Upravljanje rizikom dobavljača (vendor risk)

Tvrtka može uložiti u vlastitu sigurnost, postaviti vatrozid, uvesti dvofaktorsku autentifikaciju i naučiti zaposlenike prepoznati phishing, a da i dalje bude probijena kroz vrata koja nije ni gledala. Ta vrata su njezini dobavljači. Moderna tvrtka oslanja se na desetke vanjskih usluga: cloud platforme, pružatelje softvera, vanjski IT, računovodstvene servise, marketinške alate i platne sustave. Mnogi od njih imaju pristup njezinim podacima, sustavima ili mrežama. Svaki takav pristup je put koji napadač može iskoristiti. Ako dobavljač ima slabu sigurnost, ta slabost postaje i vaša.

Upravljanje rizikom dobavljača, poznato i kao upravljanje rizikom trećih strana ili rizikom lanca opskrbe, disciplina je koja taj rizik čini vidljivim i kontroliranim. Za reguliranu hrvatsku tvrtku to više nije dobra praksa nego zakonska obveza. NIS2, u Hrvatskoj prenesen kroz Zakon o kibernetičkoj sigurnosti, izričito traži upravljanje sigurnošću lanca opskrbe, a DORA financijskom sektoru postavlja detaljne i stroge obveze prema vanjskim pružateljima IKT usluga.¹ Ovaj tekst objašnjava zašto je dobavljač danas glavni vektor napada i kako rizikom upravljati kroz cijeli životni ciklus odnosa.

Ovo je dio našeg pregleda sigurnosnog programa. Upravljanje rizikom dobavljača vodimo kroz upravljanje, rizik i usklađenost.

Zašto je opskrbni lanac danas glavni vektor

Logika napadača je jednostavna. Velika, dobro branjena meta teško se probija izravno. No ta meta vjeruje desetcima manjih dobavljača, od kojih neki imaju širok pristup, a slabiju obranu. Napadač zato bira slabiju kariku. Probije pružatelja softvera ili upravljanog IT-a i kroz njegov legitiman pristup uđe u sve njegove klijente odjednom. Jedan kompromitiran dobavljač tako postaje ulaz u stotine organizacija.

Napadi na lanac opskrbe spadaju među prijetnje s najvećim učinkom upravo zato što jedan proboj umnaža posljedice na sve koji tom dobavljaču vjeruju.² Poznati primjeri pokazali su obrazac: kompromitirano ažuriranje legitimnog softvera distribuira se klijentima koji ga instaliraju s povjerenjem, ili probijeni pružatelj usluge daje napadaču pristup mrežama svojih klijenata. Obrana koju ste sami izgradili tu ne pomaže, jer napadač ulazi kroz kanal koji ste vi sami otvorili i kojem vjerujete.

Dodatni problem je vidljivost. Vlastite sustave nadzirete, znate tko se prijavljuje i što radi. Kod dobavljača nemate taj uvid. Vidite uslugu koju vam pruža, ali ne vidite kako njome upravlja, koga zapošljava, kako čuva pristupne podatke ni koje druge dobavljače sam koristi u pozadini. Taj manjak vidljivosti znači da rizik koji ulazi kroz dobavljača može dugo ostati nevidljiv. Cilj upravljanja rizikom dobavljača je upravo taj rizik izvući na vidjelo i staviti pod kontrolu prije nego što ga otkrijete kroz incident.

Rizik treće strane nije jedna stvar nego nekoliko različitih. Vrijedi ih razlikovati jer traže različite kontrole. Najvažnije vrste su sljedeće.

• Sigurnosni rizik: dobavljač ima slabu zaštitu, pa napadač kroz njega dolazi do vaših podataka ili sustava.
• Rizik dostupnosti: ispad dobavljača zaustavlja i vaše poslovanje, primjerice ako cloud platforma ili platni procesor padnu.
• Rizik usklađenosti: dobavljač obrađuje osobne podatke protivno GDPR-u, a odgovornost po zakonu ostaje i na vama kao voditelju obrade.
• Koncentracijski rizik: previše ključnih usluga oslanja se na istog pružatelja, pa njegov ispad ili proboj ima nesrazmjerno velik učinak.
• Rizik podizvođača: vaš dobavljač sam koristi druge dobavljače, pa se lanac nastavlja izvan vašeg vidnog polja (četvrta strana).

Životni ciklus upravljanja rizikom dobavljača

Upravljanje rizikom dobavljača nije jednokratan čin nego proces koji prati cijeli odnos, od prvog razgovora do raskida ugovora. Najčešća i najskuplja greška je provjeriti dobavljača jednom pri ulasku i zatim ga zaboraviti. Sigurnosno stanje dobavljača mijenja se kroz vrijeme: mijenja im se osoblje, sustavi, podizvođači i razina rizika. Sljedeći koraci čine puni životni ciklus.

1. 01
   Procjena prije ugovora

   Prije nego što dobavljač dobije pristup, odredite koliko je kritičan i koliko bi vam štetio njegov propust. Razina provjere mora biti razmjerna tom riziku.
2. 02
   Due diligence

   Provjerite stvarno sigurnosno stanje dobavljača kroz upitnike, dokaze i certifikate. Tražite dokaze, ne samo izjave.
3. 03
   Ugovorne sigurnosne klauzule

   Uredite ugovorom sigurnosne obveze, obvezu prijave incidenta u zadanom roku, zaštitu podataka, pravo na reviziju i obveze podizvođača.
4. 04
   Kontinuirani nadzor

   Pratite dobavljača kroz vrijeme: redovite ponovne procjene, praćenje incidenata i provjera da i dalje ispunjava ugovorene obveze.
5. 05
   Izlazna strategija

   Planirajte raskid unaprijed: povrat ili brisanje podataka, opoziv pristupa i prijenos usluge bez prekida poslovanja.

