Posouzení bezpečnosti dodavatelů a ověření souladu
Praktický rámec pro hodnocení úrovně zabezpečení externích dodavatelů, ověřování deklarovaného souladu a řízení kybernetických rizik v dodavatelském řetězci, včetně připravených kontrolních seznamů a šablon.
Obsah
- Shrnutí pro vedení
- Proč je bezpečnost dodavatelů důležitá právě teď
- Krok 1: Rozdělení dodavatelů podle rizika
- Krok 2: Bezpečnostní dotazník
- Krok 3: Ověření souladu na základě důkazů
- Krok 4: Technické posouzení
- Krok 5: Smluvní bezpečnostní požadavky
- Krok 6: Průběžný monitoring a opakované posouzení
- Zvláštní případ: dodavatelé OT/ICS
- Mapování na regulatorní rámce
- Připravené šablony
- Doporučení
1. Shrnutí pro vedení
Externí dodavatelé se stali jedním z nejrychleji rostoucích vektorů útoku v podnikové kybernetické bezpečnosti. Útoky na SolarWinds, Kaseya a MOVEit měly společné to, že útočníci nemuseli prolomit každou oběť přímo; místo toho šli přes software nebo službu důvěryhodného dodavatele.
Přesto většina organizací stále hodnotí bezpečnost dodavatelů pomocí dotazníků k sebehodnocení a letmého pohledu na loga certifikací. Takový přístup zaměňuje dokumentaci souladu se skutečnou úrovní zabezpečení a nechává organizace vystavené rizikům v dodavatelském řetězci, o kterých si myslí, že je už vyřešily.
Tento whitepaper nabízí strukturovaný a praktický rámec pro posouzení bezpečnosti dodavatelů a ověření souladu. Je určen bezpečnostním manažerům, nákupním týmům a compliance specialistům, kteří se potřebují posunout od odškrtávání políček k řízení rizik dodavatelů na základě důkazů.
Klíčový princip: Úroveň zabezpečení dodavatele není to, co uvede v dotazníku. Je to to, co dokáže doložit důkazy, co má skutečně zavedeno ve své infrastruktuře a co dokáže dlouhodobě udržet. Tento whitepaper vám dává nástroje, jak ověřit všechny tři části.
Rámec má šest fází, od počátečního rozdělení podle rizika až po průběžný monitoring, a obsahuje připravené kontrolní seznamy, bodovací matice a vzory smluvních ustanovení, které lze přizpůsobit programu řízení dodavatelů v jakékoli organizaci.
2. Proč je bezpečnost dodavatelů důležitá právě teď
Regulatorní prostředí se změnilo
Bezpečnost dodavatelů už není jen osvědčená praxe: je to regulatorní povinnost. Tři významné evropské předpisy stanovují výslovné požadavky na řízení bezpečnosti dodavatelského řetězce:
| Předpis | Požadavek na bezpečnost dodavatelů | Důsledek nesouladu |
|---|---|---|
| NIS2 | Čl. 21 odst. 2 písm. d): bezpečnost dodavatelského řetězce, včetně bezpečnostních aspektů vztahů s přímými dodavateli a poskytovateli služeb | Pokuty až 10 mil. € nebo 2 % celosvětového obratu u základních subjektů (7 mil. € nebo 1,4 % u důležitých subjektů); odpovědnost vedení |
| DORA | Kapitola V: komplexní řízení rizik plynoucích z ICT třetích stran s povinnými smluvními ustanoveními | Regulatorní sankce; orgán dohledu může omezit vztahy s dodavateli |
| ISO 27001:2022 | Příloha A, opatření 5.19–5.23: vztahy s dodavateli, bezpečnost informací v dodavatelských smlouvách, řízení rizik dodavatelského řetězce | Neudělení nebo odebrání certifikace |
Změnilo se i prostředí hrozeb
Výroční zprávy ENISA o hrozbách soustavně řadí kompromitaci dodavatelského řetězce mezi nejvýznamnější hrozby pro evropské organizace. Útočníci zjistili, že kompromitace jednoho dodavatele může otevřít přístup ke stovkám odběratelů. Ekonomika hraje ve prospěch útočníka: proč napadat jeden cíl, když stačí napadnout jednoho dodavatele a dostat se ke všem?
Vzorec z praxe: U mnoha známých útoků na dodavatelský řetězec měl kompromitovaný dodavatel certifikace, prošel audity a vyplnil bezpečnostní dotazníky. Mezera byla mezi zdokumentovanými a skutečně zavedenými opatřeními a nikdo to nekontroloval.
Typické důvody selhání
Většina programů bezpečnosti dodavatelů selhává předvídatelným způsobem. Pochopení těchto vzorců je prvním krokem k vybudování něčeho účinnějšího:
- Přílišné spoléhání na sebehodnocení. Dodavatelé mají hodnotit vlastní bezpečnost a nepřekvapivě ji líčí v příznivém světle. Bez ověření důkazů se z dotazníku stává cvičení ve fikci.
- Černobílé myšlení. Dodavatelé jsou buď „schválení“, nebo „zamítnutí“, bez střední cesty úměrné riziku. Poskytovatel cloudové SaaS služby, který zpracovává osobní údaje zákazníků, prochází stejným posouzením jako dodavatel kancelářských potřeb.
- Jednorázové posouzení. Dodavatel je posouzen při nástupu a už nikdy znovu. Dodavatel, který byl bezpečný v roce 2023, mohl od té doby změnit vlastníka, technologie nebo vedení bezpečnosti.
