TPRMaaS
Obvladovanje tveganj dobaviteljev
Vaši dobavitelji so del vaše napadalne površine, od ZInfV-1 naprej pa tudi del vaše pravne odgovornosti. Popišemo jih, ocenimo in jih spremljamo naprej — dobavitelj, ki je bil ob podpisu varen, naslednje četrtletje morda ni.
Pot noter redko vodi skozi glavna vrata
Večina organizacij zna našteti svoje dobavitelje. Zelo malo jih zna povedati, kateri od njih hrani njihove podatke, kateri ima oddaljen dostop do njihovega omrežja in kaj se z enim ali drugim zgodi, če pride pri dobavitelju do vdora. Varnost dobavne verige je zdaj izrecna zahteva slovenskega zakona in prav nanjo so organizacije najslabše pripravljene, ker je delo bolj administrativno kot tehnično.
Kaj dobite
- Popoln popis tretjih oseb, vključno s tistimi, ki se jih ni nihče spomnil
- Ocena tveganja za vsakega dobavitelja glede na to, kaj hrani in kakšen dostop ima
- Skrbni pregled: varnostna drža, certifikati, zgodovina vdorov, lastništvo
- Pogodbena določila, ki vam dajejo pravico do obveščanja in pravico do presoje
- Nenehno spremljanje z opozorilom, ko se izpostavljenost dobavitelja spremeni
KAKO POTEKA
Od prvega klica do ustaljenega stanja
-
Prepoznava
Vsako razmerje, ki se dotika vaših podatkov ali omrežja, sestavljeno iz pogodb, računov in seznamov dostopov, ne iz spomina.
-
Ocena tveganja
Ocena po tem, kaj bi se zgodilo vam, če bi jih jutri vdrli — kar ni isto kot to, kako veliki so.
-
Skrbni pregled
Preverjanje namesto vrnjenega vprašalnika: certifikati preverjeni, zgodovina vdorov poiskana, trditve preizkušene.
-
Pogodbeni nadzor
Roki za obveščanje, pravice do presoje, varnostne obveznosti in pogoji izstopa, zapisani v pogodbo, dokler imate še pogajalsko moč.
-
Spremljanje in pregled
Nenehno, z načrtovano ponovno oceno in načrtom odziva, dogovorjenim z najpomembnejšimi dobavitelji.
ČEMU TO ZADOSTI
Obveznosti, ki jih to pokriva
To ni tržna trditev. Vsak od teh režimov poimenuje zahtevo, na katero je ta storitev odgovor, stran za njo pa pove, katera določba je to.
- Še 96 dni NIS2 / ZInfV-1 Do 10 mio € ali 2 % prometa
- Še 444 dni AI Act Do 35 mio € ali 7 % prometa
- Že velja DORA Do 2 % svetovnega prometa
- Pogodbena zahteva ISO/IEC 27001 Izgubljeni razpisi
Komu je namenjeno. Vsak bistveni ali pomembni subjekt po ZInfV-1, vsak finančni subjekt po DORA in vsak, ki v zunanje izvajanje daje karkoli, kar se dotika podatkov strank.
Začnimo s pogovorom, ne s ponudbo
Povejte nam, kaj poganjate in kaj morate dokazati. Povemo, kaj bi to pri vaši velikosti pomenilo — in ali to sploh potrebujete.