Wymogi ustawowe
Art. 8 ust. 2 znowelizowanej ustawy o KSC wskazuje, że system zarządzania bezpieczeństwem informacji musi uwzględniać bezpieczeństwo łańcucha dostaw produktów ICT, usług ICT i procesów ICT. Obowiązek ten odzwierciedla art. 21 dyrektywy NIS 2 i wynika z rosnącej liczby incydentów, których źródłem są podatności w oprogramowaniu lub sprzęcie dostarczanym przez podmioty trzecie. Szczególną uwagę należy zwrócić na niezależność systemów informacyjnych od pojedynczych dostawców oraz na klauzule KSC w kontraktach B2B z dostawcami.
Polityka bezpieczeństwa łańcucha dostaw
Każdy podmiot kluczowy i ważny powinien opracować i wdrożyć politykę bezpieczeństwa łańcucha dostaw. Dokument ten powinien określać zasady identyfikacji, oceny i zarządzania ryzykami związanymi z dostawcami produktów i usług ICT krytycznych dla działalności podmiotu, w tym dostawcami usług chmurowych.
- Inwentaryzacja dostawców ICT z podziałem na krytycznych i niekrytycznych
- Kryteria wyboru i oceny dostawców (certyfikacje, reputacja, lokalizacja)
- Procedury due diligence przed zawarciem umowy
- Okresowa ocena ryzyka dostawców (co najmniej raz w roku)
- Plan działania w przypadku utraty dostawcy krytycznego
- Uwzględnienie decyzji o dostawcy wysokiego ryzyka (art. 67b ustawy)
Wymagania umowne wobec dostawców
Umowy z dostawcami ICT powinny zawierać klauzule zapewniające odpowiedni poziom bezpieczeństwa. Ustawa i wytyczne ENISA wskazują na konieczność uwzględnienia w umowach konkretnych wymagań dotyczących ochrony informacji, reagowania na incydenty oraz prawa do audytu.
| Klauzula umowna | Opis |
|---|---|
| Poufność i ochrona danych | Zobowiązanie dostawcy do ochrony informacji podmiotu zgodnie z określonymi standardami |
| Zgłaszanie incydentów | Obowiązek niezwłocznego informowania o incydentach bezpieczeństwa dotyczących dostarczanych produktów/usług |
| Prawo do audytu | Uprawnienie podmiotu do przeprowadzenia audytu bezpieczeństwa u dostawcy |
| Weryfikacja personelu | Wymaganie sprawdzenia niekaralności pracowników dostawcy mających dostęp do systemów podmiotu |
| Zarządzanie podatnościami | Zobowiązanie dostawcy do terminowego dostarczania poprawek bezpieczeństwa |
| Podwykonawcy | Obowiązek uzyskania zgody na powierzenie prac podwykonawcom oraz stosowanie analogicznych wymagań |
Monitoring i przegląd dostawców
Wdrożenie polityki bezpieczeństwa łańcucha dostaw to dopiero początek. Podmiot musi prowadzić ciągły monitoring dostawców i okresowo weryfikować, czy spełniają oni wymagania bezpieczeństwa. Zaleca się przeprowadzanie przeglądu co najmniej raz w roku oraz po każdym istotnym incydencie bezpieczeństwa.
- Przeprowadź inwentaryzację wszystkich dostawców ICT i określ poziom krytyczności.
- Opracuj kryteria oceny bezpieczeństwa dostawców (ankieta, certyfikaty, wyniki audytów).
- Wprowadź wymagania bezpieczeństwa do wzorców umów z dostawcami.
- Monitoruj publicznie dostępne informacje o podatnościach w produktach dostawców.
- Reaguj na decyzje o uznaniu dostawcy za dostawcę wysokiego ryzyka.