- Uctívání certifikátů. Certifikát ISO 27001 je brán jako důkaz bezpečnosti, ne jako důkaz systému řízení. Certifikát říká, že mají proces; neříká, že je proces účinný proti současným hrozbám.
- Žádné technické ověření. Posouzení stojí čistě na dokumentech. Nikdo nekontroluje, zda pravidla firewallu dodavatele odpovídají jeho politice, zda jsou koncová zařízení skutečně aktualizovaná a zda se řízení přístupu opravdu vynucuje.
3. Krok 1: Rozdělení dodavatelů podle rizika
Ne každý dodavatel vyžaduje stejnou míru kontroly. Prvním krokem každého programu bezpečnosti dodavatelů je rozdělit dodavatele do úrovní podle rizika, které pro vaši organizaci představují. Úsilí věnované posouzení pak odpovídá skutečné expozici.
Kritéria rozdělení
Úroveň rizika se určuje vyhodnocením čtyř faktorů:
| Faktor | Otázky, které si položit | Váha |
|---|---|---|
| Přístup k datům | Má dodavatel přístup k datům vaší organizace, zpracovává je nebo ukládá? Jaký typ: veřejná, interní, důvěrná nebo osobní data? | Vysoká |
| Přístup k síti | Připojuje se dodavatel do vaší sítě? Do kterých zón: firemní IT, DMZ, OT/ICS? | Vysoká |
| Kritičnost pro byznys | Co se stane, když tento dodavatel nebude k dispozici 24 hodin? 7 dní? 30 dní? | Střední |
| Regulatorní rozsah | Spadá tento dodavatel do rozsahu NIS2, DORA, GDPR nebo odvětvové regulace? | Střední |
Definice úrovní
Úroveň 1: kritická
Přímý přístup k citlivým datům nebo výrobním sítím. Závislost kritická pro byznys. Příklady: poskytovatel cloudového hostingu, MSSP, dodavatel ERP, integrátor OT systémů. Posouzení: úplné hodnocení + technické ověření + každoroční opakované posouzení.
Úroveň 2: vysoká
Přístup k interním datům nebo omezené připojení k síti. Významná provozní závislost. Příklady: HR platforma SaaS, poskytovatel spravované sítě, externí vývojový tým. Posouzení: úplný dotazník + kontrola důkazů + opakované posouzení jednou za dva roky.
Úroveň 3: střední
Omezený přístup k datům, žádné připojení k síti, středně důležitá provozní role. Příklady: platforma pro automatizaci marketingu, personální agentura, správa budov. Posouzení: zkrácený dotazník + kontrola certifikací.
Úroveň 4: nízká
Žádný přístup k datům, žádné připojení k síti, snadno nahraditelný. Příklady: kancelářské potřeby, catering, obecné poradenství. Posouzení: pouze základní due diligence.
Kontrolní seznam pro rozdělení dodavatelů
- Identifikujte všechny aktivní dodavatele s platnými smlouvami nebo objednávkami
- Určete typ dat, ke kterým má každý dodavatel přístup (žádná / veřejná / interní / důvěrná / osobní)
- Zmapujte síťové připojení: má dodavatel přístup přes VPN, API, agenta nebo fyzický přístup?
- Posuďte dopad na byznys: jaká je doba obnovy, pokud tento dodavatel selže?
- Určete regulatorní dopad: spadá tento dodavatelský vztah do rozsahu NIS2, DORA, ISO 27001?
- Přiřaďte úroveň (1–4) podle faktoru s nejvyšším rizikem
- Zdokumentujte zdůvodnění zařazení pro auditní stopu
- Zařazení revidujte každý rok nebo při obnově smlouvy
4. Krok 2: Bezpečnostní dotazník
Bezpečnostní dotazník je výchozí bod, ne cíl. Měl by být navržen tak, aby odhalil oblasti, které vyžadují hlubší prověření, ne aby vyprodukoval skóre souladu. Nejúčinnější dotazníky jsou stručné, konkrétní a vyžadují důkazy, ne jen odpovědi ano/ne.
Zásady návrhu dotazníku
- Žádejte důkazy, ne tvrzení. Místo „Šifrujete uložená data?“ se zeptejte: „Doložte dokumentaci k implementaci šifrování včetně použitých algoritmů, procesu správy klíčů a rozsahu pokrytí.“
- Buďte konkrétní v rozsahu. „Máte bezpečnostní politiku?“ nic neříká. „Doložte svou politiku bezpečnosti informací, datum poslední revize a důkaz, že se s ní zaměstnanci seznámili“ už je otázka, se kterou se dá pracovat.
- Ptejte se na provoz. „Jaká byla za posledních 12 měsíců průměrná doba nasazení záplat na kritické zranitelnosti?“ prozradí víc než „Máte proces správy záplat?“
- Ptejte se na incidenty. „Měli jste za posledních 24 měsíců bezpečnostní incident? Pokud ano, doložte shrnutí a ponaučení.“ Dodavatelé, kteří nikdy neměli incident, buď nehledali, nebo vám to neřeknou.
