CyberSec Update #36 – Klauzula cyberbezpieczeństwa

CyberSec Update: klauzula cyberbezpieczeństwa w umowie, czyli spór o mur graniczny

„Mur runął, a z murem zgoda” – cała Zemsta Fredry kręci się wokół jednego: kawałka muru na granicy dwóch posiadłości, którego nikt nie chce naprawić i o który wszyscy się kłócą. Cześnik i Rejent doskonale wiedzą, gdzie kończy się jedno, a zaczyna drugie włości. Problem w tym, że nie ustalili, kto odpowiada za granicę.

To zaskakująco trafna metafora dzisiejszego cyberbezpieczeństwa. Zgodnie z duchem naszego cyklu na kolejne zagadnienia patrzymy właśnie przez ten pryzmat. Najwięcej incydentów nie rodzi się w sercu systemu, lecz na styku organizacji z jej kontrahentem – tam, gdzie kończy się „nasza” infrastruktura, a zaczyna „ich” dostęp. Klauzula cyberbezpieczeństwa to nic innego jak umowny mur graniczny i przede wszystkim jasna odpowiedź na pytanie, kto odpowiada za jego ochronę.

Po co w ogóle klauzula cyberbezpieczeństwa?

Klauzula cyberbezpieczeństwa przenosi standard ochrony z wnętrza organizacji na relację z kontrahentem. Jej znaczenie rośnie szczególnie tam, gdzie skala i wrażliwość przetwarzanych informacji są największe:

• w dużych projektach infrastrukturalnych oraz inwestycjach o znaczeniu strategicznym;
• w złożonych zamówieniach publicznych, gdzie zamawiający odpowiada za ciągłość świadczenia usług;
• wszędzie tam, gdzie bezpieczeństwo łańcucha dostaw stanowi element zarządzania ryzykiem wymaganym od podmiotów kluczowych i ważnych.

To właśnie ten „mur”, którego zabrakło bohaterom Fredry.

Co powinna zapewniać klauzula cyberbezpieczeństwa?

Dobrze skonstruowana klauzula wyznacza minimalny, jednolity standard wymagań organizacyjnych i technicznych po stronie kontrahenta. W praktyce może obejmować między innymi:

• obowiązek zgłaszania incydentów w jasno określonych terminach umownych;
• ciągły monitoring zdarzeń bezpieczeństwa adekwatny do zakresu dostępu;
• regularne testy podatności oraz usuwanie wykrytych podatności w wyznaczonych terminach;
• dla dostawców o wyższym poziomie ryzyka: uwierzytelnianie wieloskładnikowe (MFA), zasadę najmniejszych uprawnień, przegląd i wygaszanie uprawnień oraz szyfrowanie danych;
• certyfikację, np. ISO/IEC 27001, lub równoważne wykazanie dojrzałości bezpieczeństwa.

Przed jakimi ryzykami chroni klauzula?

Klauzula cyberbezpieczeństwa adresuje ryzyka, które realnie wpływają na realizację projektów i funkcjonowanie organizacji:

• incydenty bezpieczeństwa i ich eskalację w środowisku kontrahenta;
• naruszenia danych, w tym danych osobowych oraz informacji szczególnie chronionych;
• zakłócenia ciągłości działania systemów o znaczeniu operacyjnym;
• ryzyka związane z łańcuchem dostaw, w tym korzystanie z komponentów tzw. dostawców wysokiego ryzyka.

Klauzula cyberbezpieczeństwa a odpowiedzialność stron

Istotą dobrze przygotowanej klauzuli jest wcześniejsze rozpisanie ról i obowiązków. Inaczej niż u Cześnika i Rejenta, strony powinny z góry wiedzieć, za co odpowiadają.

• podział obowiązków – kto, co i w jakim terminie raportuje;
• mechanizmy raportowania incydentów – dedykowane kanały komunikacji i formaty zgłoszeń;
• audyty – autonomiczne prawo do weryfikacji dokumentacyjnej i technicznej;
• sankcje umowne – najlepiej stopniowane, od naruszeń formalnych przez naruszenia bezpieczeństwa aż po naruszenia krytyczne umożliwiające odstąpienie od umowy.

Zasada proporcjonalności – serce dobrze napisanej klauzuli

Wymagania powinny być dostosowane do charakteru, skali i ryzyka konkretnego zaangażowania kontrahenta.

Kluczowe jest przy tym rozróżnienie:

• wielkość przedsiębiorstwa może wpływać na sposób wykazania zgodności, np. poprzez uproszczoną dokumentację dla MŚP;
• nie może jednak obniżać samego poziomu wymaganego bezpieczeństwa, ponieważ ten wynika z przypisanej kategorii ryzyka.

Dzięki temu klauzula nie staje się nadmiernie uciążliwa dla mniejszych podmiotów, a jednocześnie nie osłabia ochrony tam, gdzie stawka jest najwyższa.

Zgodność z KSC i NIS2

Klauzula cyberbezpieczeństwa stanowi praktyczne narzędzie realizacji obowiązków wynikających z ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC) oraz dyrektywy NIS2. W szczególności wspiera:

• wdrożenie systemu zarządzania bezpieczeństwem oraz proporcjonalnych środków technicznych i organizacyjnych;
• zarządzanie bezpieczeństwem łańcucha dostaw i obsługę incydentów;
• realizację obowiązków organów zarządzających w zakresie nadzoru nad zarządzaniem ryzykiem.

Ważne: umowne terminy zgłaszania incydentów nie zastępują ustawowych terminów raportowania do właściwego CSIRT. Oba reżimy funkcjonują równolegle.

RODO – most między bezpieczeństwem informacji a ochroną danych

Jeżeli współpraca obejmuje przetwarzanie danych osobowych, klauzula cyberbezpieczeństwa naturalnie łączy się z art. 32 RODO, który wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych adekwatnych do ryzyka.

W praktyce oznacza to, że:

• wymogi bezpieczeństwa wynikające z klauzuli stanowią minimum również dla ochrony danych osobowych;
• kwestie dotyczące samego przetwarzania danych osobowych są regulowane odrębną umową powierzenia przetwarzania danych (DPA).

Co dalej?

Morałem Zemsty jest zgoda, która przychodzi dopiero wtedy, gdy spór o mur zdążył już wyrządzić szkody. W cyberbezpieczeństwie nie warto powielać tej kolejności. Granicę odpowiedzialności lepiej wyznaczyć przed podpisaniem umowy czy przetargiem niż po wystąpieniu incydentu.

Klauzula cyberbezpieczeństwa jest właśnie takim murem – ustanowionym odpowiednio wcześnie i dostosowanym do poziomu ryzyka.

W kolejnym odcinku pokażemy, jak w praktyce budować kategorie ryzyka kontrahenta i różnicować wobec nich wymagania tak, aby klauzula była skuteczna tam, gdzie jest to konieczne, i proporcjonalna tam, gdzie jest to możliwe.

A u Was – kto pilnuje muru granicznego między organizacją a jej dostawcami?