Dostawca sprzętu, oprogramowania lub usług ICT może wpływać na ciągłość działania firmy, ochronę danych i bezpieczeństwo procesów. Dlatego przed podpisaniem umowy warto sprawdzić nie tylko funkcje produktu, lecz także sposób jego tworzenia, utrzymania i zabezpieczenia. Dotyczy to zarówno usług chmurowych i oprogramowania, jak i sprzętu, usług zarządzanych oraz dostawców mających dostęp do systemów przedsiębiorstwa.
Ankieta bezpieczeństwa dostawcy ICT jest praktycznym narzędziem zbierania informacji, ale nie stanowi gwarancji bezpieczeństwa ani samodzielnego dowodu spełnienia obowiązków prawnych. Powinna być częścią szerszego due diligence i zarządzania ryzykiem łańcucha dostaw. W tym procesie liczą się również dowody, analiza umowy, ocena techniczna, audyt oraz monitorowanie zmian, incydentów i podatności.
Dlaczego warto oceniać dostawców ICT przed podpisaniem umowy
Organizacja może być zależna od dostawcy bardziej, niż wynika to z samej umowy. Awaria usługi, problem z aktualizacją, podatność komponentu albo niejasna odpowiedzialność podwykonawcy mogą wpływać na dostępność procesów, poufność informacji i integralność danych. Ryzyko nie dotyczy więc wyłącznie gotowego produktu. Może powstać także podczas jego projektowania, integracji, utrzymania lub w kolejnych poziomach łańcucha dostaw.
Ocena przed zakupem pomaga uporządkować decyzję i ustalić, czy deklarowane zabezpieczenia odpowiadają znaczeniu dostawcy dla firmy. Zakres analizy powinien być proporcjonalny. Dostawca mający szeroki dostęp do systemów lub danych, od którego zależy krytyczny proces, wymaga innego podejścia niż narzędzie o niewielkim wpływie na działalność.
Warto pamiętać, że ankieta nie zastępuje analizy technicznej, umowy, audytu ani monitorowania. Nie należy też umieszczać w formularzu szczegółowych konfiguracji, danych dostępowych czy niepublicznych adresów systemów, jeżeli nie jest to konieczne i odpowiednio zabezpieczone.
Jak zbudować ankietę bezpieczeństwa dostawcy ICT
Formularz powinien zaczynać się od informacji pozwalających zrozumieć rolę dostawcy. Należy opisać produkt lub usługę, zakres przetwarzanych danych, poziom dostępu do systemów oraz zależność operacyjną. Dopiero na tym tle można właściwie interpretować odpowiedzi dotyczące zabezpieczeń.
Podstawowe obszary pytań
Praktyczna ankieta bezpieczeństwa dostawcy ICT może obejmować następujące obszary:
- Identyfikacja dostawcy: jego rola w łańcuchu dostaw, własność, kontrola lub wpływ oraz lokalizacja działalności.
- Produkt albo usługa: zakres funkcji, rodzaj przetwarzanych danych, poziom dostępu i zależności od innych systemów.
- Łańcuch podwykonawców: wykorzystywane komponenty, podwykonawcy oraz dalsze zależności istotne dla bezpieczeństwa.
- Bezpieczny rozwój i utrzymanie: sposób tworzenia, testowania, aktualizowania i wdrażania produktu lub usługi.
- Podatności i incydenty: sposób ich wykrywania, obsługi, ujawniania oraz komunikowania klientom.
- Odporność: ciągłość działania, odtwarzanie, kopie zapasowe oraz postępowanie w sytuacjach zakłóceń.
- Kontrola dostępu i ochrona danych: zasady dostępu, szyfrowanie i zabezpieczenia dopasowane do modelu usługi.
- Dowody: raporty audytowe, certyfikaty, dokumentacja bezpiecznego rozwoju lub procedury reagowania na incydenty.
Pytania powinny być dopasowane do konkretnego dostawcy. Nie każda odpowiedź wymaga takiego samego poziomu dokumentacji, ale sama deklaracja nie powinna automatycznie oznaczać potwierdzenia zabezpieczenia. Wymagania dowodowe warto powiązać z krytycznością usługi, dostępem do danych i możliwością zastąpienia dostawcy.
