Większość firm nie opiera się wyłącznie na systemach wewnętrznych. Działają w oparciu o platformy chmurowe, dostawców usług płacowych, narzędzia marketingowe, partnerów IT i dziesiątki kont SaaS, które napędzają codzienną pracę. Każdy dostawca rozwiązuje jakiś problem, ale też tworzy nową relację zaufania.

Zarządzanie ryzykiem dostawców (VRM) to proces oceny, zatwierdzania, monitorowania i przeglądu ryzyka bezpieczeństwa związanego ze współpracą ze stronami trzecimi. Pomaga firmom zrozumieć, którzy dostawcy mają dostęp do wrażliwych systemów lub danych, jakie mechanizmy kontroli stosują, czy ich praktyki bezpieczeństwa są wystarczająco solidne, aby uzasadnić ten dostęp, oraz jak szybko można zmienić dostęp, jeśli umowa się zakończy lub wystąpi incydent.

Wyjaśnimy, jak podejść do zarządzania ryzykiem dostawców w swojej firmie: jak ocenić dostawców, z którymi już współpracujesz, jak klasyfikować ryzyko dostawców zewnętrznych, co uwzględnić w liście kontrolnej bezpieczeństwa dostawców i jak kontrolować dane logowania dostawców, zanim staną się długoterminowym narażeniem.

Co obejmuje zarządzanie ryzykiem dostawców

Przewodnik po zarządzaniu ryzykiem dostawców

Lista kontrolna bezpieczeństwa dostawców

Jak Proton Pass for Business wspiera kontrolę dostępu dostawców

Co obejmuje zarządzanie ryzykiem dostawców

Zarządzanie ryzykiem dostawców opiera się na prostej zasadzie: każda zewnętrzna strona, która ma styczność z twoimi danymi, systemami lub procesami biznesowymi, zmienia twój profil ryzyka.

Większość ryzyka dostawców powstaje w codziennej pracy. Na przykład agencja zewnętrzna może zostać włączona do sieci firmowej, ponieważ zespół potrzebuje szybkości, wiedzy specjalistycznej lub oprogramowania, którego firma nie ma na miejscu. Dostęp zostaje przyznany, dane są udostępniane, a relacja nawiązuje się w ramach codziennej pracy.

Ryzyko powstaje, gdy nie jest jasne, do czego ten dostawca ma dostęp, jakie mechanizmy kontroli stoją między tym dostępem a naruszeniem — uwierzytelnianie wieloskładnikowe (MFA), konta imienne, szyfrowanie — ani jak szybko ten dostęp można wykryć i odciąć. Unieważnienie dostępu zwykle odbywa się w samym systemie lub przez aprowizację SCIM; najtrudniejsze dla większości firm jest ustalenie, gdzie właściwie szukać.

Dostawcą może być duży dostawca chmury, niszowa platforma SaaS, niezależny programista lub biuro rachunkowe. Rozmiar i branża dostawcy nie są głównym problemem. Liczy się dostęp.

Ryzyko dostawców objawia się na kilka różnych sposobów:

  • Ryzyko danych: Dostawca może przeglądać, przechowywać, przetwarzać, przekazywać lub usuwać dane biznesowe albo osobowe.
  • Ryzyko dostępu: Dostawca może logować się do systemów, zarządzać ustawieniami, korzystać z integracji lub docierać do paneli administracyjnych.
  • Ryzyko operacyjne: Firma polega na dostawcy w zakresie kluczowego przepływu pracy, usługi lub procesu obsługi klienta.
  • Ryzyko zgodności: Rola dostawcy wpływa na twoje obowiązki wynikające z przepisów o ochronie danych (takich jak wymogi zgodności z GDPR), umów lub wymogów sektorowych.
  • Ryzyko danych logowania: Dostęp dostawcy jest udostępniany, ponownie wykorzystywany, nieudokumentowany lub trudny do unieważnienia.

Ryzyko dostawców trudno zauważyć, ponieważ często narasta przez drobne decyzje dotyczące dostępu, które w danym momencie wydają się sensowne: członek zespołu udostępnia login, do którego nie ma uprawnień, konto dostawcy zachowuje uprawnienia dla wygody albo uprawnienie wykonawcy, którego nikt nie weryfikuje po zakończeniu projektu. Z czasem takie wyjątki stają się częścią środowiska biznesowego, nawet gdy nikt aktywnie nimi nie zarządza.

