Защо първото ви събитие по съответствие е клиент, а не надзорен орган
За малък доставчик клиентският въпросник може да е първият структуриран преглед на сигурността. Краткият срок не отменя проверката на отговорите.
Тази таблица не е ентусиазъм. Тя е задължение на самия клиент, прехвърлено едно ниво надолу по веригата. Чл. 21, § 2, б. „г“ от NIS2 включва сигурността на веригата на доставки в мерките за управление на риска, а § 3 изисква субектът да отчита уязвимостите, специфични за всеки пряк доставчик. За финансовите субекти чл. 28–30 от DORA прави същото по-строго, с предписано съдържание на договора. А от 2018 г. чл. 28 от ОРЗД изисква администраторът да работи само с обработващи, които предоставят достатъчни гаранции — изискване, за което въпросниците подпомагат проверката, но сами не установяват достатъчни гаранции.
Тоест човекът отсреща не проверява характера ви. Той събира доказателството, че ви е проверил. Ако сте доставчик на банка, енергийно дружество или болница, прочетете какво означава това от страната на доставчика, преди да отговаряте, а дали самата ви организация попада пряко в обхвата е отделен въпрос с различен отговор.
Какво всъщност проверява купувачът
Зад всеки блок въпроси стоят три притеснения. Те се повтарят често.
Можем ли да загубим данни през вас. Достъп, криптиране, служители, подизпълнители, къде стоят данните.
Ако вие спрете, кога ние тръгваме отново. Резервни копия, изпитано възстановяване, непрекъснатост, зависимост от един човек, изход и връщане на данните.
Можем ли да докажем пред собствения си одитор, че сме ви проверили. Дати, документи, доказателства, право на одит.
Доказателствата помагат на купувача да оцени твърдението. Например датиран експорт от Conditional Access показва настройките. Сам по себе си той не доказва ефективното покритие на MFA: включете изключенията, резултати от входове и тестове според твърдението. Критериите на купувача определят оценката; нито един документ не гарантира максимални точки.
Защо „да“, което не можете да докажете, е договорен риск
Проблемът почти никога не е съзнателна лъжа. Проблемът е, че човекът от продажбите попълва раздела за сигурност в четвъртък вечер и слага „да“ навсякъде, където контролът горе-долу съществува.
Проследете това отметване напред. Отговорите редовно се прилагат към договора като приложение или се преповтарят като декларации и гаранции. От този момент „да, резервните копия са криптирани“ вече не е оптимистичен отговор, а клауза. Ако последва инцидент, тази таблица е първият документ, който адвокатът отсреща чете, и разликата между написаното и настроеното е целият казус. Чл. 28, § 3, б. „з“ от ОРЗД дава на администратора и право на одит, така че твърдението е проверимо по замисъл.
Определете един отговорник за отговора с достъп до техническите собственици. Ако доказателството още не е намерено, отбележете вътрешно „чака проверка“. „Частично“ използвайте при действително частично покритие; скоростта на намиране на файл не определя дали контролът съществува.
Блок по блок: какво стои зад въпросите
Всеки въпросник преподрежда един и същ материал. Отговорите по-долу са илюстративни — вие ще напишете своите с реални дати — но формата е важната част.
