņojums automātiski neatbild uz pircēja jautājumiem par transakciju precizitāti vai pakalpojuma nepārtrauktību.

Izlasiet, kā tiek traktēti mākoņa mitinātāji un citas apakšpakalpojumu organizācijas. Izmantojot izslēgšanas (carve-out) pieeju, to attiecīgās kontroles tiek izslēgtas no piegādātāja auditora testēšanas. Tas pēc būtības nav nepieņemami, taču prasa izprast atkarību un tai pieejamo pārliecību.

Ja ziņojuma periods beidzās pirms nozīmīgas migrācijas vai iegādes, pajautājiet, kas mainījās. Vadības atjauninājums vai pārejas vēstule (bridge letter) var izskaidrot starpposmu, taču tā nav jauns neatkarīgs audita atzinums.

Sasaistiet konstatējumus ar savu faktisko atklātību

Ziņots izņēmums ir analīzes sākumpunkts, nevis automātisks noraidījums. Piekļuves pārskatīšanas kļūmei, kas ietekmē ražošanas administratorus, ir citas sekas nekā novēlotai izolēta iekšēja rīka pārskatīšanai.

Pajautājiet, kuras sistēmas un identitātes tika ietekmētas, cik ilgi stāvoklis pastāvēja, vai tika atklāta klientu informācija un kādas kompensējošās kontroles darbojās. Pēc tam pieprasiet novēršanas statusu un problēmai samērīgus pierādījumus.

Nošķiriet auditora testa izņēmumu no negatīva vai ierobežota atzinuma. Lasiet atzinumu un detalizētos rezultātus kopā, nevis klasificējiet katru novirzi kā vienu un to pašu problēmu.

Papildu lietotāju organizācijas kontrolēm (CUEC) jāpievērš tikpat liela uzmanība. Ja ziņojums pieņem, ka klienti konfigurē identitāšu federāciju, noņem aizgājušos lietotājus vai pārskata administratoru piekļuvi, šie uzdevumi kļūst par daļu no jūsu ieviešanas atbildības. Piešķiriet tos pirms palaišanas; pretējā gadījumā pārliecība var būt atkarīga no kontrolēm, kuras neviens nav ieviesis.

Lēmuma ierakstā jānorāda atklātība, pārskatītie pierādījumi, neatrisinātie jautājumi, nepieciešamās darbības un apstiprināšanas pilnvaras. Iepirkuma statuss „drošība apstiprināta” ir pārāk skops, lai izskaidrotu vēlāku lēmumu.

Jautājiet, kā drošība darbojas starp novērtējumiem

Lielajiem uzņēmumiem kā pircējiem nepieciešami pierādījumi, ka drošība turpinās arī pēc audita loga. Spēcīgākās atbildes sasaista apgalvojumu ar darbojošos procesu, nesenu artefaktu un atbildīgu personu.

Testēšanai jāizskaidro pārklājums un ierobežojumi

Ievainojamību skenēšana un ielaušanās tests atbild uz dažādiem jautājumiem. Skenēšana var identificēt zināmas nepilnības aktīvos; ielaušanās testēšana izpēta, vai nepilnības var izmantot noteiktā tvērumā. Neviens no tiem nesniedz pilnīgu pārliecību.

Noderīgs testēšanas kopsavilkums identificē vērtētāju, datumu, vidi, metodoloģiju, izņēmumus, konstatējumus un novēršanas statusu. Vairāku nomnieku pakalpojumam pircēji var pamatoti jautāt, vai tika pārbaudīta nomnieku izolācija un autorizācijas ceļi, nevis tikai tas, vai tika testēta publiskā pieteikšanās lapa.

Ne ISO 27001, ne SOC 2 nav vispārēja juridiski noteikta ielaušanās testa. Testēšanas vajadzības ir atkarīgas no riskiem, izvēlētajām kontrolēm un klientu prasībām. Vadītājiem jāfinansē pakalpojumam atbilstoša testēšana, nevis jāiegādājas dokuments tikai anketas apmierināšanai.