Základní bezpečnostní dotazník pro dodavatele (úroveň 1 a 2)
| Oblast | Otázka | Požadovaný důkaz |
|---|---|---|
| Řízení | Kdo ve vaší organizaci odpovídá za bezpečnost informací? Komu podává zprávy? | Organizační schéma s bezpečnostní funkcí |
| Řízení | Doložte svou politiku bezpečnosti informací s datem poslední revize/schválení. | Dokument politiky s datem |
| Certifikace | Uveďte všechny platné bezpečnostní certifikace (ISO 27001, SOC 2 apod.) s rozsahem a datem platnosti. | Kopie certifikátů s vymezením rozsahu |
| Řízení přístupu | Jak řídíte přístup k datům a prostředím klienta? Popište proces přidělování a odebírání přístupů. | Postup řízení přístupu; ukázkový důkaz procesu nástupu/odchodu zaměstnanců |
| Řízení přístupu | Je vícefaktorové ověřování vynuceno pro veškerý přístup do prostředí klienta? | Snímek obrazovky s konfigurací nebo výňatek z politiky |
| Ochrana dat | Popište svůj přístup k šifrování uložených a přenášených dat, včetně algoritmů a správy klíčů. | Technická dokumentace; politika šifrování |
| Ochrana dat | Kde geograficky jsou data klienta uložena? Lze umístění dat omezit na určitý region? | Dokumentace infrastruktury; diagram toků dat |
| Správa zranitelností | Jaké máte SLA pro nasazení záplat u kritických, vysokých, středních a nízkých zranitelností? | Politika správy záplat; metriky za posledních 12 měsíců |
| Správa zranitelností | Provádíte pravidelné penetrační testy? Uveďte datum a rozsah posledního testu. | Manažerské shrnutí penetračního testu (anonymizované) |
| Reakce na incidenty | Doložte svůj plán reakce na incidenty. V jaké lhůtě informujete klienty o bezpečnostních incidentech? | Dokument plánu reakce na incidenty; ustanovení o oznamování |
| Reakce na incidenty | Měli jste za posledních 24 měsíců bezpečnostní incident, který se týkal dat klientů? | Shrnutí incidentu nebo prohlášení, že k incidentu nedošlo |
| Kontinuita provozu | Doložte svůj plán kontinuity provozu a obnovy po havárii. Kdy byl naposledy testován? | Plán BCP/DR; zpráva z testu |
| Subzpracovatelé | Uveďte všechny subzpracovatele, kteří mají přístup k našim datům, jejich umístění a službu, kterou poskytují. | Registr subzpracovatelů |
| Personál | Provádíte prověrky zaměstnanců s přístupem k datům klientů? Popište svůj program školení bezpečnostního povědomí. | Politika prověrek; záznamy o absolvování školení |
| Bezpečnost sítí | Popište architekturu segmentace své sítě. Jak jsou data klienta oddělena od ostatních zákazníků? | Diagram síťové architektury (na vysoké úrovni) |
| Logování a monitoring | Jaké bezpečnostní události logujete? Jak dlouho logy uchováváte? Provozujete SOC sami, nebo ho máte outsourcovaný? | Politika logování; informace o SOC |
Tip: Dotazník posílejte s jasným termínem a jmenovanou kontaktní osobou pro dotazy. Dodavatelům úrovně 1 dejte 3–4 týdny. Neúplné odpovědi jsou samy o sobě zjištěním: dodavatel, který neumí popsat svá bezpečnostní opatření, pravděpodobně žádná účinná nemá.
5. Krok 3: Ověření souladu na základě důkazů
Tady většina programů posuzování dodavatelů končí příliš brzy. Dodavatel odeslal dotazník a doložil nějakou dokumentaci. Teď přichází klíčový krok: ověřit, že to, co zdokumentoval, je skutečně zavedené, účinné a aktuální.
Hierarchie ověřování
Důkazy mají různou míru spolehlivosti. Podle toho stanovte priority ověřování:
| Úroveň | Typ důkazu | Spolehlivost | Příklad |
|---|---|---|---|
| 1 | Prohlášení dodavatele | Nízká | „Ano, uložená data šifrujeme“ |
| 2 | Dokumentace politik | Nízká až střední | Předložená písemná politika šifrování |
| 3 | Certifikace třetí stranou | Střední | Certifikát ISO 27001 s vymezením rozsahu |
| 4 | Zpráva z nezávislého auditu | Střední až vysoká | Zpráva SOC 2 Type II s výsledky testů |
| 5 | Technický důkaz | Vysoká | Snímek konfigurace se zapnutým šifrováním AES-256 |
| 6 | Vaše vlastní testování | Nejvyšší | Penetrační test prostředí poskytnutého dodavatelem |
Co ověřit v jednotlivých oblastech
Kontrolní seznam: ověření certifikace
- Ověřte, že je certifikát platný (neprošlý)
- Přečtěte si vymezení rozsahu: pokrývá služby, které vám dodavatel poskytuje?
- Zkontrolujte, že je certifikační orgán akreditovaný (ČIA, UKAS, DAkkS, ANAB apod.)