| Блок въпроси | Какво всъщност пита купувачът | Добър честен отговор, когато контролът го няма |
|---|---|---|
| Политики, роли, управление | Отговаря ли изобщо някой тук и мога ли да сложа в преписката документ с дата | „Нямаме утвърдена политика за информационна сигурност. Решенията по сигурността са на управителя, промените в достъпа се записват в системата за заявки. Писмена политика влиза за утвърждаване през [месец].“ |
| Контрол на достъпа, MFA, напускащи | Ако ваш служител си изгуби паролата, губим ли данни | „MFA е задължителна за пощата и административната конзола, още не и за [система]. До вашите данни имат достъп трима поименни инженери. Отписването на напускащи е ръчно и се проверява от [роля] в рамките на един работен ден.“ |
| Местоположение на данните, подизпълнители, трансфери | Къде физически стоят данните ни и кой друг ги пипа | „Данните се съхраняват в [регион]. Двама подизпълнители: [А] и [Б]. Нямаме автоматично уведомяване при промяна; ще поемем договорно задължение за писмено предизвестие от 30 дни.“ |
| Резервни копия, възстановяване, непрекъснатост | Ако изчезнете в понеделник, кога работим пак | „Резервни копия се правят всеки ден и се пазят 30 дни. Пълно възстановяване не сме изпитвали. Първият тест е насрочен за [дата] и ще ви изпратим резултата.“ |
| Реакция при инциденти и уведомяване | Ще ни кажете ли достатъчно бързо, за да спазим собствените си срокове от 24 и 72 часа | „Нямаме писмен план за реакция. Поемаме договорно задължение да уведомим писмено вашето лице за контакт без ненужно забавяне след узнаване за инцидент с ваши данни, по договорения канал и в рамките на приложимия договорен краен срок. Планът е със срок [месец].“ |
| Уязвимости, актуализации, тестове | Знаете ли какво работи при вас и поправяте ли го | „Работните станции се обновяват автоматично, сървърите — ръчно, всеки месец. Никога не сме правили външен тест за проникване. Планираме го за [тримесечие] и ще споделим обобщението.“ |
| Сертификати и право на одит | Мога ли да затворя преписката, без сам да върша работата | „Нямаме ISO/IEC 27001 и нямаме доклад SOC 2. Вместо това предлагаме договорно право на одит и годишен пакет доказателства на фиксирана дата.“ |
Как да отговорите, когато контролът още го няма
Четири части, в този ред, и нищо повече.
Заявете състоянието направо. „Не. Нямаме това.“ Без омекотяващи глаголи, без „в процес сме на проучване“.
Кажете конкретно какво правите вместо него. Компенсиращият контрол е същината на отговора. Двама поименни души с MFA струват повече от политика, която никой не чете, и купувачът го знае.
Оразмерете реалната експозиция точно на този клиент. Често тя е много по-малка, отколкото въпросът подсказва, защото данните му минават през три системи, а не през трийсет. Кажете го.
Дайте една дата и една отговорна роля — и то дата, която ще спазите. Пропуснат ангажимент в досието на доставчик тежи повече от първоначалната липса.
Попитайте кои пропуски са задължителни условия за сделката и кои могат да бъдат уредени с план. Някои купувачи приемат компенсиращи мерки, други нямат тази възможност. Ясен обхват и реалистичен ангажимент подпомагат преговорите, без да гарантират приемане.
Отговорете веднъж, за да е евтин петият въпросник
Първият въпросник е скъп, защото правите археология. Останалите не е нужно да бъдат.
Изградете библиотека с отговори: въпросът, вашият канонизиран отговор, доказателството, датата на последната проверка, отговорникът. Една папка, с версии, всеки файл с дата.
Кратък обзор на сигурността може да намали повторенията. Уточнете дали купувачът го приема към или вместо определени блокове. Споделяйте чувствителните доказателства по договорен ред.
Проверявайте наново по график — веднъж на тримесечие и при всяка промяна на система, подизпълнител или ключов човек. Скорост без проверка произвежда само уверени грешни отговори.
Използвайте неотговорените редове като вход към плана за сигурност заедно с бизнес риска и правните задължения. Често искан контрол е търговски сигнал, но не автоматично най-високият риск. Evidence Sprint може да помогне за подреждането на пропуските и доказателствата.
Въпросникът измерва твърденията ви, не това, което издържа
Всеки въпросник е самооценка. Той описва декларирани контроли, а декларираните контроли се чупят тихо. MFA е включена, а нападателят преиграва открадната сесия. Задачата за резервно копие свети зелено, а възстановяване никога не е опитвано. Процедурата за напускащи съществува, а трима бивши подизпълнители още имат акаунти. Нищо от това не се вижда в таблица, защото таблицата не може да опита нищо.
Точно тази разлика — между „контролът е конфигуриран“ и „контролът издържа при опит“ — е мястото, където живеят инцидентите.
Купувачите започват да го забелязват. Все по-често вместо отметка искат скорошен доклад от тест за проникване, доказателство за изпитано възстановяване, външна атестация или достъп за четене до жива страница със състоянието на контролите. Чл. 30, § 3 от DORA вече изисква финансовите субекти да си осигурят права на достъп, проверка и одит за услугите, поддържащи критични или важни функции. Това очакване няма да остане само във финансовия сектор.
