Jak prověřit dodavatele kybernetické bezpečnosti, než podepíšete smlouvu

Než s dodavatelem kybernetické bezpečnosti podepíšete smlouvu, prověřte 5 věcí: co přesně bude dělat, jaké přístupy potřebuje, jak dokládá vlastní zabezpečení, jak hlásí zjištění a incidenty a co se stane s vašimi daty po skončení smlouvy. Každou odpověď si vyžádejte písemně a porovnejte ji se smlouvou.

Záleží na tom, protože bezpečnostní dodavatel má do vaší firmy nezvykle široký dosah. Někteří ji jen hlídají zvenčí, jiní instalují agenty na každé zařízení, další mají administrátorské přístupy. Doporučení CISA pro zákazníky poskytovatelů řízených služeb to říká otevřeně: outsourcing správy IT „nezbavuje organizaci odpovědnosti za řízení rizik“.

Následující otázky se hodí pro monitorovací služby, penetrační testery, řízenou detekci a reakci (MDR) i konzultanty.

1. Nechte si srozumitelně popsat rozsah

Požádejte dodavatele, aby v jednom odstavci popsal, co bude dělat a co dělat nebude. Dobrá odpověď vyjmenuje aktiva (domény, rozsahy IP adres, aplikace, zařízení), činnosti (monitoring, testování, konfigurace, reakce) a jak často se budou provádět.

Zbystřete u:

• Vágních popisů typu „kompletní ochrana“ bez seznamu aktiv.
• Činností, které mění vaše systémy, bez jasně daného schválení.
• Výstupů, které jsou jen skóre nebo dashboard, bez vysvětlení jednotlivých zjištění.

2. Pochopte, jaké přístupy potřebuje a proč

Právě v přístupech se dodavatelé liší nejvíc. Ptejte se:

• Potřebujete přihlašovací údaje, přístup přes VPN, agenta nebo API klíč? K čemu přesně?
• Je přístup jen pro čtení, nebo může měnit nastavení?
• Je každý účet vázaný na konkrétní osobu, chráněný vícefaktorovým ověřením a zaznamenává se jeho činnost?
• Jak rychle ho můžeme zrušit?

CISA doporučuje omezit účty dodavatele na systémy, které spravuje, a nedávat je do administrátorských skupin. Pokud služba zvládne fungovat s menšími přístupy, dejte jí přednost. Některé služby, například monitoring vnější útočné plochy, nepotřebují přístupy vůbec (viz co je monitoring vnější útočné plochy).

3. Trvejte na písemném pověření pro jakékoli testování

Každá činnost, při které dodavatel vaše systémy zkoumá nebo testuje, vyžaduje vaše písemné pověření s přesnými cíli a časovým oknem. V USA upravuje neoprávněný přístup k počítači Computer Fraud and Abuse Act, 18 U.S.C. 1030, a jiné země mají podobné zákony.

Profesionální dodavatel si o tento dokument řekne dřív, než začne. Buďte opatrní u každého, kdo nabízí testování systémů, které nevlastníte, například webu partnera, nebo kdo začne skenovat dřív, než je vše podepsané. Napoví vám to i o tom, jak bude zacházet s cizími systémy, až bude pracovat pro vás.

4. Chtějte doklady a pak je ověřte

Tvrzení z prodejní prezentace nic nedokládají. Vyžádejte si:

• Nezávislé auditní zprávy nebo certifikace, pokud dávají smysl, například zprávu SOC 2 nebo certifikaci ISO/IEC 27001. Zkontrolujte rozsah: které služby a lokality pokrývají.
• Ukázkový report se zjištěními, abyste posoudili, zda by podle něj vaši vývojáři dokázali problémy opravit.
• Kdo zjištění posuzuje: odborník, nebo jen automat.
• Seznam subdodavatelů a místo, kde budou vaše data uložená.

Pak si sami rychle zkontrolujte, jak dodavatel vypadá zvenčí. Bezpečnostní firma by měla mít v pořádku aspoň základy:

dig +short TXT _dmarc.provider-example.com
curl -sI https://provider-example.com | grep -i -E "strict-transport|content-security"

Chybějící záznam DMARC nebo bezpečnostní hlavičky ještě nedokazují špatnou práci, ale je férové se na ně zeptat. Na co se dívat, vysvětlují naše články o SPF, DKIM a DMARC a o HTTP bezpečnostních hlavičkách.

5. Dohodněte se na hlášení, incidentech a ukončení

Zjištění a incidenty

Zeptejte se, jak se k vám zjištění dostanou: e-mailem, tiketem, telefonicky, přes portál? Kdo je dostane a jak rychle? Dobré zjištění uvádí, co bylo vidět, proč na tom záleží a přesný postup opravy.

U incidentů, které se vás týkají, zakotvěte ve smlouvě povinnost vás informovat. Pokud se na vás vztahuje NIS2 nebo dodáváte firmám, na které se vztahuje, prováděcí nařízení (EU) 2024/2690 (příloha, bod 5.1.4) uvádí smluvní podmínky, jako je oznamování incidentů bez zbytečného odkladu, právo na audit nebo na auditní zprávy, řešení zranitelností, pravidla pro subdodávky a povinnosti při ukončení. Jako šablona poslouží i firmám, na které se nařízení nevztahuje; viz NIS2 pro dodavatele.

Naplánujte konec ještě před začátkem

Zeptejte se, co se stane po skončení smlouvy:

• Jaká data o vás uchovává a jak vám je vrátí a smaže.
• Jak odstraní své přístupy, agenty a účty a jak si to můžete ověřit.
• Zda vám reporty a historie zůstanou k dispozici.
• Jaké jsou výpovědní lhůty a zda můžete přejít k jinému dodavateli, aniž byste přišli o své záznamy.

Krátký kontrolní seznam

• Rozsah písemně: aktiva, činnosti, četnost.
• Minimální přístupy, účty vázané na konkrétní osoby, vícefaktorové ověření, snadné zrušení.
• Písemné pověření před jakýmkoli testováním.
• Auditní zprávy nebo certifikace s ověřeným rozsahem.
• Ukázkový report s konkrétními kroky opravy, posouzený odborníkem.
• Podmínky oznamování incidentů ve smlouvě.
• Seznam subdodavatelů a místo uložení dat.
• Plán ukončení: vrácení dat, smazání a odebrání přístupů.

Jak pracuje Datahorses

Datahorses hlídá vaši firmu zvenčí každý den, vidí totéž co útočník a každé zjištění, které posoudí náš specialista, posílá s přesným postupem opravy. Do vašich systémů nevstupujeme a žádné přístupy nepotřebujeme, takže není co rušit. Přečtěte si, co hlídáme, časté otázky a o nás, nebo si před rozhodnutím prohlédněte celý ukázkový dashboard.