Většina firem se neopírá jen o interní systémy. Využívají cloudové platformy, poskytovatele mezd, marketingové nástroje, IT partnery a desítky účtů SaaS, které udržují každodenní práci v chodu. Každý dodavatel řeší nějaký problém a zároveň vytváří nový vztah důvěry.
Řízení rizik dodavatelů (VRM) je proces posuzování, schvalování, sledování a přezkoumávání bezpečnostních rizik, která vyplývají ze spolupráce s třetími stranami. Pomáhá firmám pochopit, kteří dodavatelé mohou přistupovat k citlivým systémům nebo datům, jaké kontroly tito dodavatelé mají zavedené, zda jsou jejich bezpečnostní postupy dostatečně spolehlivé, aby ospravedlnily tento přístup, a jak rychle lze přístup změnit, pokud smlouva skončí nebo dojde k incidentu.
Vysvětlíme, jak k řízení rizik dodavatelů přistupovat ve vaší firmě: jak posoudit dodavatele, s nimiž již spolupracujete, jak klasifikovat riziko dodavatelů třetích stran, co zahrnout do bezpečnostního kontrolního seznamu dodavatelů a jak kontrolovat přihlašovací údaje dodavatelů, než se stanou dlouhodobou expozicí.
Co zahrnuje řízení rizik dodavatelů
Váš průvodce řízením rizik dodavatelů
Váš bezpečnostní kontrolní seznam dodavatelů
Jak Proton Pass for Business podporuje kontrolu přístupu dodavatelů
Co zahrnuje řízení rizik dodavatelů
Řízení rizik dodavatelů stojí na jednoduchém principu: Každá externí strana, která se dotkne vašich dat, systémů nebo obchodních procesů, mění váš rizikový profil.
Většina rizik dodavatelů vzniká při každodenní práci. Například agentura třetí strany může být přizvána do podnikové sítě, protože tým potřebuje rychlost, odbornost nebo software, který firma nemá interně. Přístup je udělen, data se sdílejí a vztah se naváže jako součást každodenní práce.
Riziko vzniká, když není jasné, k čemu může daný dodavatel přistupovat, jaké kontroly stojí mezi tímto přístupem a únikem – vícefaktorové ověření (MFA), pojmenované účty, šifrování – nebo jak rychle lze tento přístup odhalit a odříznout. Odvolání obvykle probíhá v samotném systému nebo prostřednictvím zřizování SCIM. Pro většinu firem je nejtěžší vědět, kam se vlastně podívat.
Dodavatelem může být velký poskytovatel cloudu, specializovaná platforma SaaS, nezávislý vývojář nebo účetní firma. Velikost a odvětví dodavatele nejsou hlavním problémem. Rozhoduje jeho přístup.
Riziko dodavatelů se projevuje několika různými způsoby:
- Riziko dat: Dodavatel může zobrazovat, ukládat, zpracovávat, přenášet nebo mazat obchodní či osobní údaje.
- Riziko přístupu: Dodavatel se může přihlašovat do systémů, spravovat nastavení, používat integrace nebo se dostat do správcovských panelů.
- Provozní riziko: Firma je závislá na dodavateli kvůli kritickému pracovnímu postupu, službě nebo zákaznickému procesu.
- Riziko souladu s předpisy: Role dodavatele ovlivňuje vaše povinnosti podle právních předpisů o ochraně údajů (například požadavky na soulad s GDPR), smluvní povinnosti nebo požadavky specifické pro dané odvětví.
- Riziko přihlašovacích údajů: Přístup dodavatele je sdílený, opakovaně používaný, nedokumentovaný nebo obtížně odvolatelný.
Riziko dodavatelů je obtížné rozpoznat, protože často vzniká z malých rozhodnutí o přístupu, která se v danou chvíli zdají smysluplná: Člen týmu sdílí přihlášení, které by neměl, nebo si dodavatelský účet ponechává oprávnění pro pohodlí, případně oprávnění externího pracovníka, které po skončení projektu nikdo nezkontroluje. Postupem času se tyto výjimky stanou součástí podnikového prostředí, i když je nikdo aktivně nespravuje.
Jak zavést proces řízení rizik dodavatelů (VRM)
Při efektivním provádění nekomplikuje řízení rizik dodavatelů každé rozhodnutí. Vytváří spolehlivý rámec pro to, jak vaše firma uděluje přístup s jasnějšími limity. Prozkoumáme klíčové kroky, které může vaše firma podniknout k posouzení vlastního rizika dodavatelů a k vytvoření strategie řízení rizik.
1. Vytvořte inventář dodavatelů
Místo abyste řízení rizik dodavatelů řešili reaktivně, až když po vás někdo chce bezpečnostní důkazy nebo obnovujete smlouvu, udělejte z něj proaktivní úkol. Začněte tím, že porozumíte dodavatelům, kteří už jsou součástí vašeho provozu.