Jak zbudować proces zarządzania ryzykiem dostawców (VRM)

Skutecznie wdrożone zarządzanie ryzykiem dostawców nie komplikuje każdej decyzji. Tworzy niezawodne ramy określające, jak twoja firma przyznaje dostęp z jaśniejszymi ograniczeniami. Omówimy kluczowe kroki, które twoja firma może podjąć, aby ocenić własne ryzyko dostawców i zbudować strategię zarządzania ryzykiem.

1. Zbuduj spis dostawców

Zamiast pozwalać, by zarządzanie ryzykiem dostawców stawało się zadaniem reaktywnym, gdy pojawia się prośba o dowody bezpieczeństwa lub odnowienie umowy, zmień je w zadanie proaktywne. Zacznij od zrozumienia dostawców, którzy już działają w twojej działalności.

Sporządzenie spisu dostawców nie musi być skomplikowane. Musi być wystarczająco jasne, aby pokazać:

  • kto odpowiada za relację
  • jaką usługę świadczy dostawca
  • do jakich systemów lub danych dostawca ma dostęp
  • czy w grę wchodzą dane osobowe
  • czy korzysta się z podprocesorów
  • kiedy przypada kolejny przegląd umowy lub bezpieczeństwa

Dostęp to kluczowy element, który trzeba rejestrować, ponieważ dostawcy mają różne uprawnienia i potrzeby dotyczące dostępu. Niektórzy dostawcy korzystają z kont imiennych. Inni polegają na współdzielonych danych logowania, dostępie administratora, kluczach interfejsu API, współdzielonych skrzynkach pocztowych lub tymczasowych loginach, które pozostają aktywne długo po ustaniu pierwotnej potrzeby. Te różnice mają znaczenie, ponieważ określają, jak szybko można zmienić dostęp podczas offboardingu lub incydentu.

Spis powinien obejmować także mniejszych dostawców, którzy mogą znajdować się poza formalnymi procesami zakupowymi. Wtyczka, konsultant, niezależny programista, agencja lub wyspecjalizowana usługa SaaS mogą powodować istotne narażenie, jeśli mają styczność z wrażliwymi danymi lub kluczowymi przepływami pracy.

Główną wartością spisu jest tworzenie lepszych mechanizmów kontroli dostępu. Gdy relacja z dostawcą się kończy, twoja firma wie, które konta wyłączyć, które dane logowania wymienić, które integracje usunąć i co powinno się stać z przechowywanymi danymi.

2. Klasyfikuj dostawców według ryzyka, a nie wygody

Po zmapowaniu dostawców pogrupuj ich według ryzyka, jakie generują. Dzięki temu proces pozostaje proporcjonalny i nie traktuje każdego dostawcę jako nieszkodliwego albo krytycznego.

Dostawcy wysokiego ryzyka zwykle przetwarzają wrażliwe dane, wspierają kluczowe operacje lub mają uprzywilejowany dostęp. Może to obejmować infrastrukturę chmurową, platformy tożsamości, systemy płacowe, finanse, systemy HR, zarządzane IT, usługi bezpieczeństwa lub podstawowe platformy SaaS.

Dostawcy średniego ryzyka wspierają ważną pracę, ale mają węższy dostęp. Mogą obejmować platformy do współpracy, narzędzia analityczne, systemy do zarządzania projektami, oprogramowanie help desk lub agencje o ograniczonych uprawnieniach.

Dostawcy niskiego ryzyka mają niewielki dostęp do wrażliwych danych lub systemów krytycznych dla działalności albo nie mają go wcale. Nadal należy ich rejestrować, ale nie wymagają tak dogłębnego przeglądu, chyba że zmieni się ich rola.

Poziom ryzyka powinien wynikać z rzeczywistego dostępu, a nie z reputacji, rozmiaru czy ceny dostawcy. Znana platforma może zostać uznana za wysokie ryzyko, jeśli przechowuje wrażliwe dane. Mały wykonawca może stanowić wysokie ryzyko, jeśli ma uprawnienia administratora.