Практическото следствие е малко и евтино: проверете твърдението, преди да го напишете. Възстановете едно резервно копие. Вижте кой днес реално има административен достъп. Опитайте се да изпратите имейл, който изглежда от вашия домейн, и вижте дали ще бъде доставен. Чак тогава отговаряйте.
Безплатен Excel образец: отговори и доказателства
Изтеглете работния образец за въпросник (Excel). Това е шаблон за управление на отговорите, а не признат стандарт за оценка или попълнено твърдение за вашата организация. Празният работен лист и отделните измислени примери показват как всеки отговор се свързва с обхват, подкрепящ запис, отговорник и одобрение.
Запазете въпроса и идентификатора на клиента непроменени. Напишете предложения отговор и уточнете услугата, системите и изключенията, за които важи. Добавете препратка към доказателство и дата на неговия преглед. Препратката може да води към контролирано хранилище; чувствителният документ не трябва непременно да е в самата таблица. Използвайте полето за пропуск и действие при липсващи контроли, с отговорник и целева дата.
Полето за готовност проверява попълването на основните полета, включително одобрението и датата му. То не оценява истинността, правната достатъчност или ефективността на контрола. Попълнен ред може да съдържа грешен отговор. Проверяващият трябва да прегледа доказателството и ангажиментите преди одобрение на крайната версия за клиента.
Например „MFA е включено“ изисква определена група акаунти и изключения. Твърдението, че всички акаунти са проверени, изисква записи за цялата посочена група. Примерният лист умишлено използва частичен отговор, за да не се обърква планирана промяна с работещ контрол.
Използвайте един ред за клиентски въпрос или разделете съставен въпрос с проследими подномера. Образецът има 50 работни реда. При по-голям въпросник разширете таблицата и копирайте формулата за готовност и проверките на стойности в новите редове, след което ги проверете. Запазете одобрения файл и точните изпратени приложения. Преглеждайте повторно използваните отговори при промяна на услугата, доказателствата или въпроса.
Сертификатът може да подкрепи отговор в сертифицирания си обхват, но не заменя всеки поискан оперативен запис. За въпрос за отнемане на достъп ръководството за проверка при напускане показва какво установява датираното изпитване.
Какво да направите първо
- Определете един отговорник за въпросника. Човек с достъп до ИТ и до управлението, който не затваря продажбата.
- Прочетете всички редове, преди да отговорите на който и да е. Маркирайте всеки с „да“, „не“, „частично“ или „неприложимо“ с причина. Не започвайте да пишете от първия ред.
- За всяко „да“ назовете файла, който го доказва. Ако не е наличен, проверете фактите преди окончателния отговор.
- Проверете трите твърдения, които е най-вероятно да бъдат изпитани: MFA върху административния достъп, едно реално възстановяване и днешният списък на хората, които стигат до данните на клиента.
- Напишете редовете с „още не“ по четиричастната структура по-горе и ги дайте за прочит на човек, който не е участвал.
- Преди да изпратите, съберете отговорите, доказателствата и датите на едно място. Активът е това, а не самият отговор.
Границата
Щом отговор от въпросника влезе в договора, той е правно задължение. Декларациите, гаранциите, таваните на отговорността и конкретният срок за уведомяване са работа за юрист, не за човека, който попълва таблицата.
Попълването на въпросник не е и сертификация. Ако клиентът наистина изисква ISO/IEC 27001 или SOC 2, това е отделна програма с акредитиран сертифициращ орган или одитор, със собствен график. Добре написан текст не я съкращава.
Ако точките, в които засядате, са редовете за поща, домейн и подправяне на подателя — SPF, DKIM, DMARC, кой може да изпраща от ваше име — нашият Одит на доверието отговаря на тях с доказателства, които можете да приложите към таблицата, а как изглеждат тези доказателства можете да видите предварително.
Бележка: обща информация, а не правен съвет. Приложимостта зависи от конкретния субект, дейността, лиценза, размера, груповата структура и националното въвеждане.
За структура, която се използва повторно, вижте ръководството за доказателства към въпросник. За помощ по целия въпросник вижте услугите на Диасол; одитът на домейн покрива пощенските въпроси в собствения си обхват.