Ako preveriť dodávateľa kybernetickej bezpečnosti pred podpisom zmluvy

Pri preverovaní dodávateľa kybernetickej bezpečnosti skontrolujte pred podpisom 5 vecí: čo presne bude robiť, aké prístupy potrebuje, ako preukazuje vlastnú bezpečnosť, ako hlási zistenia a incidenty a čo sa stane s vašimi dátami, keď zmluva skončí. Každú odpoveď si vyžiadajte písomne a porovnajte ju so zmluvou.

Záleží na tom, pretože bezpečnostný dodávateľ má do vašej firmy nezvyčajne veľký dosah. Niektorí vašu firmu len strážia zvonku, iní inštalujú agentov na každé zariadenie, ďalší majú administrátorské prístupové údaje. Odporúčania CISA pre zákazníkov poskytovateľov spravovaných služieb to hovoria priamo: outsourcing správy IT „nezbavuje organizáciu zodpovednosti za riadenie rizík“.

Nasledujúce otázky platia pre monitorovacie služby, penetračných testerov, spravovanú detekciu a reakciu (MDR) aj konzultantov.

1. Rozsah si dajte opísať zrozumiteľne

Požiadajte dodávateľa, aby v jednom odseku opísal, čo bude robiť a čo nie. Dobrá odpoveď pomenuje aktíva (domény, rozsahy IP adries, aplikácie, zariadenia), činnosti (monitoring, testovanie, konfigurácia, reakcia) a ako často.

Dávajte pozor na:

• Vágne opisy ako „úplná ochrana“ bez zoznamu aktív.
• Činnosti, ktoré menia vaše systémy, bez jasného kroku schválenia.
• Výstupy, ktoré sú len skóre alebo dashboard, bez vysvetlenia jednotlivých zistení.

2. Zistite, aké prístupy potrebuje a prečo

V prístupoch sa dodávatelia líšia najviac. Pýtajte sa:

• Potrebujete prístupové údaje, VPN, agenta alebo kľúč API? Na čo presne?
• Je prístup len na čítanie, alebo môže meniť nastavenia?
• Je každý účet menný, chránený viacfaktorovým overením a je jeho činnosť logovaná?
• Ako rýchlo ho vieme zrušiť?

CISA odporúča obmedziť účty dodávateľa na systémy, ktoré spravuje, a nedávať ich do administrátorských skupín. Ak služba zvládne fungovať s menšími prístupmi, uprednostnite takú možnosť. Niektoré služby, napríklad monitoring externej útočnej plochy, nepotrebujú žiadne (viac v článku čo je monitoring externej útočnej plochy).

3. Pri akomkoľvek testovaní trvajte na písomnom poverení

Na každú činnosť, ktorá vaše systémy skúma alebo testuje, musí mať dodávateľ vaše písomné poverenie s presnými cieľmi a časovým oknom. V USA spadá neoprávnený prístup k počítaču pod Computer Fraud and Abuse Act, 18 U.S.C. 1030, a iné krajiny majú podobné zákony.

Profesionálny dodávateľ si takýto dokument od vás vyžiada skôr, než začne. Buďte opatrní pri každom, kto ponúka testovanie systémov, ktoré nevlastníte, napríklad webu partnera, alebo kto začne skenovať skôr, než je čokoľvek podpísané. Už to prezrádza, ako bude zaobchádzať s cudzími systémami, kým bude pracovať pre vás.

4. Vyžiadajte si dôkazy a overte ich

Tvrdenia v predajnej prezentácii nie sú dôkazy. Vyžiadajte si:

• Nezávislé audítorské správy alebo certifikácie, kde to dáva zmysel, napríklad správu SOC 2 alebo certifikáciu ISO/IEC 27001. Skontrolujte ich rozsah: aké služby a pracoviská pokrývajú.
• Ukážkovú správu so zisteniami, aby ste posúdili, či by s ňou vaši vývojári vedeli pracovať.
• Informáciu, kto zistenia posudzuje: človek, alebo ide len o automatický výstup.
• Zoznam subdodávateľov a miesto, kde sú uložené vaše dáta.

Potom si sami rýchlo skontrolujte, ako dodávateľ vyzerá zvonku. Bezpečnostná firma by mala zvládnuť základy:

dig +short TXT _dmarc.provider-example.com
curl -sI https://provider-example.com | grep -i -E "strict-transport|content-security"

Chýbajúci záznam DMARC alebo chýbajúce bezpečnostné hlavičky ešte nedokazujú zlú prácu, ale opýtať sa na ne je férové. Na čo sa pozerať, vysvetľujeme v článkoch o SPF, DKIM a DMARC a bezpečnostných hlavičkách HTTP.

5. Dohodnite sa na hlásení, incidentoch a ukončení

Zistenia a incidenty

Opýtajte sa, ako sa k vám zistenie dostane: e-mailom, tiketom, telefonicky, cez portál? Kto ho dostane a ako rýchlo? Dobré zistenie povie, čo sa našlo, prečo na tom záleží a ako presne to opraviť.

Pri incidentoch, ktoré sa vás týkajú, si do zmluvy dajte povinnosť dodávateľa vás o nich informovať. Ak sa na vás vzťahuje NIS2 alebo predávate firmám, na ktoré sa vzťahuje, vykonávacie nariadenie (EÚ) 2024/2690 (príloha, bod 5.1.4) uvádza zmluvné podmienky ako oznamovanie incidentov bez zbytočného odkladu, právo na audit alebo na audítorské správy, riešenie zraniteľností, pravidlá subdodávok a povinnosti pri ukončení. Ako šablóna poslúži aj firmám, na ktoré sa nariadenie nevzťahuje. Viac v článku NIS2 pre dodávateľov.

Ukončenie si naplánujte pred začiatkom

Opýtajte sa, čo sa stane, keď zmluva skončí:

• Aké dáta o vás má a ako ich vráti a zmaže.
• Ako odstráni svoje prístupy, agentov a účty a ako si to môžete overiť.
• Či vám správy a história ostanú k dispozícii.
• Výpovedné lehoty a či môžete zmeniť dodávateľa bez straty záznamov.

Krátky kontrolný zoznam

• Rozsah písomne: aktíva, činnosti, frekvencia.
• Minimálne prístupy, menné účty, viacfaktorové overenie, jednoduché zrušenie.
• Písomné poverenie pred akýmkoľvek testovaním.
• Audítorské správy alebo certifikácie so skontrolovaným rozsahom.
• Ukážková správa s praktickými krokmi opravy, posúdená človekom.
• Podmienky oznamovania incidentov v zmluve.
• Zoznam subdodávateľov a miesto uloženia dát.
• Plán ukončenia: vrátenie dát, zmazanie a odstránenie prístupov.

Ako pracuje Datahorses

Datahorses stráži vašu firmu každý deň zvonku. Vidíme to, čo vidí útočník, každé zistenie posúdi človek a vy ho dostanete s presnými krokmi opravy. Do vašich systémov nevstupujeme a nepotrebujeme žiadne prístupy, takže pri ukončení nie je čo rušiť. Pred rozhodnutím si prečítajte, čo strážime, časté otázky a o nás, alebo si pozrite celý ukážkový dashboard.