- U ISO 27001: vyžádejte si prohlášení o aplikovatelnosti (SoA), které ukazuje, která opatření jsou zavedena
- U SOC 2: vyžádejte si celou zprávu Type II (nejen výrok auditora), projděte výjimky a doplňková opatření na straně uživatele (CUEC)
- Zkontrolujte případné výhrady nebo vyloučení z rozsahu ve zprávě z auditu
- Ověřte, že certifikát nebyl pozastaven: zkontrolujte veřejný registr certifikačního orgánu
Kontrolní seznam: ověření řízení přístupu
- Vyžádejte si důkaz, že je MFA pro přístup do vašeho prostředí vynucené (nejen dostupné)
- Vyžádejte si ukázku revize přístupů, která dokládá pravidelné znovupotvrzování uživatelských oprávnění
- Ověřte, že pracovníci dodavatele používají jmenné účty, ne sdílené přihlašovací údaje
- Potvrďte, že se přístup odebírá do 24 hodin od personální změny
- U vzdáleného přístupu: ověřte nahrávání relací, časové omezení a schvalovací proces
- Vyžádejte si popis toho, jak dodavatel řeší správu privilegovaných přístupů (PAM)
Kontrolní seznam: ověření ochrany dat
- Potvrďte, že šifrovací algoritmy odpovídají současným standardům (AES-256, TLS 1.2+)
- Ověřte správu klíčů: kdo klíče drží, jak často se rotují, oddělení povinností
- Vyžádejte si diagram toků dat, který ukazuje, kudy se vaše data v infrastruktuře dodavatele pohybují
- Potvrďte závazky ohledně umístění dat dokumentací infrastruktury (nejen prohlášeními v politikách)
- Ověřte postupy uchovávání a mazání dat: vyžádejte si důkaz o nedávném smazání
- U cloudových dodavatelů: potvrďte architekturu oddělení zákazníků (tenantů)
Kontrolní seznam: ověření reakce na incidenty
- Projděte plán reakce na incidenty dodavatele: zahrnuje oznámení klientovi?
- Ověřte lhůtu pro oznámení (pokud jste subjektem podle NIS2, musíte úřadům podat včasné varování do 24 hodin, takže oznámení dodavatele musí přijít s dostatečnou rezervou)
- Zeptejte se, kdy byl plán reakce na incidenty naposledy testován, a vyžádejte si zprávu z testu
- Potvrďte, že má dodavatel vyhrazený bezpečnostní kontakt pro eskalaci incidentů
- Projděte zprávy o minulých incidentech z hlediska kvality a transparentnosti
- Ověřte, že proces reakce na incidenty u dodavatele zahrnuje analýzu příčin a ponaučení
Varovný signál: Dodavatel, který nechce poskytnout jiné důkazy než vlastní prohlášení, vám tím něco sděluje. Jeho neochota k transparentnosti je sama o sobě ukazatelem rizika. Zdokumentujte ji, eskalujte ji a zvažte, zda obchodní vztah ospravedlňuje neověřené riziko.
6. Krok 4: Technické posouzení
U dodavatelů úrovně 1 (kritických) kontrola dokumentů nestačí. Technické posouzení, ať už ho provede váš tým nebo nezávislá třetí strana, poskytuje nejvyšší míru jistoty, že jsou opatření skutečně zavedena a fungují.
Rozsah technického posouzení
Rozsah závisí na přístupu dodavatele do vašeho prostředí a na typu poskytované služby. Mezi běžné činnosti technického posouzení patří:
| Typ posouzení | Kdy použít | Co ověřuje |
|---|---|---|
| Externí sken zranitelností | Všichni dodavatelé úrovně 1 se službami dostupnými z internetu | Veřejně vystavené zranitelnosti, zastaralé služby, chybně nastavené SSL/TLS |
| Kontrola konfigurace | Dodavatelé s přímým přístupem do vaší infrastruktury | Pravidla firewallu, řízení přístupu, nastavení šifrování, konfigurace logování |
| Penetrační test | Dodavatelé poskytující aplikační služby nebo hostingová prostředí | Zneužitelné zranitelnosti v infrastruktuře nebo aplikaci dodavatele |
| Kontrola architektury | Dodavatelé, kteří budují nebo spravují kritickou infrastrukturu | Kvalita návrhu, oddělení odpovědností, odolnost, bezpečnost již od návrhu |
| Kontrola zdrojového kódu | Dodavatelé dodávající software na míru | Kvalita kódu, injekční zranitelnosti, slabiny ověřování, natvrdo zapsané přihlašovací údaje |
Praktický přístup: Nemusíte penetračně testovat každého dodavatele. Pomocí rozdělení podle rizika zaměřte technická posouzení na dodavatele, kteří představují největší riziko. V mnoha organizacích si technické posouzení zaslouží jen hrstka dodavatelů. Ostatní lze řídit pomocí dotazníku, kontroly důkazů a průběžného monitoringu.
Na co se zaměřit
Při technickém posouzení prostředí dodavatele jsou toto nejčastější zjištění, která ukazují na systémové bezpečnostní slabiny:
- Zastaralé verze softwaru se známými kritickými zranitelnostmi (zejména webové servery, databáze a VPN zařízení)
- Výchozí nebo slabé přihlašovací údaje na administrátorských rozhraních
- Chybějící nebo chybně nastavené TLS (prošlé certifikáty, slabé šifrovací sady, smíšený obsah)
- Příliš volné řízení přístupu (administrátorské panely dostupné bez MFA, nadměrná oprávnění API)
- Chybějící bezpečnostní hlavičky (CSP, HSTS, X-Frame-Options)
- Chybějící segmentace sítě mezi zákazníky nebo mezi produkčním a vývojovým prostředím
- Nedostatečné logování: pokud vám dodavatel nedokáže ukázat logy přístupů k vašim datům, předpokládejte, že je nemá
7. Krok 5: Smluvní bezpečnostní požadavky
Technická posouzení ověřují současný stav. Smlouvy chrání stav budoucí. Bezpečnostní požadavky musí být součástí smluv s dodavateli, aby opatření ověřená při posouzení zůstala zachována po celou dobu spolupráce.
