Useimmat yritykset eivät nojaa pelkästään sisäisiin järjestelmiin. Ne pyörivät pilvialustojen, palkanlaskentapalveluiden, markkinointityökalujen, IT-kumppaneiden ja kymmenien SaaS-tilien varassa, jotka pitävät päivittäisen työn liikkeessä. Jokainen toimittaja ratkaisee ongelman, ja jokainen luo myös uuden luottamussuhteen.

Toimittajariskien hallinta (VRM) on prosessi, jossa arvioidaan, hyväksytään, valvotaan ja tarkastetaan turvallisuusriskejä, joita syntyy kolmansien osapuolten kanssa työskentelystä. Se auttaa yrityksiä ymmärtämään, mitkä toimittajat voivat päästä käsiksi arkaluontoisiin järjestelmiin tai tietoihin, millaisia kontrolleja näillä toimittajilla on käytössään, ovatko niiden turvallisuuskäytännöt riittävän vankat perustelemaan kyseisen pääsyn, ja kuinka nopeasti pääsy voidaan muuttaa, jos sopimus päättyy tai tapahtuu poikkeama.

Selitämme, miten toimittajariskien hallintaa kannattaa lähestyä omassa yrityksessäsi: miten arvioida jo käytössä olevia toimittajia, miten luokitella kolmansien osapuolten toimittajariski, mitä sisällyttää toimittajan tietoturvatarkistuslistaan ja miten hallita toimittajien kirjautumistietoja ennen kuin niistä tulee pitkäaikainen altistus.

Mitä toimittajariskien hallinta kattaa

Opas toimittajariskien hallintaan

Toimittajan tietoturvatarkistuslistasi

Miten Proton Pass for Business tukee toimittajien pääsynhallintaa

Mitä toimittajariskien hallinta kattaa

Toimittajariskien hallinta perustuu yksinkertaiseen periaatteeseen: jokainen ulkopuolinen taho, joka käsittelee tietojasi, järjestelmiäsi tai liiketoimintaprosessejasi, muuttaa riskiprofiiliasi.

Suurin osa toimittajariskistä syntyy arkisesta työstä. Esimerkiksi kolmannen osapuolen toimija voidaan ottaa mukaan yrityksen verkkoon, koska tiimi tarvitsee nopeutta, asiantuntemusta tai ohjelmistoa, jota yrityksellä ei ole talon sisällä. Pääsy myönnetään, tietoja jaetaan ja suhde syntyy osana arkista työtä.

Riski syntyy, kun ei ole selvää, mitä kyseinen toimittaja voi käyttää, mitkä kontrollit ovat kyseisen pääsyn ja tietomurron välissä – monivaiheinen tunnistautuminen (MFA), nimetyt tilit, salaus – tai kuinka nopeasti kyseinen pääsy voidaan havaita ja katkaista. Sen mitätöinti tapahtuu yleensä järjestelmän sisällä tai SCIM-provisionoinnin kautta; useimpien yritysten vaikein osa on tietää, mistä oikeastaan etsiä.

Toimittaja voi olla suuri pilvipalveluntarjoaja, kapea-alainen SaaS-alusta, freelancer-kehittäjä tai kirjanpitoyritys. Toimittajan koko ja toimiala eivät ole pääasia. Heidän pääsynsä on.

Toimittajariski ilmenee usealla eri tavalla:

  • Tietoriski: Toimittaja voi tarkastella, tallentaa, käsitellä, siirtää tai poistaa liiketoiminta- tai henkilötietoja.
  • Pääsyriski: Toimittaja voi kirjautua sisään järjestelmiin, hallita asetuksia, käyttää integraatioita tai päästä ylläpitäjän paneeleihin.
  • Operatiivinen riski: Yritys on riippuvainen toimittajasta kriittisen työnkulun, palvelun tai asiakasrajapinnassa tapahtuvan prosessin osalta.
  • Vaatimustenmukaisuusriski: Toimittajan tehtävä vaikuttaa velvoitteisiisi tietosuojalakien (kuten GDPR-vaatimusten), sopimusten tai alakohtaisten vaatimusten osalta.
  • Kirjautumistietoriski: Toimittajan pääsy on jaettu, uudelleenkäytetty, dokumentoimaton tai vaikeasti mitätöitävissä.

Toimittajariskiä on vaikea havaita, koska se syntyy usein pienistä pääsypäätöksistä, jotka tuntuvat sillä hetkellä järkeviltä: tiimin jäsen jakaa kirjautumistiedot, joita ei pitäisi, tai toimittajatilillä säilytetään käyttöoikeuksia mukavuussyistä, tai urakoitsijan käyttöoikeus, jota kukaan ei tarkista projektin päätyttyä. Ajan myötä näistä poikkeuksista tulee osa yritysympäristöä, vaikka kukaan ei aktiivisesti hallitsisi niitä.