Vytvoření inventáře dodavatelů nemusí být složité. Musí být dost jasné, aby ukázalo:
- Kdo je vlastníkem vztahu
- Jakou službu dodavatel poskytuje
- K jakým systémům nebo datům mohou přistupovat
- Zda jsou zahrnuty osobní údaje
- Zda se používají dílčí zpracovatelé
- Kdy je naplánováno další přezkoumání smlouvy nebo bezpečnosti
Přístup je klíčovou součástí, kterou je třeba zaznamenat, protože dodavatelé mají různá oprávnění a potřeby přístupu. Někteří dodavatelé používají pojmenované účty. Jiní se spoléhají na sdílené přihlašovací údaje, přístup správce, klíče API, sdílené schránky nebo dočasná přihlášení, která zůstávají aktivní dlouho poté, co původní potřeba pomine. Tyto rozdíly jsou důležité, protože určují, jak rychle lze přístup změnit během ukončování spolupráce nebo incidentu.
Inventář by měl zahrnovat také menší dodavatele, kteří mohou stát mimo formální nákupní proces. Plugin, konzultant, nezávislý vývojář, agentura nebo specializovaná služba SaaS mohou vytvořit významnou expozici, pokud se dotýkají citlivých dat nebo kritických pracovních postupů.
Hlavní hodnota inventáře spočívá ve vytvoření lepších kontrol přístupu. Když vztah s dodavatelem skončí, vaše firma ví, které účty deaktivovat, které přihlašovací údaje obměnit, které integrace odebrat a co se má stát s uloženými daty.
2. Klasifikujte dodavatele podle rizika, ne podle pohodlí
Poté co zmapujete své dodavatele, rozdělte je do skupin podle rizika, které představují. Díky tomu zůstane proces přiměřený a vyhnete se tomu, abyste s každým dodavatelem zacházeli buď jako s neškodným, nebo jako s kritickým.
Vysoce rizikoví dodavatelé obvykle zpracovávají citlivá data, podporují zásadní provoz nebo mají privilegovaný přístup. Může jít o cloudovou infrastrukturu, platformy pro správu identit, mzdy, finance, HR systémy, spravované IT, bezpečnostní služby nebo klíčové platformy SaaS.
Středně rizikoví dodavatelé podporují důležitou práci, ale mají užší přístup. Může jít o kolaborační platformy, analytické nástroje, systémy pro řízení projektů, software pro help desk nebo agentury s omezenými oprávněními.
Nízkorizikoví dodavatelé mají malý nebo žádný přístup k citlivým datům nebo systémům kritickým pro podnikání. Stále by měli být zaznamenáni, ale nepotřebují stejnou hloubku kontroly, dokud se jejich role nezmění.
Zařazení by se mělo řídit skutečným přístupem, ne pověstí, velikostí nebo cenou dodavatele. Známá platforma se může stát vysoce rizikovou, pokud ukládá citlivá data. Malý externí pracovník může představovat vysoké riziko, pokud má oprávnění správce.
Podle úrovně rizika se rozhodněte, jak podrobně dodavatele posoudit, jak často vztah přezkoumávat a která minimální opatření použít.
3. Stanovte bezpečnostní požadavky před udělením přístupu
Posouzení dodavatelů funguje nejlépe, když firma zná své minimální požadavky ještě před schválením přístupu.
U vysoce rizikových dodavatelů by tyto požadavky měly pokrývat kontroly, které chrání data a zajišťují odpovědnost přístupu: MFA, šifrování při přenosu a v klidu, řízení přístupu na základě rolí, auditní logy, postupy reakce na incidenty, správa zranitelností, kontroly dílčích zpracovatelů, závazky k mazání dat a plánování kontinuity podnikání.
Přezkoumání může podpořit bezpečnostní evidence. ISO 27001, SOC 2, národní schémata, jako je Cyber Essentials ve Spojeném království, souhrny penetračních testů nebo bezpečnostní whitepapery – to vše může pomoci, v závislosti na roli dodavatele a citlivosti vztahu.
Certifikace a auditní zprávy popisují, jak dodavatel funguje. O tom, kým dodavatel ve skutečnosti je, toho říkají mnohem méně. Nedávné vyšetřování bezpečnosti Passworku dokazuje, že na tomto rozlišení záleží: evropská registrace, vytříbený web a zpráva „vytvořeno pro důvěru“ stačily k tomu, aby prošly sítem u organizací, které nikdy nevystopovaly vlastnictví, jurisdikci ani původ kódu, který instalovaly.