Novēršanai jābūt izsekojamai

Svarīgiem konstatējumiem parādiet atklāšanas datumu, smaguma pamatojumu, īpašnieku, mērķa datumu, ierobežošanu un slēgšanas pierādījumus. Paskaidrojiet termiņu pagarinājumus un pieņemto risku. Slēgts pieteikums viens pats nepierāda, ka nepilnība tika novērsta; atkārtota testēšana vai cita piemērota validācija apgalvojumu stiprina.

Neuzskatiet smaguma apzīmējumus par visu lēmumu. Atklātība internetā, izmantojamība, ietekmētā informācija un kompensējošie aizsardzības pasākumi var mainīt prioritāti. Pircējiem nepieciešams pietiekami daudz konteksta, lai saprastu šo argumentāciju.

Atbildībai jāsasniedz lēmuma pieņēmējs

Kopīga drošības pastkaste ir noderīga pieprasījumu pieņemšanai, taču tā neaizstāj atbildīgu īpašumtiesību. Nosauciet drošības vadītāju, attiecīgā pakalpojuma īpašnieku un eskalācijas ceļu līdz izpildvadībai. Personai, kas apspriež pārliecību, jāspēj izskaidrot lēmumus vai iesaistīt sarunā atbildīgo speciālistu.

Vadība joprojām ir atbildīga par novēršanas finansēšanu un būtisku atlikušo risku apstiprināšanu. Konsultants var konsultēt; ne konsultants, ne programmatūras abonements šo atbildību nenoņem.

Sagatavojiet pakalpojumam specifisku pārliecības paketi

Piegādātājiem jāuztur saskaņota pakete, nevis katram darījumam jāapkopo pretrunīgas atbildes. Iekļaujiet pašreizējo sertifikātu vai ziņojumu, tvēruma skaidrojumu, arhitektūras kontekstu, attiecīgos testēšanas kopsavilkumus, incidentu kontaktus, klienta ieviešanas pienākumus un apstiprinātas atbildes uz biežiem jautājumiem.

Katram elementam piešķiriet īpašnieku un pārskatīšanas datumu. Pārskatiet pēc būtiskām izmaiņām, kā arī pēc plānota ritma: jauns mitināšanas modelis, nozīmīgs apakšuzņēmējs vai nopietns incidents var padarīt citādi aktuālu atbildi maldinošu.

Kopīgojiet sensitīvas tehniskās detaļas, izmantojot atbilstošu piekļuves procesu. Pakāpeniska pieeja var vispirms sniegt vispārīgu pārskatu, pēc tam ierobežotus ziņojumus saskaņā ar konfidencialitātes noteikumiem un, ja nepieciešams, speciālistu papildjautājumus. Rediģējiet akreditācijas datus, nesaistītu klientu informāciju un nevajadzīgas izmantošanas detaļas, neslēpjot konstatējumus vai ierobežojumus.

Atvērts konstatējums ar skaidru īpašnieku un apstrādes plānu ir informatīvāks par neizskaidrotu pabeigšanas statusu. Atteikums publicēt pilnu ziņojumu pats par sevi nav pierādījums par vāju drošību; atteikums piedāvāt jebkādu jēgpilnu pārliecības ceļu ir pamats papildu izpētei.

Pārliecība arī neaizstāj juridisko analīzi. Saskaņā ar VDAR pārziņa un apstrādātāja līgumiem un uz risku balstītiem drošības pienākumiem nepieciešams savs novērtējums. SOC 2 ziņojums vai ISO 27001 sertifikāts nepierāda atbilstību VDAR vai NIS2.

Praktisks piemērs: klientu atbalsta platformas apstiprināšana

Apsveriet ilustratīvu lielu uzņēmumu, kas iegādājas SaaS atbalsta platformu. Pieņemsim, ka tajā glabāsies sarakste ar klientiem un kontu identifikatori, bet ne maksājumu karšu dati. Klienta administratori pārvaldīs piekļuvi ar federācijas palīdzību, un darbības pārtraukums aizkavētu atbalstu, nevis apturētu galvenās transakcijas.

Piegādātājs iesniedz derīgu ISO 27001 sertifikātu un SOC 2 2. tipa ziņojumu. Pārskatīšana noskaidro, ka sertifikāts aptver pakalpojuma darbību. SOC 2 ziņojums ietver drošību un pieejamību, taču tā mākoņa mitinātājam izmanto izslēgšanas pieeju. Viens izņēmums attiecas uz novēlotu darbinieka ražošanas piekļuves noņemšanu.