Klíčová smluvní ustanovení
Bezpečnostní ustanovení ve smlouvách s dodavateli
| Ustanovení | Účel | Doporučené znění (shrnutí) |
|---|---|---|
| Právo na audit | Umožňuje vám nezávisle ověřit bezpečnostní opatření | Klient si vyhrazuje právo provádět audit bezpečnostních opatření dodavatele jednou ročně nebo při důvodném podezření na bezpečnostní incident, po oznámení alespoň 30 dní předem. Dodavatel poskytne přiměřený přístup a součinnost. |
| Oznamování incidentů | Zajišťuje včasnou informovanost o narušeních | Dodavatel oznámí Klientovi do 24 hodin od okamžiku, kdy se dozví o jakémkoli bezpečnostním incidentu, který může ovlivnit data nebo služby Klienta, včetně podezření na incident. Oznámení obsahuje povahu, rozsah a nápravná opatření. |
| Nakládání s daty | Vymezuje povolené použití a umístění dat | Dodavatel zpracovává data Klienta pouze podle pokynů, ukládá je v rámci [určené geografické oblasti], šifruje je při uložení i přenosu pomocí standardních algoritmů a do 30 dnů od ukončení smlouvy je smaže. |
| Kontrola subzpracovatelů | Přenáší bezpečnostní požadavky dál v řetězci | Dodavatel nezapojí subzpracovatele bez předchozího písemného souhlasu. Všichni subzpracovatelé budou vázáni bezpečnostními povinnostmi, které nejsou méně přísné než tato smlouva. O změnách subzpracovatelů bude Klient informován 30 dní předem. |
| Bezpečnostní standardy | Stanovuje minimální bezpečnostní úroveň | Dodavatel po celou dobu trvání smlouvy udržuje bezpečnostní opatření v souladu s [ISO 27001 / NIST CSF / IEC 62443] a každoročně doloží trvající soulad. |
| Personální bezpečnost | Řídí, kdo má přístup k vašim datům | Dodavatel provádí prověrky všech pracovníků s přístupem k datům Klienta, zajišťuje pravidelná školení bezpečnostního povědomí a omezuje přístup na pracovníky s doloženou pracovní potřebou. |
| Ukončení a vrácení dat | Chrání data na konci spolupráce | Po ukončení smlouvy Dodavatel do 30 dnů vrátí nebo bezpečně zničí veškerá data Klienta a písemně potvrdí jejich zničení, včetně metody a rozsahu. |
| Odpovědnost a odškodnění | Rozděluje finanční riziko narušení | Dodavatel odškodní Klienta za ztráty vzniklé v důsledku nedodržení bezpečnostních povinností Dodavatelem. Limit odpovědnosti za bezpečnostní narušení činí [určit, obvykle vyšší než obecný limit odpovědnosti]. |
Poznámka k DORA: U organizací z finančního sektoru předepisuje článek 30 DORA povinné náležitosti smluv s poskytovateli ICT služeb, mimo jiné jasný popis služeb, místa zpracování dat, popis úrovně služeb, práva na ukončení a výpovědní lhůty. Smlouvy podporující kritické nebo důležité funkce musí navíc pokrývat povinnosti podávání zpráv, strategie ukončení a neomezená práva na přístup, inspekci a audit. Pokud pod nařízení spadáte, ujistěte se, že váš vzor smlouvy pokrývá všechny požadavky článku 30.
8. Krok 6: Průběžný monitoring a opakované posouzení
Bezpečnost dodavatelů není jednorázová činnost. Dodavatel, který byl bezpečný při nástupu, nemusí být bezpečný o dvanáct měsíců později. Změny vlastnictví, personálu, technologií nebo hrozeb mohou úroveň zabezpečení dodavatele oslabit, aniž byste o tom věděli, pokud ji nemonitorujete.
Rámec průběžného monitoringu
Činnosti průběžného monitoringu
- Zpravodajství o únicích: Sledujte veřejné databáze úniků a zpravodajské zdroje kvůli incidentům souvisejícím s dodavateli. Služby jako Have I Been Pwned, odvětvová ISAC centra a doporučení ENISA poskytují včasné varování.
- Sledování platnosti certifikátů: Sledujte expiraci SSL/TLS certifikátů a bezpečnostních certifikací dodavatelů. Prošlý certifikát ISO 27001 znamená, že systém řízení už není externě ověřený.
- Monitoring vnější útočné plochy: Pomocí nástrojů sledujte změny vnější útočné plochy dodavatele: nové domény, otevřené porty, prošlé certifikáty, změny technologií.
Spouštěcí události pro opakované posouzení
Kromě plánovaných kontrol by určité události měly spustit okamžité opakované posouzení bez ohledu na běžný cyklus:
- Dodavatel nahlásí bezpečnostní incident
- Dodavatel je převzat nebo se sloučí s jinou společností
- Významná změna služby dodavatele (nová technologie, noví subzpracovatelé, nové datové centrum)
- Veřejné zprávy o narušení, které se týká dodavatele nebo jeho dodavatelského řetězce
- Bezpečnostní certifikace dodavatele propadne nebo je pozastavena
- Podstatná změna vašeho vlastního rizikového profilu (např. dodavatel začne pracovat s citlivějšími daty a posune se z úrovně 3 do úrovně 1)
Kontrolní seznam ročního opakovaného posouzení (dodavatelé úrovně 1)
- Vyžádejte si aktualizované odpovědi na bezpečnostní dotazník
- Ověřte, že všechny certifikace jsou stále platné a mají správný rozsah
- Projděte bezpečnostní incidenty nahlášené za dané období
- Vyžádejte si aktuální výsledky penetračních testů
- Projděte změny subzpracovatelů od posledního posouzení
- Ověřte, že místa zpracování dat stále odpovídají smluvním závazkům
- Projděte bezpečnostní tým dodavatele: změnili se klíčoví lidé?