Miten rakentaa toimittajariskien hallintaprosessi (VRM)

Tehokkaasti toteutettuna toimittajariskien hallinta ei tee jokaisesta päätöksestä monimutkaisempaa. Se luo luotettavan kehyksen sille, miten yrityksesi myöntää pääsyä selkeämmillä rajoilla. Käymme läpi keskeiset vaiheet, joita yrityksesi voi ottaa arvioidakseen omaa toimittajariskiään ja rakentaakseen riskienhallintastrategian.

1. Laadi luettelo toimittajistasi

Sen sijaan, että antaisit toimittajariskien hallinnasta tulla reaktiivinen tehtävä, kun sinulta pyydetään tietoturvanäyttöä tai uusitaan sopimusta, tee siitä ennakoiva tehtävä. Aloita ymmärtämällä toimittajat, jotka ovat jo osa toimintaasi.

Toimittajaluettelon laatimisen ei tarvitse olla monimutkaista. Sen on oltava riittävän selkeä näyttääkseen:

  • Kuka omistaa suhteen
  • Mitä palvelua toimittaja tarjoaa
  • Mihin järjestelmiin tai tietoihin he voivat päästä käsiksi
  • Onko mukana henkilötietoja
  • Käytetäänkö alikäsittelijöitä
  • Milloin seuraava sopimus- tai tietoturvatarkastus on ajankohtainen

Pääsy on keskeinen kirjattava osatekijä, koska toimittajilla on erilaisia käyttöoikeuksia ja pääsytarpeita. Jotkut toimittajat käyttävät nimettyjä tilejä. Toiset luottavat jaettuihin kirjautumistietoihin, ylläpitäjän käyttöoikeuksiin, API-avaimiin, jaettuihin sähköpostilaatikoihin tai väliaikaisiin kirjautumisiin, jotka pysyvät aktiivisina kauan sen jälkeen, kun alkuperäinen tarve on päättynyt. Nämä erot ovat merkityksellisiä, koska ne määrittävät, kuinka nopeasti pääsy voidaan muuttaa käytöstä poistamisen tai poikkeaman aikana.

Luetteloon tulee sisällyttää myös pienemmät toimittajat, jotka voivat olla virallisen hankintaprosessin ulkopuolella. Lisäosa, konsultti, freelancer-kehittäjä, toimija tai erikoistunut SaaS-palvelu voivat aiheuttaa merkittävää altistusta, jos ne käsittelevät arkaluontoisia tietoja tai kriittisiä työnkulkuja.

Luettelon tärkein arvo on parempien pääsynhallintakontrollien luominen. Kun toimittajasuhde päättyy, yrityksesi tietää, mitkä tilit poistetaan käytöstä, mitkä kirjautumistiedot kierrätetään, mitkä integraatiot poistetaan ja mitä tallennetulle datalle pitäisi tehdä.

2. Luokittele toimittajat riskin, ei mukavuuden mukaan

Kun olet kartoittanut toimittajasi, ryhmittele ne niiden aiheuttaman riskin mukaan. Tämä pitää prosessin oikeasuhteisena ja välttää sen, että jokaista toimittajaa kohdellaan joko vaarattomana tai kriittisenä.

Korkean riskin toimittajat käsittelevät yleensä arkaluontoisia tietoja, tukevat olennaisia toimintoja tai omaavat erityisoikeuksia. Näihin voivat kuulua pilvi-infrastruktuuri, identiteettialustat, palkanlaskenta, talous, HR-järjestelmät, hallittu IT, tietoturvapalvelut tai keskeiset SaaS-alustat.

Kohtalaisen riskin toimittajat tukevat tärkeää työtä, mutta niillä on kapeampi pääsy. Niihin voivat kuulua yhteistyöalustat, analytiikkatyökalut, projektinhallintajärjestelmät, help desk -ohjelmistot tai toimijat, joilla on rajoitetut käyttöoikeudet.

Matalan riskin toimittajilla on vähän tai ei lainkaan pääsyä arkaluontoisiin tietoihin tai liiketoiminnan kannalta kriittisiin järjestelmiin. Ne tulee silti kirjata, mutta niitä ei tarvitse tarkastella yhtä syvällisesti, ellei niiden tehtävä muutu.