Pircējs pieprasa četrus mērķtiecīgus papildjautājumus: piekļuves noņemšanas laika grafiku, pierādījumus par laboto piekļuves atsaukšanas procesu, pārliecības ceļu mākoņa atkarībai un piedāvātajam pakalpojumam atbilstošus atjaunošanas testu rezultātus. Tas arī piešķir savu federācijas iestatīšanu un administratoru pārskatīšanu iekšējam īpašniekam.

Pieņemsim, ka piekļuves problēma ir atrisināta un validēta, taču atjaunošanas pierādījumi neatbalsta pircēja vēlamo atjaunošanas mērķi. Biznesa īpašnieks tad var izvēlēties pieņemt ilgāku darbības pārtraukumu, ieviest īstenojamu rezerves risinājumu vai noraidīt pakalpojumu. Iepirkums ietver saskaņotās nepārtrauktības saistības līgumā un ieplāno atkārtotu novērtējumu.

Nodevums ir nosacīts, pamatots apstiprinājums, nevis apgalvojums, ka piegādātājs ir bez riska. Sertifikāts palīdz radīt uzticību, savukārt papildjautājumi risina faktisko iegādi.

Piemērojiet tādu pašu rūpību, iegādājoties atbilstības atbalstu

Pakalpojumu sniedzējiem, kas palīdz jums sagatavoties pārliecībai, jāpaskaidro, ko ietver to piedāvājums: programmatūru, ieviešanas konsultācijas, pierādījumu pārskatīšanu, audita koordinēšanu vai to kombināciju. Pieprasiet nosauktus pienākumus un plānu, kas nodala jūsu darbu no viņu darba.

Uztveriet garantētu audita iznākumu kā brīdinājuma zīmi: pakalpojumu sniedzējs nekontrolē neatkarīgo vērtētāju. Arī ļoti īsiem termiņiem nepieciešams skaidrojums. Nobriedušai organizācijai ar iedibinātām kontrolēm ir cits darbs nekā organizācijai, kas sāk bez īpašumtiesībām, riska novērtējuma vai darbības pierādījumiem; nav godīga universāla sagatavošanās perioda.

Pajautājiet, kā plāns aptver tvērumu, riska apstrādi, iekšējo auditu, vadības pārskatu un pastāvīgu uzturēšanu. Veidnes var paātrināt dokumentēšanu, taču tās nevar pierādīt, ka process ir noticis. Iepriekš trūkstošiem pierādījumiem jākļūst par robu ar apstrādes plānu, nevis rekonstruētu vēsturi.

Vadībai jāvērtē atbalsts pēc tā, vai tas padara pienākumus un lēmumus skaidrākus, nevis pēc tā, cik pārliecinoši tas sola emblēmu.

Padariet nākamo pārliecības pārskatīšanu vieglāku

Izvēlieties vienu svarīgu pakalpojumu un saskaņojiet tā ārējos apgalvojumus ar tā faktisko tvērumu, pierādījumiem un neatrisinātajiem riskiem. Piešķiriet neatbilstībām īpašniekus, apstipriniet klientiem paredzēto formulējumu un nosakiet pārskatīšanas ritmu. Tas ir praktisks sākumpunkts gan piegādātājiem, kas gatavo paketi, gan pircējiem, kas dokumentē lēmumu.

Secani atbalsta šo darbplūsmu, modelējot pakalpojumus un atkarības, sasaistot pierādījumus ar prasībām un kontrolēm un pārvēršot robus uzdevumos ar īpašniekiem. Komandas var saglabāt saites uz avotiem, komentārus, apstiprinājumus un laika zīmogus ap pārskatīšanas lēmumiem; MI atbalstīti ieteikumi paliek melnraksta darbs līdz cilvēka pārskatīšanai. Izmantojiet mūsu GRC programmatūras ceļvedi, lai novērtētu, vai jūsu rīki atbalsta to pašu pieeju.

Vadības mērķis ir pamatojams pārskats par pakalpojumu: skaidras robežas, ar pierādījumiem pamatotas atbildes un skaidras īpašumtiesības uz to, kas vēl jāpaveic.