Na podstawie poziomu ryzyka zdecyduj, jak dogłębnie ocenić dostawcę, jak często przeglądać relację i jakie minimalne mechanizmy kontroli zastosować.

3. Ustal wymagania bezpieczeństwa, zanim dostęp zostanie przyznany

Oceny dostawców sprawdzają się najlepiej, gdy firma zna swoje minimalne wymagania, zanim dostęp zostanie zatwierdzony.

W przypadku dostawców wysokiego ryzyka wymagania te powinny obejmować mechanizmy kontroli, które chronią dane i zapewniają rozliczalność dostępu: MFA, szyfrowanie podczas przesyłania i w spoczynku, kontrolę dostępu opartą na rolach, logi audytowe, procedury reagowania na incydenty, zarządzanie podatnościami, kontrole podprocesorów, zobowiązania dotyczące usuwania danych i planowanie ciągłości działania.

Dowody bezpieczeństwa mogą wspierać ten przegląd. ISO 27001, SOC 2, krajowe schematy, takie jak Cyber Essentials w Wielkiej Brytanii, podsumowania testów penetracyjnych lub białe księgi bezpieczeństwa mogą pomóc, w zależności od roli dostawcy i wrażliwości relacji.

Certyfikaty i raporty z audytu opisują, jak działa dostawca. Mówią znacznie mniej o tym, kim dostawca jest w rzeczywistości. Niedawne dochodzenie w sprawie bezpieczeństwa Passwork dowodzi, że to rozróżnienie ma znaczenie: europejska rejestracja, dopracowana strona internetowa i komunikat „stworzone z myślą o zaufaniu” wystarczyły, aby przejść próg w organizacjach, które nigdy nie prześledziły własności, jurysdykcji ani pochodzenia kodu, który instalowały.

W przypadku każdego dostawcy mającego dostęp do wrażliwych systemów lub danych obok listy kontrolnej powinny znaleźć się dwa pytania: kto jest właścicielem firmy i kto sprawuje nad nią kontrolę oraz pod jakimi przepisami kraju ona działa; a także czy niezależni eksperci mogą sprawdzić kod, czy firma ufa zamkniętemu systemowi wyłącznie na słowo dostawcy?

Dostawcy średniego ryzyka mogą wymagać lżejszego przeglądu, ale nadal powinni umieć wyjaśnić, jak chronią konta, ograniczają dostęp pracowników, obsługują dane, powiadamiają klientów o incydentach i usuwają dostęp po zakończeniu relacji.

W przypadku dostawców niskiego ryzyka głównym sprawdzeniem może być to, czy rzeczywiście nie mają dostępu do wrażliwych systemów lub danych osobowych. Jeśli się to zmieni, dostawcę należy ponownie ocenić.

Dobry proces jest rygorystyczny tam, gdzie ryzyko jest wysokie, i lekki tam, gdzie ryzyko jest naprawdę niskie. Nie powinien zamieniać każdego przeglądu dostawcy w audyt korporacyjny, ale powinien zapobiegać zatwierdzaniu dostępu do wrażliwych zasobów wyłącznie na podstawie zaufania.

4. Monitoruj dostawców po wdrożeniu

Dostawcy zmieniają swoje systemy, podprocesorów, zasady, personel i mechanizmy kontroli bezpieczeństwa. Twoja firma może też z czasem przyznawać im większy dostęp. Bez monitoringu pierwotna ocena staje się nieaktualna.

Praktyczny proces monitoringu może obejmować coroczne przeglądy dostawców wysokiego i średniego ryzyka, kontrole przed odnowieniem umowy, ponowną ocenę w przypadku rozszerzenia dostępu oraz przegląd po każdym zgłoszonym incydencie. Kluczowi dostawcy mogą wymagać częstszych kontroli dostępu.

Monitoring powinien obejmować warstwę danych logowania. Sprawdź, czy konta dostawców nadal należą do aktywnych kontaktów, czy uprawnienia odpowiadają bieżącemu zakresowi, czy udostępnione dane logowania nadal istnieją oraz czy integracje lub klucze interfejsu API są wciąż potrzebne.