Luokituksen tulee perustua todelliseen pääsyyn, ei toimittajan maineeseen, kokoon tai hintaan. Tutulta alustalta voi tulla korkean riskin alusta, jos se tallentaa arkaluontoisia tietoja. Pieni urakoitsija voi olla korkean riskin kohteena, jos sillä on ylläpitäjän käyttöoikeudet.

Käytä riskiluokitusta päättääksesi, kuinka syvällisesti toimittaja arvioidaan, kuinka usein suhde tarkastetaan ja mitä vähimmäiskontrolleja sovelletaan.

3. Aseta tietoturvavaatimukset ennen kuin pääsy myönnetään

Toimittaja-arvioinnit toimivat parhaiten, kun yritys tuntee vähimmäisvaatimuksensa ennen kuin pääsy hyväksytään.

Korkean riskin toimittajien osalta näiden vaatimusten tulee kattaa kontrollit, jotka suojaavat tietoja ja pitävät pääsyn vastuullisena: MFA, salaus siirron aikana ja levossa, roolipohjainen pääsynhallinta, audit-lokit, poikkeamien hallintamenettelyt, haavoittuvuuksien hallinta, alikäsittelijöiden kontrollit, tietojen poistamista koskevat sitoumukset ja liiketoiminnan jatkuvuuden suunnittelu.

Tietoturvanäyttö voi tukea kyseistä tarkastelua. ISO 27001, SOC 2, kansalliset järjestelmät, kuten Cyber Essentials Isossa-Britanniassa, tunkeutumistestien yhteenvedot tai tietoturvaa käsittelevät white paperit voivat kaikki auttaa riippuen toimittajan tehtävästä ja suhteen arkaluontoisuudesta.

Sertifikaatit ja auditointiraportit kuvaavat, miten toimittaja toimii. Ne kertovat paljon vähemmän siitä, kuka toimittaja todella on. Äskettäinen tutkimus Passworkin turvallisuudesta osoittaa, että tällä erolla on väliä: eurooppalainen rekisteröinti, viimeistelty verkkosivusto ja “luottamusta varten rakennettu” -viesti riittivät täyttämään vaatimukset organisaatioissa, jotka eivät koskaan jäljittäneet omistajuutta, lainkäyttöaluetta tai asentamansa koodin alkuperää.

Jokaisen arkaluontoista pääsyä hallussaan pitävän toimittajan kohdalla valvontatarkistuslistan rinnalle kuuluu kaksi kysymystä: kuka omistaa ja hallitsee yritystä, ja minkä maan lakien alaisuudessa se toimii; ja voivatko riippumattomat asiantuntijat tarkastaa koodin, vai luottaako yritys suljettuun järjestelmään pelkästään toimittajan sanan varassa?

Kohtalaisen riskin toimittajat voivat tarvita kevyemmän tarkastelun, mutta niiden tulisi silti pystyä selittämään, miten ne suojaavat tilejä, rajoittavat työntekijöiden pääsyä, käsittelevät tietoja, ilmoittavat asiakkaille poikkeamista ja poistavat pääsyn, kun suhde päättyy.

Matalan riskin toimittajien osalta tärkein tarkistus voi olla se, ettei niillä todella ole pääsyä arkaluontoisiin järjestelmiin tai henkilötietoihin. Jos tämä muuttuu, toimittaja on arvioitava uudelleen.

Hyvä prosessi on tiukka siellä, missä riski on korkea, ja kevyt siellä, missä riski on aidosti matala. Sen ei pitäisi muuttaa jokaista toimittajatarkastusta yritystason auditointiin, mutta sen pitäisi estää arkaluontoisen pääsyn hyväksyminen pelkän luottamuksen varassa.

4. Valvo toimittajia käyttöönoton jälkeen

Toimittajat muuttavat järjestelmiään, alikäsittelijöitään, käytäntöjään, henkilöstöään ja tietoturvakontrollejaan. Yrityksesi voi myös antaa heille ajan myötä enemmän pääsyä. Ilman valvontaa alkuperäinen arviointisi vanhentuu.

Käytännöllinen valvontaprosessi voi sisältää vuosittaiset tarkastukset korkean ja kohtalaisen riskin toimittajille, tarkistukset ennen sopimuksen uusimista, uudelleenarvioinnin, kun pääsy laajenee, ja tarkastuksen ilmoitetun tietoturvapoikkeaman jälkeen. Kriittiset toimittajat voivat tarvita tiheämpiä pääsytarkistuksia.