- Posuďte finanční zdraví dodavatele (dodavatel ve finančních potížích může šetřit na bezpečnosti)
- Projděte plnění SLA: dostupnost, doby reakce na incidenty, metriky záplatování
- Pokud se okolnosti změnily, aktualizujte úroveň rizika dodavatele
- Zdokumentujte zjištění a požadavky na nápravu s jasnými termíny
- Kritická zjištění předložte výboru pro rizika nebo vedení
9. Zvláštní případ: dodavatelé OT/ICS
Dodavatelé, kteří dodávají zařízení, software nebo služby do prostředí provozních technologií, představují specifická rizika, která běžné posouzení IT dodavatelů dostatečně nepokrývá. Dodavatel OT se vzdáleným přístupem do vaší sítě řízení procesů je něco zásadně jiného než dodavatel SaaS, který má nějaká marketingová data.
Čím se dodavatelé OT liší
- Přímý fyzický dopad. Narušení u IT dodavatele hrozí ztrátou dat. Narušení u OT dodavatele hrozí odstávkou výroby, poškozením zařízení nebo bezpečnostními incidenty. Takový profil následků vyžaduje jiný přístup k posouzení.
- Trvalý vzdálený přístup. Dodavatelé OT běžně udržují kvůli podpoře trvale zapnutá VPN spojení nebo mobilní modemy. Tato spojení často obcházejí standardní IT bezpečnostní opatření a nemusí být monitorována.
- Dlouhý životní cyklus zařízení. OT zařízení běží 15–25 let. Úroveň zabezpečení dodavatele v době nákupu může být pro jeho současný stav irelevantní, nebo už dodavatel nemusí existovat.
- Aktualizace firmwaru a softwaru. Dodavatelé OT ovládají firmware vaší kritické infrastruktury. Kompromitovaný aktualizační mechanismus by mohl nasadit škodlivý kód do každého zařízení ve vašem závodě.
Kontrolní seznam bezpečnosti dodavatelů OT/ICS (doplňkový)
- Vyžaduje dodavatel vzdálený přístup? Pokud ano, jaká je technická architektura (VPN, mobilní síť, cloudový relay)?
- Lze vzdálený přístup časově omezit a vyžadovat vaše schválení každé relace?
- Je vzdálený přístup monitorován a jsou relace nahrávány?
- Poskytuje dodavatel aktualizace firmwaru/softwaru? Jaký má bezpečný životní cyklus vývoje (SDL)?
- Jsou aktualizace digitálně podepsané? Můžete podpis ověřit před nasazením?
- Prošlo vývojové prostředí dodavatele bezpečnostním posouzením třetí stranou?
- Podporuje dodavatel segmentaci sítě (tj. může jeho zařízení fungovat v segmentované zóně)?
- Může zařízení dodavatele fungovat s omezeným přístupem k internetu?
- Má dodavatel program pro hlášení zranitelností?
- Jakou má dodavatel politiku konce životnosti? Bude poskytovat bezpečnostní záplaty po celou očekávanou dobu životnosti zařízení?
- Splňuje dodavatel IEC 62443-4-1 (bezpečný životní cyklus vývoje produktu)?
- Podporuje produkt IEC 62443-4-2 (bezpečnostní požadavky na komponenty)?
- Lze změnit výchozí přihlašovací údaje bez ztráty záruky nebo smlouvy o podpoře?
- Poskytuje dodavatel příručku pro zabezpečení (hardening) svého zařízení?
Klíčový princip pro dodavatele OT: Počítejte s narušením. Navrhněte svá opatření s předpokladem, že přihlašovací údaje, notebook nebo aktualizační mechanismus dodavatele budou jednou kompromitovány. Segmentace, monitoring a řízení relací jsou kompenzační opatření pro riziko, které samotným posouzením dodavatele plně nezmírníte.
10. Mapování na regulatorní rámce
Dobře navržený program bezpečnosti dodavatelů splňuje požadavky několika regulatorních rámců současně. Tabulka níže přiřazuje každou fázi tohoto rámce k příslušným ustanovením NIS2, DORA, ISO 27001 a NIST CSF.
| Fáze rámce | NIS2 | DORA | ISO 27001:2022 | NIST CSF 2.0 |
|---|---|---|---|---|
| Rozdělení dodavatelů podle rizika | čl. 21 odst. 2 písm. d) | čl. 28 odst. 4 písm. a) | A.5.19, A.5.21 | GV.SC-04 |
| Bezpečnostní dotazník | čl. 21 odst. 2 písm. d) | čl. 28 odst. 4 písm. d) | A.5.20 | GV.SC-06 |
| Ověření důkazů | čl. 21 odst. 2 písm. d) | čl. 28 odst. 5 | A.5.22 | GV.SC-07 |
| Technické posouzení | čl. 21 odst. 2 písm. e) | čl. 28 odst. 6, čl. 26 | A.5.22, A.8.8 | ID.RA-09 |
| Smluvní požadavky | čl. 21 odst. 2 písm. d) | čl. 30 | A.5.20 | GV.SC-05 |
| Průběžný monitoring | čl. 21 odst. 2 písm. d) | čl. 28 odst. 3 a 6 | A.5.22, A.5.23 | GV.SC-09 |
Úspora: Zavedením tohoto jediného rámce řízení dodavatelů pokryjete požadavky na dodavatelský řetězec z NIS2, DORA, ISO 27001 i NIST CSF současně. Jeden proces, jedno úložiště důkazů, čtyři výsledky v oblasti souladu.