Kategorie pytań inspirowane projektem Ministerstwa Cyfryzacji i wytycznymi NIST
Ministerstwo Cyfryzacji opublikowało projekt ankiety bezpieczeństwa łańcuchów dostaw, który ma wspierać pozyskiwanie od dostawców sprzętu, oprogramowania i usług ICT informacji o stosowanych środkach cyberbezpieczeństwa. Materiał może być bazowym zestawem pytań, lecz jest projektem konsultacyjnym i może ulec zmianie. Nie należy przedstawiać go jako ostatecznego ani powszechnie obowiązkowego formularza dla każdej firmy.
Użytecznym punktem odniesienia są również obszary due diligence wskazywane przez NIST: własność, kontrola lub wpływ, pochodzenie, odporność, podstawowe praktyki cyberbezpieczeństwa oraz poziomy łańcucha dostaw. Pozwalają one spojrzeć na dostawcę szerzej niż tylko przez pryzmat funkcjonalności produktu.
Od ogólnych obszarów do pytań operacyjnych
Ogólny obszar trzeba przełożyć na pytania dotyczące konkretnej usługi. Przy pochodzeniu warto ustalić, z jakich komponentów i zależności korzysta produkt oraz gdzie powstają istotne elementy rozwiązania. Przy odporności należy pytać o zależności operacyjne, utrzymanie usługi i sposób reagowania na zakłócenia. Przy praktykach bezpieczeństwa warto żądać informacji o podatnościach, aktualizacjach, dostępie i incydentach.
Formularz powinien obejmować także proces rozwoju, integracji i utrzymania. Ryzyko może powstać na każdym z tych etapów, a nie tylko w chwili dostarczenia produktu. Warto oddzielić odpowiedź dostawcy od wskazanego dowodu i wewnętrznej interpretacji przedsiębiorstwa.
Jak porównywać odpowiedzi i klasyfikować ryzyko
Porównywanie dostawców warto rozpocząć od określenia ich krytyczności. Znaczenie mają wpływ na poufność, integralność i dostępność danych oraz procesów, zakres dostępu, zależność operacyjna, możliwość zastąpienia dostawcy i obecność podwykonawców. Dopiero później można interpretować kompletność odpowiedzi i jakość przedstawionych dowodów.
Praktyczna ocena może rozdzielać prawdopodobieństwo wystąpienia problemu od jego wpływu na organizację. Brak dowodu należy oznaczyć osobno, ponieważ nie jest tym samym co potwierdzony brak zabezpieczenia. Organizacja może następnie przyjąć własne kategorie, na przykład: ryzyko akceptowalne, wymagające działań, wymagające dodatkowych zabezpieczeń albo nieakceptowalne.
Jednolite kryteria i dowody
Do dostawców o podobnym profilu należy stosować te same kryteria, skalę i wymagania dowodowe. Dzięki temu wynik nie będzie zależeć wyłącznie od sposobu wypełnienia formularza. W karcie oceny warto zapisać osobno:
- odpowiedź dostawcy;
- dowód lub jego brak;
- interpretację organizacji;
- wpływ na poziom ryzyka;
- wymagane działanie korygujące.
Nie istnieje jeden uniwersalny, obowiązkowy system punktacji wynikający z przywołanych źródeł. Ewentualny scoring jest metodą organizacyjną. Wysoka liczba pozytywnych odpowiedzi nie oznacza automatycznie braku ryzyka. Wynik powinien prowadzić do decyzji, planu działań, dodatkowych zabezpieczeń albo odrzucenia współpracy, zależnie od sytuacji.
Wymagania cyberbezpieczeństwa w umowie i SLA
Wynik ankiety powinien znaleźć odzwierciedlenie w umowie lub SLA, jeżeli wymaga tego model współpracy i poziom ryzyka. Zapisy powinny opisywać nie tylko oczekiwany poziom ochrony, lecz także obowiązki, dowody i sposób komunikacji. Zakres wymagań trzeba dopasować do produktu, usługi, dostępu do danych oraz obowiązujących regulacji.
Od odpowiedzi w ankiecie do zapisów umownych
W umowie warto rozważyć następujące obszary:
- wymagania cyberbezpieczeństwa dla produktu lub usługi oraz zasady ochrony danych, dostępu i ciągłości działania;
- zgłaszanie incydentów bez zbędnej zwłoki i współpracę przy reagowaniu;
- obsługę, ujawnianie i usuwanie podatności;
- wymagania wobec podwykonawców oraz informowanie o istotnych zmianach w łańcuchu dostaw;
- prawo do audytu albo otrzymywania odpowiednich raportów;
- kompetencje i szkolenia personelu, jeżeli są istotne dla usługi;
- zasady zakończenia współpracy, w tym zwrot lub usunięcie danych, jeśli wynika to z modelu usługi.