Valvonnan tulee kattaa myös kirjautumistietojen taso. Tarkista, kuuluvatko toimittajatilit edelleen aktiivisille yhteyshenkilöille, vastaavatko käyttöoikeudet nykyistä laajuutta, onko jaettuja kirjautumistietoja edelleen olemassa ja tarvitaanko integraatioita tai API-avaimia edelleen.

Tässä monet yritykset löytävät vältettävissä olevaa altistumista: vanhoja agentuuritilejä, käyttämättömiä urakoitsijoiden kirjautumistunnuksia, jaettuja salasanoja, joilla ei ole omistajaa, menneeseen projektiin luotuja integraatioita ja mukavuussyistä myönnettyjä ylläpitäjän käyttöoikeuksia.

Toimittajariski kuuluu myös jatkuvuussuunnitteluun. Jos kriittinen toimittaja ei ole käytettävissä, ilmoittaa tietomurrosta tai pakottaa hätämuutoksia pääsyyn, yritys tarvitsee tavan pitää olennaisen työn liikkeessä. Protonin opas liiketoiminnan jatkuvuusstrategioihin⁠ selittää, miksi resilienssi riippuu muustakin kuin varmuuskopioista, erityisesti kun pääsy ja kirjautumistiedot ovat mukana.

5. Hallitse ulkopuolisten tahojen kirjautumistietoja

Monet toimittajariskiohjelmat näyttävät paperilla vankoilta ja epäonnistuvat sitten kirjautumistietojen tasolla. Toimittaja voi näyttää vaatimustenmukaiselta paperilla ja silti aiheuttaa altistumista sen perusteella, miten pääsyä käsitellään päivittäin.

Riski piilee muodollisen prosessin ja realistisen prosessin välisessä kuilussa: hyväksyttyjen järjestelmien ulkopuolelle tallennetut kirjautumistiedot, jaetut tilit, joilla ei ole selvää omistajaa, tai API-avaimet, jotka pysyvät aktiivisina toimittajasuhteen muuttuessa.

Jos näitä pääsypolkuja ei tarkasteta ja mitätöidä, yritys voi kantaa toimittajariskiä vielä kauan sen jälkeen, kun alkuperäinen työ on päättynyt.

Ulkopuolisten tahojen pääsyn tulisi noudattaa samaa kuria ja käyttää samoja salasanakäytäntöjä kuin sisäinen pääsy:

  • Anna toimittajille vain se pääsy, jonka he tarvitsevat
  • Käytä nimettyjä tilejä, kun mahdollista
  • Vältä jaettuja kirjautumistietoja, ellei vaihtoehtoa ole
  • Tallenna jaetut kirjautumistiedot hallittuun kirjautumistietojen hallintajärjestelmään
  • Jaa tiedostoja toimittajien kanssa salatun yrityspilvitallennuksen kautta vanhenevilla linkeillä, ei sähköpostiliitteillä
  • Tarkasta pääsy säännöllisesti
  • Mitatöi pääsy, kun työ päättyy
  • Vaihda kirjautumistiedot toimittajan henkilöstömuutosten tai tietoturvapoikkeamien jälkeen
  • Edellytä MFA:ta kaikkialla, missä palvelu tukee sitä

Yrityssalasananhallinta tekee näiden sääntöjen käyttöönoton helpoksi. Se antaa tiimeille turvallisen paikan tallentaa toimittajien kirjautumistiedot, jakaa pääsyä lähettämättä salasanoja chatin tai sähköpostin kautta, vaihtaa salasanoja ja poistaa pääsy, kun toimittajasuhde päättyy.

Toimittajien tietoturvatarkistuslistasi

Toimittajien tietoturvatarkistuslistan tulisi auttaa yritystäsi ottamaan uudet toimittajat käyttöön turvallisesti.

Käytä sitä ymmärtääksesi suhteen selkeästi:

  • Mihin tietoihin toimittaja pääsee käsiksi, mitä se käsittelee tai tallentaa?
  • Käsitteleekö toimittaja henkilötietoja puolestamme?
  • Allekirjoittaako toimittaja tietojenkäsittelysopimuksen (DPA) ja poistaako se tietomme sopimuksen päättyessä?
  • Missä tiedot tallennetaan ja käsitellään?
  • Käyttääkö toimittaja alikäsittelijöitä?
  • Edellyttääkö toimittaja MFA:ta?
  • Miten toimittaja valvoo työntekijöidensä pääsyä asiakastietoihin?
  • Voiko yrityksemme määrittää tehtäväpohjaisia käyttöoikeuksia?
  • Voidaanko pääsy poistaa välittömästi?
  • Tarjoaako toimittaja valvontalokeja tai ylläpitäjän toimintaraportteja?
  • Miten toimittaja salaa tiedot?
  • Kuinka nopeasti toimittaja ilmoittaa meille tietoturvapoikkeamasta?
  • Onko toimittajalla liiketoiminnan jatkuvuus- tai katastrofipalautumismenettelyjä?
  • Voiko toimittaja toimittaa tietoturvadokumentaatiota, sertifikaatteja tai auditointiyhteenvetoja?
  • Onko toimittajalla ollut julkisesti raportoitu tietoturvapoikkeama, ja miten se käsitteli sen?
  • Kuka omistaa ja hallitsee yritystä, ja minkä lainkäyttövaltion alaisuudessa se toimii?
  • Onko tuote avointa lähdekoodia tai riippumattomasti auditoitu, jotta sen tietoturvaväitteet voidaan varmentaa?