To właśnie tutaj wiele firm odkrywa możliwe do uniknięcia luki: stare konta agencji, nieużywane loginy wykonawców, udostępnione hasła, których nikt nie kontroluje, integracje utworzone na potrzeby dawnego projektu oraz uprawnienia administratora przyznane dla wygody.

Ryzyko związane z dostawcami należy również uwzględnić w planowaniu ciągłości działania. Jeśli kluczowy dostawca stanie się niedostępny, zgłosi naruszenie lub wymusi awaryjne zmiany w dostępie, firma potrzebuje sposobu na utrzymanie realizacji najważniejszych zadań. Przewodnik Proton po strategiach ciągłości działania⁠ wyjaśnia, dlaczego odporność zależy od czegoś więcej niż kopie zapasowe, zwłaszcza gdy w grę wchodzi dostęp i dane logowania.

5. Kontroluj dane logowania stron trzecich

Wiele programów zarządzania ryzykiem dostawców wygląda solidnie na papierze, a potem zawodzi na poziomie danych logowania. Dostawca może na papierze wyglądać na zgodnego z przepisami, a mimo to generować ryzyko przez sposób codziennego zarządzania dostępem.

Ryzyko tkwi w luce między formalnym procesem a rzeczywistością: dane logowania przechowywane poza zatwierdzonymi systemami, udostępnione konta bez wyraźnego właściciela lub klucze interfejsu API, które pozostają aktywne po zmianie relacji z dostawcą.

Jeśli te ścieżki dostępu nie zostaną przejrzane i unieważnione, firma może nadal ponosić ryzyko związane z dostawcą długo po zakończeniu pierwotnych prac.

Dostęp stron trzecich powinien podlegać tej samej dyscyplinie i tym samym zasadom haseł co dostęp wewnętrzny:

  • Przyznawaj dostawcom tylko niezbędny dostęp
  • Tam, gdzie to możliwe, korzystaj z kont imiennych
  • Unikaj udostępniania danych logowania, chyba że nie ma innej możliwości
  • Przechowuj udostępnione dane logowania w kontrolowanym systemie zarządzania danymi logowania
  • Udostępniaj pliki dostawcom przez zaszyfrowaną chmurową przestrzeń dyskową dla firm z linkami wygasającymi po określonym czasie, a nie w załącznikach do wiadomości
  • Regularnie sprawdzaj dostęp
  • Unieważniaj dostęp po zakończeniu prac
  • Rotuj dane logowania po zmianach personelu dostawcy lub incydentach
  • Wymagaj MFA wszędzie, gdzie usługa to obsługuje

Menadżer haseł dla firm sprawia, że te zasady są łatwe do wdrożenia. Daje zespołom bezpieczne miejsce do przechowywania danych logowania dostawców, udostępniania dostępu bez wysyłania haseł przez czat lub wiadomości, rotowania haseł i usuwania dostępu po zakończeniu relacji z dostawcą.

Twoja lista kontrolna bezpieczeństwa dostawców

Lista kontrolna bezpieczeństwa dostawców powinna pomóc Twojej firmie bezpiecznie wdrażać nowych dostawców.

Użyj jej, aby jasno zrozumieć tę relację:

  • Do jakich danych dostawca będzie miał dostęp, jakie dane będzie przetwarzał lub przechowywał?
  • Czy dostawca będzie przetwarzał dane osobowe w naszym imieniu?
  • Czy dostawca podpisze umowę powierzenia przetwarzania danych (DPA) i usunie nasze dane po zakończeniu umowy?
  • Gdzie będą przechowywane i przetwarzane dane?
  • Czy dostawca korzysta z podprocesorów?
  • Czy dostawca wymusza MFA?
  • Jak dostawca kontroluje dostęp pracowników do danych klientów?
  • Czy nasza firma może przypisywać uprawnienia oparte na stanowiskach?
  • Czy dostęp można usunąć natychmiast?
  • Czy dostawca udostępnia logi audytowe lub raporty aktywności administratora?
  • Jak dostawca szyfruje dane?
  • Jak szybko dostawca powiadomi nas o incydencie bezpieczeństwa?
  • Czy dostawca ma procedury ciągłości działania lub odtwarzania po awarii?
  • Czy dostawca może przedstawić dokumentację bezpieczeństwa, certyfikaty lub podsumowania audytów?
  • Czy dostawca doświadczył publicznie zgłoszonego incydentu bezpieczeństwa i jak sobie z nim poradził?
  • Kto jest właścicielem firmy i sprawuje nad nią kontrolę oraz w jakiej jurysdykcji działa?
  • Czy produkt jest oparty na otwartym kodzie źródłowym lub niezależnie audytowany, aby można było zweryfikować jego deklaracje dotyczące bezpieczeństwa?