Rozporządzenie wykonawcze Komisji (UE) 2024/2690 wskazuje takie elementy w kontekście określonych kategorii podmiotów. Nie stanowi jednak bezpośrednio obowiązującego wzoru umowy dla każdej firmy. Klauzule powinny zostać zweryfikowane przez osoby odpowiedzialne za bezpieczeństwo, zakupy, ochronę danych i prawo.
Dokumentowanie oceny i monitoring po rozpoczęciu współpracy
Ocena dostawcy nie powinna kończyć się w dniu podpisania umowy. Usługa może się zmienić, pojawić się nowy podwykonawca, wzrosnąć zakres dostępu albo wystąpić incydent. Dlatego potrzebny jest rejestr, właściciel oceny i sposób aktualizacji informacji.
Minimalny zakres karty oceny
Dla każdego dostawcy warto prowadzić kartę zawierającą:
- zakres produktu, usługi lub procesu;
- właściciela biznesowego i poziom krytyczności;
- datę oraz wersję ankiety;
- odpowiedzi dostawcy i zebrane dowody;
- wynik oceny oraz decyzję akceptacyjną;
- zidentyfikowane ryzyka i plan działań korygujących;
- datę kolejnego przeglądu oraz punkty kontaktowe.
Rozporządzenie wykonawcze UE wskazuje także na potrzebę utrzymywania aktualnego rejestru bezpośrednich dostawców i usługodawców wraz z informacjami o dostarczanych produktach, usługach i procesach, gdy ma to zastosowanie. Ocenę należy aktualizować po istotnej zmianie usługi, systemu, podwykonawcy, lokalizacji przetwarzania, poziomu dostępu, incydencie, poważnej podatności albo zmianie wymagań.
Źródła nie ustanawiają jednej częstotliwości przeglądów dla wszystkich organizacji. Powinna ona zależeć od krytyczności dostawcy i dynamiki ryzyka. Rejestr oraz dowody trzeba chronić przed nieuprawnionym dostępem.
Ograniczenia i bezpieczne stosowanie ankiety
Ankieta bezpieczeństwa dostawcy ICT porządkuje informacje, ale nie zastępuje audytu, testów, analizy umowy, oceny technicznej ani monitorowania incydentów i podatności. Jej wynik jest tak użyteczny, jak aktualność odpowiedzi, jakość dowodów i kompetencje osób dokonujących interpretacji.
NIS2 oraz rozporządzenie wykonawcze Komisji nie oznaczają identycznych obowiązków dla każdej polskiej firmy. Zakres zastosowania zależy między innymi od sektora, statusu podmiotu i krajowych przepisów wdrażających. Przed zastosowaniem formularza albo sformułowaniem klauzul trzeba sprawdzić aktualność stanu prawnego i regulacyjnego. Nie należy również przesądzać na podstawie samej ankiety, że przedsiębiorstwo spełnia określone obowiązki.
Dobra ocena rozdziela fakty, deklaracje i dowody. Powinna być proporcjonalna do ryzyka, konsultowana z właściwymi osobami i aktualizowana po zmianach. Szczególnej ostrożności wymagają dostawcy krytyczni, mający dostęp do danych lub systemów oraz zależni od rozbudowanego łańcucha podwykonawców.
Podsumowanie: Dobrze przygotowana ankieta obejmuje dostawcę, produkt lub usługę, podwykonawców, pochodzenie komponentów, proces rozwoju, zabezpieczenia, podatności, incydenty i dowody. Odpowiedzi trzeba interpretować przez pryzmat krytyczności, wpływu na procesy oraz możliwości zastąpienia dostawcy, a następnie przełożyć na działania i wymagania umowne. Ocena powinna być udokumentowana, oparta na jednolitych kryteriach i aktualizowana po istotnych zmianach, incydentach lub podatnościach. Sprawdź inne materiały Łączy nas Biznes i rozwijaj firmę w oparciu o praktyczną, aktualną wiedzę.