Tarkistuslistan tulisi näyttää kaikki riski, jonka yrityksesi hyväksyy. Toimittaja, jolla ei ole muodollista sertifikaattia, voi silti sopia vähärisiseen työhön. Toimittaja, jolla on ylläpitäjän pääsy, heikko tunnistautuminen, epämääräiset poikkeamien aikataulut tai ei selkeää poistoprosessia, on täysin eri päätös.

Palauta tarkistuslista käyttöön jo käytössä oleville toimittajille uusimisten ja suunniteltujen tarkastusten yhteydessä. Alkuperäinen hyväksyntä ei välttämättä enää vastaa sitä, miten työkalua käytetään nykyään. Pientä projektia varten hankittu toimittaja voi huomaamatta tulla osaksi asiakastoimintoja, talousprosesseja tai kriittisiä integraatioita.

Miten Proton Pass for Business tukee toimittajien pääsynhallintaa

Toimittajariskien hallinnasta tulee paljon vaikeampaa, kun ulkopuolisten tahojen pääsyä hallitaan kontrolloidun järjestelmän ulkopuolella. Toimittaja voidaan hyväksyä, dokumentoida ja kattaa sopimuksella, mutta todellinen altistuminen riippuu usein jokapäiväisistä pääsypoluista: jaetut kirjautumistiedot, käyttöoikeudet, pääsyavaimet, palautuskoodit, API-avaimet ja tilit, jotka on tarkastettava tai poistettava suhteen muuttuessa.

Yrityssalasananhallinta, kuten Proton Pass for Business⁠, auttaa yrityksiä tuomaan tämän pääsyn turvallisempaan ja auditoitavampaan prosessiin. Tiimit voivat tallentaa toimittajien kirjautumistiedot päästä päähän -salattuihin holveihin, luoda vahvoja ja ainutlaatuisia salasanoja, käyttää automaattitäyttöä manuaalisen käsittelyn vähentämiseksi, hallita pääsyavaimia ja jakaa pääsyä lähettämättä salasanoja sähköpostin, chatin tai projektidokumenttien kautta.

Erityisesti toimittajien pääsyn osalta jaetut holvit voivat auttaa erottamaan kirjautumistiedot toimittajan, projektin, tiimin tai arkaluontoisuustason mukaan. Tämä helpottaa pääsyn pitämistä järjestyksessä, sen tarkastamista, kenellä on pääsy mihinkin, ja pääsyn poistamista, kun sopimus päättyy, toimittajan yhteyshenkilö vaihtuu tai poikkeama vaatii nopeaa rajaamista.

IT-tiimien salasananhallinta⁠ lisää tarvittavan hallinnollisen kerroksen, kun prosessista tulee muodollisempi. Käytännöt, raportointi, lokit, tehtäväpohjainen pääsynhallinta, SCIM-provisiointi ja kertakirjautumisintegraatio auttavat yrityksiä hallitsemaan pääsyä johdonmukaisesti tiimien välillä sen sijaan, että turvauduttaisiin yksittäisten henkilöiden tapoihin.

Proton Pass for Business tukee yritystäsi hallitsemalla kirjautumistiedot ja pääsypolut, joita toimittajat käyttävät työskennellessään yrityksesi kanssa. Se on myös avointa lähdekoodia ja riippumattomasti auditoitu, joten se läpäisee saman tarkistuslistan, jota suosittelemme soveltamaan omiin toimittajiisi. Kun toimittajien pääsy tallennetaan, jaetaan, tarkastetaan ja mitätöidään kontrolloidusta ympäristöstä, toimittajariskiä on helpompi hallita alkuarvioinnin jälkeen.

Hallitse ulkopuolisten tahojen kirjautumistietojen pääsyä turvallisesti yrityssalasananhallinnalla⁠.