Procjena razmjerna važnosti dobavljača

Ne treba svaki dobavljač jednaku pažnju, i pokušaj da se svi tretiraju jednako samo troši resurse na pogrešnim mjestima. Pružatelj koji obrađuje vaše osobne podatke ili ima pristup ključnim sustavima traži temeljitu procjenu i jasne ugovorne obveze. Dobavljač bez pristupa osjetljivim podacima, primjerice usluga čišćenja ureda bez IT pristupa, traži minimalan napor. Klasifikacija dobavljača po kritičnosti prvi je korak i izravno proizlazi iz procjene rizika.

Korisno je dobavljače razvrstati u nekoliko razina. Kritični dobavljači, oni s pristupom osjetljivim podacima ili ključnim sustavima čiji bi ispad zaustavio poslovanje, traže najdublju provjeru, dokaze i pravo na reviziju. Srednja razina traži upitnik i pregled certifikata. Niska razina traži tek osnovnu provjeru. Tako napor i trošak odgovaraju stvarnom riziku, a to je i temelj cijelog upravljanja rizicima u tvrtki.

Kako ocijeniti dobavljača: upitnici, dokazi i certifikati

Ocjena dobavljača počiva na tri vrste informacija koje se nadopunjuju. Sigurnosni upitnik daje strukturiranu sliku, ali su to dobavljačeve vlastite izjave. Dokazi, poput izvještaja o penetracijskom testiranju, politika ili rezultata revizije, potvrđuju da izjave odgovaraju stvarnosti. Certifikati treće strane, prije svega ISO/IEC 27001, daju neovisnu potvrdu da dobavljač ima uspostavljen sustav upravljanja sigurnošću. Najpouzdanija ocjena kombinira sve tri.

Kod certifikata je ključno provjeriti opseg, a ne samo postojanje. ISO/IEC 27001 certifikat ne pokriva nužno cijelu uslugu koju vam dobavljač pruža: opseg je definiran u Izjavi o primjenjivosti, pa certifikat može vrijediti samo za jedan dio organizacije ili jednu lokaciju. Zato vrijedi tražiti i pregledati taj dokument, a ne se zadovoljiti time da dobavljač spomene certifikat. Isto vrijedi za SOC 2 izvještaj: provjerite je li riječ o tipu II, koji ocjenjuje kontrole kroz razdoblje, i obuhvaća li usluge koje vi zapravo koristite. Po našem iskustvu, najveći jaz nastaje upravo između onoga što certifikat formalno pokriva i onoga što klijent pretpostavlja da pokriva.

Tablica niže pokazuje glavne metode procjene, što svaka daje i koja su im ograničenja. Nijedna sama po sebi nije dovoljna za kritičnog dobavljača.

Koncentracijski rizik

Postoji opasnost koju klasična procjena pojedinog dobavljača lako previdi: koncentracija. Kada se previše ključnih usluga oslanja na istog pružatelja, ili kada svi vaši dobavljači u pozadini koriste istu cloud platformu, ispad ili proboj na jednoj točki ima učinak daleko veći od zbroja pojedinačnih rizika. Dobavljač koji je sam po sebi dobro osiguran i dalje predstavlja sistemski rizik ako o njemu ovisi prevelik dio vašeg poslovanja.

DORA u financijskom sektoru izričito prepoznaje koncentracijski rizik i traži da ga institucije nadziru i ograničavaju. No problem nije ograničen na financije. Svaka tvrtka treba znati ne samo tko su joj dobavljači, nego i gdje se ti dobavljači preklapaju i postoji li jedna točka čiji bi ispad srušio nesrazmjerno mnogo. Odgovor je raznolikost ključnih pružatelja i plan kontinuiteta poslovanja koji uzima u obzir scenarij ispada kritičnog dobavljača.

Što traže NIS2 i DORA

Upravljanje rizikom lanca opskrbe nije više izborno za regulirane tvrtke. NIS2, u Hrvatskoj prenesen kroz Zakon o kibernetičkoj sigurnosti, među mjerama upravljanja rizicima izričito navodi sigurnost lanca opskrbe i odnose s dobavljačima.¹ Obveznik mora uzeti u obzir ranjivosti svojih izravnih dobavljača i kvalitetu njihovih sigurnosnih praksi. To znači da provjera dobavljača prestaje biti dobrovoljna i postaje dio zakonske obveze koju nadzorno tijelo može provjeravati.

DORA, Uredba (EU) 2022/2554, ide još dalje za financijski sektor. Uvodi detaljan okvir za upravljanje rizikom trećih strana koje pružaju IKT usluge: obvezni registar ugovora, propisane minimalne ugovorne odredbe, kontinuirani nadzor, planove izlaza i nadzor nad kritičnim pružateljima na razini cijele EU. Za financijske institucije i njihove ICT dobavljače DORA pretvara dobre prakse upravljanja rizikom dobavljača u precizno propisane obveze.

Proboj kod vašeg dobavljača je vaš proboj. Povjerenje bez provjere samo je rizik koji još niste vidjeli.

Kako Raptoric pomaže

Pomažemo popisati i klasificirati dobavljače po kritičnosti, provesti procjenu prije ugovora i due diligence, postaviti sigurnosne ugovorne odredbe i uspostaviti kontinuirani nadzor umjesto jednokratne provjere. Sve to vodimo kroz upravljanje, rizik i usklađenost, usklađeno sa zahtjevima NIS2 i DORA-e. Kao neovisna firma ne prodajemo vam alate koje bismo onda sami ocjenjivali, nego dajemo objektivnu procjenu. Dogovorite uvodni razgovor.