U každého dodavatele s citlivým přístupem by měly být vedle kontrolního seznamu i dvě otázky: Kdo firmu vlastní a ovládá a podle zákonů které země působí? Mohou nezávislí odborníci zkontrolovat kód, nebo firma důvěřuje uzavřenému systému jen na základě slova dodavatele?
Středně rizikoví dodavatelé mohou vyžadovat lehčí přezkoumání, ale stále by měli umět vysvětlit, jak chrání účty, omezují přístup zaměstnanců, nakládají s daty, informují zákazníky o incidentech a odstraňují přístup, když vztah skončí.
U nízkorizikových dodavatelů může být hlavní kontrolou to, zda skutečně nemají přístup k citlivým systémům nebo osobním údajům. Pokud se to změní, měl by být dodavatel znovu posouzen.
Dobrý proces je přísný tam, kde je riziko vysoké, a nenáročný tam, kde je riziko skutečně nízké. Neměl by z každé kontroly dodavatele dělat podnikový audit, ale měl by zabránit tomu, aby byl citlivý přístup schválen jen na základě důvěry.
4. Sledujte dodavatele po jejich zavedení
Dodavatelé mění své systémy, dílčí zpracovatele, zásady, personální obsazení a bezpečnostní kontroly. Vaše firma jim také může postupem času poskytovat větší přístup. Bez sledování se vaše původní posouzení stává zastaralým.
Praktický proces sledování může zahrnovat každoroční kontroly dodavatelů s vysokým a středním rizikem, ověření před obnovením smlouvy, nové posouzení při rozšíření přístupu a kontrolu po každém nahlášeném incidentu. Kritičtí dodavatelé mohou vyžadovat častější kontroly přístupu.
Sledování by mělo zahrnovat i vrstvu přihlašovacích údajů. Zkontrolujte, zda účty dodavatelů stále patří aktivním kontaktům, zda oprávnění odpovídají aktuálnímu rozsahu, zda stále existují sdílené přihlašovací údaje a zda jsou ještě potřeba integrace nebo klíče API.
Právě zde mnoho firem objeví riziko, kterému se dalo předejít: staré účty agentur, nevyužívaná přihlášení dodavatelů, sdílená hesla, která nikomu nepatří, integrace vytvořené pro minulý projekt a oprávnění správce udělená pro pohodlí.
Riziko dodavatelů patří také do plánování kontinuity. Pokud kritický dodavatel přestane být dostupný, nahlásí únik informací nebo si vynutí mimořádné změny přístupu, firma potřebuje způsob, jak udržet klíčovou práci v chodu. Průvodce Protonu strategiemi kontinuity podnikání vysvětluje, proč odolnost závisí na více než jen zálohách, zejména pokud jde o přístup a přihlašovací údaje.
5. Kontrolujte přihlašovací údaje třetích stran
Mnoho programů řízení rizik dodavatelů vypadá na papíře spolehlivě, ale pak selže na úrovni přihlašovacích údajů. Dodavatel může na papíře působit jako vyhovující, a přesto vytvářet riziko tím, jak se s přístupem nakládá každý den.
Riziko spočívá v rozdílu mezi formálním a skutečným procesem: přihlašovací údaje uložené mimo schválené systémy, sdílené účty bez jasného vlastníka nebo klíče API, které zůstávají aktivní i poté, co se vztah s dodavatelem změní.
Pokud se tyto přístupové cesty nezkontrolují a neodvolají, může firma nést riziko dodavatelů ještě dlouho poté, co původní práce skončila.
Přístup třetích stran by měl dodržovat stejnou disciplínu a řídit se stejnými zásadami pro hesla jako interní přístup:
- Poskytněte dodavatelům pouze přístup, který potřebují
- Používejte pojmenované účty, kde je to možné
- Vyhněte se sdíleným přihlašovacím údajům, pokud neexistuje jiná možnost
- Ukládejte sdílené přihlašovací údaje v kontrolovaném systému správy přihlašovacích údajů
- Sdílejte soubory s dodavateli prostřednictvím šifrovaného cloudového úložiště pro firmy s odkazy, jejichž platnost vyprší, nikoli e-mailovými přílohami
- Pravidelně kontrolujte přístup
- Odvolejte přístup, když práce skončí
- Po změnách personálu dodavatele nebo incidentech obměňte přihlašovací údaje
- Vyžadujte MFA všude, kde ji služba podporuje
Správce hesel pro firmy usnadňuje zavádění těchto pravidel. Poskytuje týmům bezpečné místo pro ukládání přihlašovacích údajů dodavatelů, sdílení přístupu bez posílání hesel přes chat nebo e-mail, obměnu hesel a odebrání přístupu, když vztah s dodavatelem skončí.
