Доставчици
Управление на риска от доставчици
Голяма част от инцидентите идват през доставчик: ИТ поддръжка, облачна услуга, счетоводен софтуер. Законът изисква да управлявате този риск, а отговорността остава при Вас. Подреждаме доставчиците по критичност, проверяваме договорите им и въвеждаме ясен ред за приемане на нови доставчици.
Преди началото потвърждаваме писмено обхвата и цената.
Да обсъдим Вашия случайКога Ви е нужна тази услуга
- Работата Ви зависи от ИТ поддръжка, облачни услуги или външен софтуер.
- Договорите с доставчиците не казват нищо за сигурност или инциденти.
- Изцяло сте зависими от една фирма и не знаете как бихте я сменили.
Ползата за Вашата организация
- Знаете кои доставчици са критични и какво става, ако някой от тях спре.
- Знаете кои изисквания липсват в договорите на критичните доставчици и какво да предоговорите.
- Новите доставчици минават през ясна проверка, преди да получат достъп.
Пакет за риска от доставчици
До 20 доставчика: регистър и класификация по критичност, въпросник според критичността, проверка на договорите с най-много 5 критични доставчика и процедура за избор и одобряване на нов доставчик.
от 3 900 €обичайно 3–4 седмици
Текущ преглед
Годишен преглед на критичните доставчици, нови доставчици и промени в договорите като част от външната експертна роля.
от 1 400 € / месецв рамките на външната роля
Примерен резултат
Демонстрационен пример — не е реален клиент.
| Доставчик | Услуга | Критичност | Липси в договора |
|---|---|---|---|
| Доставчик А | Поддръжка на сървърите | висока | Уведомяване при инцидент, право на одит |
| Облачна услуга Б | Счетоводство и заплати | висока | Местоположение на данните, излизане |
| Доставчик В | Уебсайт | средна | — |
Какво изискват правилата
- Законът за киберсигурност изисква мерки за сигурността на веригата на доставки (чл. 22, ал. 2, т. 4). Трябва да се вземат предвид уязвимостите на всеки пряк доставчик, цялостното качество на продуктите и практиките му по сигурност, включително сигурната разработка (чл. 22, ал. 3).
- DORA (регламент на ЕС за цифровата оперативна устойчивост на финансовия сектор) изисква политика за риска от ИКТ (информационни и комуникационни технологии) трети страни, регистър на информацията за всички договори, оценка преди сключване на договор и документирани стратегии за излизане (чл. 28), както и задължителни клаузи в договорите (чл. 30). Отговорността не се прехвърля на доставчика.
- ОРЗД (Общ регламент относно защитата на данните) изисква договор с всеки обработващ лични данни от Ваше име (чл. 28).
Как протича
- Опис на доставчиците от договорите, счетоводството и ИТ: кой какво предоставя и до какви данни и системи има достъп.
- Класификация по критичност: кои услуги спират, ако доставчикът спре, и какъв е достъпът му.
- Въпросник според критичността и преглед на отговорите и доказателствата за критичните доставчици.
- Проверка на договорите на критичните доставчици: задължения по сигурността, уведомяване при инцидент, право на одит, подизпълнители, местоположение на данните и условия за прекратяване и смяна на доставчика.
Какво получавате
- Регистър на доставчиците с класификация по критичност.
- Оценка на критичните доставчици и списък на рисковете.
- Списък на липсващите изисквания в договорите, за да ги предоговорите. Правните текстове и преговорите са отделна следваща стъпка.
- Процедура за нов доставчик и за годишен преглед. За финансови субекти: насоки за стратегиите за излизане.
Модул: план за смяна на критичен доставчик
Ако сте изцяло зависими от една фирма: как се извеждат данните, как се прехвърля услугата към друг изпълнител и как работата продължава междувременно. Проверяваме дали планът е изпълним на практика. DORA изисква стратегии за излизане за критичните ИКТ услуги (чл. 28). Цената е по оферта.
Познаваме и другата страна: подготвяме ИКТ доставчици за проверките на банките. Вижте пакета за доставчик на банка.
Граници
- Това не е правен преглед на договорите.
- Проверка на място при доставчика се договаря отделно.
- Отговорността за риска от доставчици остава при Вашата организация.
Обща информация, не правно становище.