11. Připravené šablony
Níže najdete praktické šablony, které můžete přizpůsobit programu řízení dodavatelů ve vaší organizaci. Každá šablona je navržena k přímému použití: vyplňte pole v hranatých závorkách a upravte bodování podle své ochoty podstupovat riziko.
Šablona A: Hodnoticí karta bezpečnosti dodavatele
Hodnoticí karta posouzení bezpečnosti dodavatele
Ohodnoťte každou oblast body 1–5. Zvažte podle důležitosti. Vážený průměr pod 3,0 vyžaduje nápravu před zahájením spolupráce nebo obnovou smlouvy.
| Oblast | Váha | Skóre (1–5) | Vážené skóre | Kvalita důkazů | Poznámky |
|---|---|---|---|---|---|
| Řízení bezpečnosti a organizace | 10% | [ ] | [ ] | [ ] | |
| Řízení přístupu a identit | 15% | [ ] | [ ] | [ ] | |
| Ochrana dat a šifrování | 15% | [ ] | [ ] | [ ] | |
| Správa zranitelností a záplat | 15% | [ ] | [ ] | [ ] | |
| Bezpečnost a segmentace sítě | 10% | [ ] | [ ] | [ ] | |
| Reakce na incidenty | 10% | [ ] | [ ] | [ ] | |
| Kontinuita provozu a obnova po havárii | 10% | [ ] | [ ] | [ ] | |
| Logování a monitoring | 5% | [ ] | [ ] | [ ] | |
| Personální bezpečnost a školení | 5% | [ ] | [ ] | [ ] | |
| Řízení třetích stran / subzpracovatelů | 5% | [ ] | [ ] | [ ] | |
| CELKOVÉ VÁŽENÉ SKÓRE | 100% | [ ] / 5.0 |
Klíč bodování: 1 = nezavedeno, 2 = částečně zavedeno, 3 = zavedeno, ale nedoloženo, 4 = zavedeno a doloženo, 5 = zavedeno, doloženo a nezávisle ověřeno.
Kvalita důkazů: A = technický důkaz / nezávislý audit, B = předložená dokumentace, C = pouze vlastní prohlášení, D = nedoloženo.
Šablona B: Rozhodovací matice rizik dodavatele
Rozhodovací matice podle výsledku posouzení
| Vážené skóre | Rozhodnutí | Požadované kroky |
|---|---|---|
| 4.0 – 5.0 | Schválit | Pokračujte v zahájení spolupráce. Naplánujte opakované posouzení podle harmonogramu úrovně. Archivujte důkazy. |
| 3.0 – 3.9 | Schválit s podmínkami | Schválit s plánem nápravy. Dodavatel musí nedostatky odstranit do 90 dnů. Mezitím zaveďte kompenzační opatření. Opakované posouzení za 6 měsíců. |
| 2.0 – 2.9 | Odložit | Nezahajujte spolupráci, dokud nebude náprava dokončena. Předejte dodavateli konkrétní požadavky. Stanovte termín přezkumu do 6 měsíců. Hledejte alternativní dodavatele. |
| Pod 2,0 | Zamítnout | Nepokračujte. Úroveň zabezpečení představuje nepřijatelné riziko. Zdokumentujte zdůvodnění a sdělte ho zodpovědné osobě z byznysu. Najděte alternativy. |
Šablona C: Sledování nápravných opatření dodavatele
Přehled nápravných opatření dodavatele
| ID zjištění | Oblast | Popis zjištění | Závažnost | Požadovaná náprava | Termín | Stav | Důkaz |
|---|---|---|---|---|---|---|---|
| [F-001] | [např. řízení přístupu] | [Konkrétní zjištění] | [Kritická/Vysoká/Střední/Nízká] | [Konkrétní nápravné opatření] | [Datum] | [Otevřené/Rozpracované/Uzavřené] | [Odkaz na důkaz] |
| [F-002] | |||||||
| [F-003] |
Šablona D: Souhrn roční kontroly bezpečnosti dodavatele
Roční kontrola bezpečnosti dodavatele: [název dodavatele]
| Pole | Podrobnosti |
|---|---|
| Název dodavatele | [ ] |
| Úroveň dodavatele | [1 / 2 / 3 / 4] |
| Poskytované služby | [ ] |
| Klasifikace dat | [Veřejná / Interní / Důvěrná / Osobní] |
| Přístup k síti | [Žádný / Firemní IT / DMZ / OT] |
| Konec platnosti smlouvy | [Datum] |
| Datum posledního úplného posouzení | [Datum] |
| Aktuální bezpečnostní skóre | [ ] / 5.0 |
| Předchozí bezpečnostní skóre | [ ] / 5.0 |
| Vývoj skóre | [Zlepšuje se / Stabilní / Zhoršuje se] |
| Platné certifikace | [ISO 27001 (platnost do: ), SOC 2 (platnost do: ), atd.] |
| Otevřené nápravné položky | [Počet, kritické: , vysoké: , střední: ] |
| Incidenty během sledovaného období | [Počet a shrnutí] |
| Změny subzpracovatelů | [Ano/Ne, podrobnosti] |
| Doporučení | [Pokračovat / Pokračovat s podmínkami / Eskalovat / Ukončit] |
| Posuzovatel | [Jméno, datum] |
| Schválil(a) | [Jméno, datum] |
12. Doporučení
Budování účinného programu bezpečnosti dodavatelů není jednorázový projekt. Je to trvalá provozní schopnost. Následující doporučení shrnují klíčové kroky pro organizace na různých úrovních vyspělosti:
Pokud začínáte od nuly
- Sepište své dodavatele. Nemůžete posoudit, o čem nevíte. Začněte úplným seznamem dodavatelů, kteří mají přístup k vašim datům, síti nebo kritickým obchodním procesům.