Váš kontrolní seznam pro zabezpečení dodavatelů
Kontrolní seznam zabezpečení dodavatelů by měl vaší firmě pomoci bezpečně zavádět nové dodavatele.
Použijte ho k jasnému pochopení vztahu:
- K jakým datům bude mít dodavatel přístup, bude je zpracovávat nebo ukládat?
- Bude dodavatel zpracovávat osobní údaje naším jménem?
- Podepíše dodavatel smlouvu o zpracování údajů (DPA) a smaže naše data po ukončení smlouvy?
- Kde budou data uložena a zpracovávána?
- Využívá dodavatel dílčí zpracovatele?
- Vyžaduje dodavatel MFA?
- Jak dodavatel kontroluje přístup zaměstnanců k datům zákazníků?
- Může naše firma přiřazovat oprávnění na základě rolí?
- Lze přístup odebrat okamžitě?
- Poskytuje dodavatel auditní logy nebo přehledy o aktivitě správců?
- Jak dodavatel šifruje data?
- Jak rychle nás dodavatel informuje o bezpečnostním incidentu?
- Má dodavatel postupy pro kontinuitu podnikání nebo obnovu po havárii?
- Může dodavatel poskytnout bezpečnostní dokumentaci, certifikace nebo souhrny auditů?
- Zažil dodavatel veřejně známý bezpečnostní incident a jak ho řešil?
- Kdo firmu vlastní a ovládá a podle jaké jurisdikce působí?
- Je produkt s otevřeným zdrojovým kódem nebo nezávisle auditovaný, aby bylo možné ověřit jeho bezpečnostní tvrzení?
Kontrolní seznam by měl ukázat veškeré riziko, které vaše firma přijímá. Dodavatel bez formální certifikace může být stále vhodný pro práci s nízkým rizikem. Dodavatel s přístupem správce, slabým ověřením, nejasnými lhůtami pro hlášení incidentů nebo bez jasného procesu mazání je zcela jiné rozhodnutí.
U dodavatelů, které již používáte, se ke kontrolnímu seznamu vraťte při obnovování smluv a plánovaných kontrolách. Původní schválení už nemusí odpovídat tomu, jak se nástroj dnes používá. Dodavatel, který byl původně přizván k malému projektu, se může nenápadně stát součástí zákaznických operací, finančních procesů nebo kritických integrací.
Jak Proton Pass for Business podporuje kontrolu přístupu dodavatelů
Řízení rizik dodavatelů se stává mnohem obtížnějším, když je přístup třetích stran spravován mimo kontrolovaný systém. Dodavatel může být schválen, zdokumentován a smluvně zajištěn, ale skutečné riziko často závisí na každodenních přístupových cestách: sdílených přihlašovacích údajích, oprávněních, přístupových klíčích, kódech pro obnovení, klíčích API a účtech, které je třeba zkontrolovat nebo odebrat, jak se vztah mění.
Správce hesel pro firmy, jako je Proton Pass for Business, pomáhá firmám přenést tento přístup do bezpečnějšího a auditovatelného procesu. Týmy mohou ukládat přihlašovací údaje dodavatelů v koncově šifrovaných trezorech, generovat silná a jedinečná hesla, používat automatické vyplňování ke snížení ručního zpracování, spravovat přístupové klíče a sdílet přístup bez posílání hesel prostřednictvím e-mailu, chatu nebo projektových dokumentů.
Konkrétně pro přístup dodavatelů mohou sdílené trezory pomoci oddělit přihlašovací údaje podle dodavatele, projektu, týmu nebo úrovně citlivosti. To usnadňuje udržovat přístup organizovaný, kontrolovat, kdo má k čemu přístup, a odebrat přístup, když skončí smlouva, změní se kontakt u dodavatele nebo incident vyžaduje rychlou izolaci.
Správce hesel pro IT týmy přidává administrativní vrstvu potřebnou ve chvíli, kdy se proces stává formálnějším. Zásady, reporty, logy, řízení přístupu na základě rolí, zřizování přes SCIM a integrace jednotného přihlášení pomáhají firmám spravovat přístup konzistentně napříč týmy, místo aby se spoléhaly na individuální návyky.
Proton Pass for Business podporuje vaši firmu tím, že kontroluje přihlašovací údaje a přístupové cesty, které dodavatelé používají při práci s vaší firmou. Je také s otevřeným zdrojovým kódem a nezávisle auditovaný, takže projde stejným kontrolním seznamem, který doporučujeme použít i na vaše vlastní dodavatele. Když jsou přístupy dodavatelů ukládány, sdíleny, kontrolovány a odvolávány z kontrolovaného prostředí, je snazší řídit riziko dodavatelů i nad rámec počátečního posouzení.
Bezpečně kontrolujte přístup třetích stran k přihlašovacím údajům pomocí správce hesel pro firmy.
