stranka sprašuje, kateri dobavitelji imajo dostop do naših sistemov

To vprašanje povezuje varnost dobavne verige in nadzor dostopa

Naročnik pravzaprav želi hkrati vedeti dve stvari: kateri dobavitelji imajo tehnični dostop do sistemov in ali je to načrt dostopa nadzorovana. To se neposredno dotika načrt dostopa vključno z upravljanjem sredstev — tam je navedeno, kdo sme kaj in s katerimi pravicami. Dobavitelj, ki se na daljavo prijavi v sistem, nudlja oddaljeno podporo ali obdeluje podatke v lastni aplikaciji, spada pod ta odgovor.

Ne gre samo za IT-dobavitelje v klasičnem pomenu. Računovodski biro z vpogledom v finančni sistem, gostujočo stran, SaaS-orodje, v katerem so podatki strank: to so vsi zunanji subjekti z dostopom. Ali vprašanje gleda tudi na zahteve, ki jih podjetje samo sebi postavlja pri teh dobaviteljih — po pogodbi, tehnično, glede pravice revizije — je odvisno od formulacije v vprašalniku. Pogosto je to ločeno vprašanje, ki se navezuje na varnostne zahteve, ki jih podjetje postavlja svojim dobaviteljem. Brez sodobnega pregleda zunanjega dostopa — seznama dobaviteljev z vrsto dostopa za vsak subjekt — ni izvornega dokumenta, na katerega bi temeljil ta odgovor, in potem odgovora še ni mogoče izpolniti.

Kje je to med desetimi ukrepi

Načrt dostopa in varnost dobavne verige sta dva ločena ukrepa med desetimi iz člena 21(2) Direktive NIS2: varnost verige je v točki d, nadzor dostopa in upravljanje sredstev pa v točki i. ISO/IEC 27001 to podobno deli v Dodatek A z ločenimi kontrolami za razmerja z dobavitelji in za nadzor dostopa. Kdor dobi to vprašanje iz Zakona o kibernetski varnosti, nizozemske implementacije NIS2, lahko pričakuje, da se oba vidika — kdo ima dostop in ali je to nadzorovano — posebej pojavita na seznamu.