- Rozdělte je do úrovní. Použijte čtyřúrovňový model z tohoto dokumentu. Počáteční úsilí zaměřte na dodavatele úrovně 1: představují největší riziko a jejich posouzení zabere nejvíc času.
- Nejdřív posuďte svou první pětku. Nesnažte se posoudit všechny dodavatele najednou. Začněte pěti nejkritičtějšími, vylaďte proces a pak rozšiřujte.
- Zabudujte bezpečnost do nákupu. Udělejte z bezpečnostního dotazníku povinnou součást nástupu dodavatele. Pokud ho dodavatel odmítne vyplnit, je to zjištění ještě před začátkem posouzení.
Pokud program máte, ale chcete ho zlepšit
- Jděte dál než k vlastním prohlášením. Začněte vyžadovat důkazy pro kritické oblasti (řízení přístupu, šifrování, reakce na incidenty). Ověřování na základě důkazů je zlepšení s jednoznačně největším dopadem.
- Přidejte technická posouzení pro úroveň 1. I základní externí sken zranitelností poskytne víc jistoty než tisíc odpovědí v dotaznících.
- Zaveďte průběžný monitoring. Odebírejte zpravodajství o únicích. Monitorujte vnější útočnou plochu svých kritických dodavatelů. Sledujte data expirace certifikací.
- Reportujte vedení. Riziko dodavatelů je obchodní riziko. Předkládejte představenstvu nebo výboru pro rizika roční souhrn rizik dodavatelů. Hodnoticí karta a rozhodovací matice z rizika udělají něco hmatatelného.
Pokud jste vyspělí a chcete optimalizovat
- Automatizujte, kde to jde. Používejte platformy pro řízení rizik dodavatelů k automatické distribuci dotazníků, sběru důkazů a výpočtu hodnoticích karet. Uvolněte čas svého týmu pro práci, která vyžaduje úsudek.
- Propojte to s registrem rizik. Rizika dodavatelů by měla přecházet do podnikového registru rizik se stejnou klasifikací a stejným procesem ošetření jako interní rizika.
- Porovnávejte napříč portfoliem. Srovnávejte skóre dodavatelů v čase a napříč portfoliem. Zjistěte, které kategorie dodavatelů představují největší riziko a kde na trhu existují alternativy.
- Provádějte cvičení u stolu. Nasimulujte scénář narušení u dodavatele a otestujte reakci na incidenty, komunikaci a postupy převzetí služeb. Cvičení odhalí mezery, které žádný dotazník nenajde.
Závěrečná myšlenka: Cílem řízení bezpečnosti dodavatelů není odstranit veškeré riziko třetích stran; v propojené ekonomice to není možné. Cílem je rozumět své expozici vůči rizikům třetích stran, informovaně rozhodovat, která rizika přijmout, zmírnit nebo přenést, a udržet si schopnost reagovat, když k incidentu u dodavatele dojde. Tento rámec k tomu poskytuje strukturu.
Zdroje a další čtení
- Evropský parlament a Rada, Směrnice (EU) 2022/2555 (NIS2), čl. 21 odst. 2 písm. d), povinnosti v oblasti bezpečnosti dodavatelského řetězce
- Evropský parlament a Rada, Nařízení (EU) 2022/2554 (DORA), kapitola V, řízení rizik plynoucích z ICT třetích stran
- ISO/IEC 27001:2022, Systémy řízení bezpečnosti informací, příloha A, opatření 5.19–5.23
- NIST, Cybersecurity Framework 2.0 (2024), funkce Govern: kategorie řízení rizik dodavatelského řetězce
- IEC 62443-2-4, Požadavky na bezpečnostní program poskytovatelů služeb pro IACS
- IEC 62443-4-1, Požadavky na bezpečný životní cyklus vývoje produktu
- ENISA, Threat Landscape for Supply Chain Attacks (2021)
- NIST SP 800-161r1, Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations (2022)
- Cloud Security Alliance, Consensus Assessments Initiative Questionnaire (CAIQ) v4
- AICPA, SOC 2, Trust Services Criteria (2022)
Potřebujete pomoc s posouzením bezpečnosti dodavatelů?
BlueCyber pomáhá středním i velkým organizacím budovat praktické programy bezpečnosti dodavatelů, od návrhu rámce až po průběžné posuzování a ověřování souladu.
Domluvit bezplatnou konzultaci