Lista kontrolna powinna pokazywać każde ryzyko, na które zgadza się Twoja firma. Dostawca bez formalnej certyfikacji może mimo to nadawać się do prac niskiego ryzyka. Dostawca z dostępem administratora, słabym uwierzytelnianiem, niejasnymi terminami zgłaszania incydentów lub bez jasnego procesu usuwania danych to zupełnie inna decyzja.

W przypadku dostawców już wykorzystywanych wróć do listy kontrolnej przy odnowieniach i zaplanowanych przeglądach. Pierwotna zgoda może już nie odzwierciedlać sposobu, w jaki narzędzie jest dziś używane. Dostawca zatrudniony do małego projektu może po cichu stać się częścią obsługi klientów, procesów finansowych lub kluczowych integracji.

Jak Proton Pass for Business wspiera kontrolę dostępu dostawców

Zarządzanie ryzykiem dostawców staje się znacznie trudniejsze, gdy dostęp stron trzecich jest zarządzany poza kontrolowanym systemem. Dostawca może być zatwierdzony, udokumentowany i objęty umową, ale rzeczywiste ryzyko często zależy od codziennych ścieżek dostępu: udostępnionych danych logowania, uprawnień, kluczy dostępu, kodów odzyskiwania, kluczy interfejsu API i kont, które trzeba przejrzeć lub usunąć w miarę zmian w relacji.

Menadżer haseł dla firm, taki jak Proton Pass for Business⁠, pomaga firmom przenieść ten dostęp do bezpieczniejszego i możliwego do audytu procesu. Zespoły mogą przechowywać dane logowania dostawców w sejfach zaszyfrowanych end-to-end, generować silne i unikalne hasła, korzystać z autouzupełniania, aby ograniczyć ręczne operowanie danymi, zarządzać kluczami dostępu i udostępniać dostęp bez wysyłania haseł w wiadomościach, czacie czy dokumentach projektowych.

W szczególności w przypadku dostępu dostawców udostępnione sejfy mogą pomóc rozdzielić dane logowania według dostawcy, projektu, zespołu lub poziomu wrażliwości. Ułatwia to uporządkowanie dostępu, sprawdzenie, kto ma dostęp do czego, i usunięcie dostępu, gdy umowa wygasa, zmienia się kontakt u dostawcy lub incydent wymaga szybkiego ograniczenia.

Menadżer haseł dla zespołów IT⁠ dodaje warstwę administracyjną potrzebną, gdy proces staje się bardziej formalny. Zasady, raportowanie, logi, kontrola dostępu oparta na stanowiskach, udostępnianie przez SCIM i integracja z logowaniem jednokrotnym pomagają firmom zarządzać dostępem spójnie w zespołach, zamiast polegać na indywidualnych nawykach.

Proton Pass for Business wspiera Twoją firmę, kontrolując dane logowania i ścieżki dostępu, których dostawcy używają do pracy z Twoją firmą. Jest również oparty na otwartym kodzie źródłowym i niezależnie audytowany, więc przechodzi tę samą listę kontrolną, którą zalecamy stosować wobec własnych dostawców. Gdy dostęp dostawców jest przechowywany, udostępniany, sprawdzany i unieważniany w kontrolowanym środowisku, zarządzanie ryzykiem dostawców staje się łatwiejsze poza pierwotną oceną.

Bezpiecznie kontroluj dostęp stron trzecich do danych logowania dzięki menadżerowi haseł dla firm⁠.