CyberSec Update #37 – Kategorie ryzyka kontrahenta | KWKR

CyberSec Update: kategorie ryzyka kontrahenta – po co Temidzie waga, a nie tylko miecz

Temida trzyma dwa atrybuty. Miecz, bo prawo musi umieć egzekwować. Ale w drugiej ręce dzierży wagę, bo zanim wymierzy się sankcję, trzeba najpierw zważyć, co i ile jest warte. Wymiar sprawiedliwości bez wagi byłby samą siłą; z wagą staje się miarą.

W poprzednim odcinku pisaliśmy o klauzuli cyberbezpieczeństwa jako umownym „murze granicznym” między organizacją a jej kontrahentem. Dziś czas na kontynuację: jak w praktyce budować kategorie ryzyka kontrahenta, żeby klauzula była twarda tam, gdzie trzeba, i rozsądna tam, gdzie można. Innymi słowy – jak najpierw zważyć ryzyko, a dopiero potem sięgać po miecz.

Dlaczego jedna klauzula dla wszystkich nie działa?

Dostawca jednorazowej licencji i integrator systemów sterowania przemysłowego nie generują tego samego ryzyka. Nałożenie identycznych obowiązków na obu kontrahentów może prowadzić do dwóch niepożądanych skutków:

• mniejszych podmiotów nie stać na wymagania projektowane dla infrastruktury krytycznej, przez co mogą zrezygnować z udziału w postępowaniu lub podnieść cenę swoich usług;
• w przypadku dostawców o najwyższym poziomie ryzyka łatwo z kolei obniżyć poziom ochrony do wspólnego mianownika.

Odpowiedzią jest kategoryzacja ryzyka kontrahenta, czyli przypisywanie wymagań proporcjonalnie do rzeczywistego poziomu zagrożeń.

Model czterostopniowy A–D w praktyce

W praktyce dobrze sprawdza się prosty model obejmujący cztery kategorie ryzyka. Są one przypisywane proporcjonalnie do zakresu dostępu kontrahenta do systemów, danych oraz infrastruktury organizacji.

• Kategoria A – podstawowa: kontrahenci bez istotnego dostępu do systemów i danych.
• Kategoria B – rozszerzona: m.in. wykonawcy robót budowlanych z dostępem do terenu oraz podmioty sprawujące nadzór.
• Kategoria C – rozszerzona techniczna (ICT/OT): dostawcy realizujący procesy i usługi ICT lub obsługujący systemy automatyki.
• Kategoria D – krytyczna: podmioty o najwyższym poziomie ryzyka, w tym również mniejsze firmy świadczące usługi cyberbezpieczeństwa.

Kategorie B i C odpowiadają łącznie poziomowi rozszerzonemu, przy czym kategoria B koncentruje się na dostępie do terenu i infrastruktury fizycznej, a kategoria C na dostępie do warstwy technicznej.

Jak różnicować wymagania między kategoriami?

Przypisana kategoria powinna przekładać się na zakres obowiązków kontrahenta. Przykładowo:

• certyfikacja, np. ISO/IEC 27001, może być wymagana od kontrahentów z kategorii B, C i D, z możliwością zastosowania okresów przejściowych lub raportów zgodności;
• minimalne środki techniczne, takie jak MFA, zasada najmniejszych uprawnień, przegląd kont czy szyfrowanie danych, powinny obowiązywać w kategoriach C i D;
• monitoring bezpieczeństwa 24/7/365 może być wymagany dla kategorii C i D, a dla kategorii A i B odpowiednio dostosowany do poziomu dostępu;
• inwentaryzacja ICT oraz SBOM mogą obejmować kategorie C i D w zakresie niezbędnym do zarządzania ryzykiem łańcucha dostaw;
• testy socjotechniczne, phishingowe lub red teamowe mogą dotyczyć kategorii C i D, z wyłączeniem dostawców jednorazowych usług lub produktów;
• ubezpieczenie OC cyber może być uzależnione od poziomu kategorii ryzyka;
• zakres obowiązków wobec podwykonawców powinien być szczególnie rozbudowany dla usług ICT/OT i obejmować dalsze elementy łańcucha dostaw.

Proporcjonalność – różnicujemy sposób, nie poziom

To jeden z najczęściej błędnie interpretowanych elementów zarządzania ryzykiem kontrahentów.

Wielkość przedsiębiorstwa nie powinna wpływać na sam poziom bezpieczeństwa. Może natomiast wpływać na sposób wykazania zgodności z wymaganiami.

• MŚP może wykazać spełnienie wymagań poprzez uproszczoną dokumentację.
• Poziom wymogu powinien jednak wynikać z przypisanej kategorii ryzyka, a nie z wielkości organizacji.

Takie podejście odpowiada logice NIS2 oraz zasadzie proporcjonalności przewidzianej w ustawie o KSC.

Kto i kiedy przypisuje kategorię ryzyka?

Dobrą praktyką jest określenie kategorii ryzyka jeszcze przed zawarciem umowy. Pozwala to ograniczyć nieporozumienia i zapewnia kontrahentowi pełną wiedzę o oczekiwaniach zamawiającego.

W szczególności warto pamiętać o trzech zasadach:

• kategorię przypisuje zamawiający na podstawie zakresu dostępu oraz charakteru usług;
• klasyfikacja powinna nastąpić przed podpisaniem umowy;
• zmienne elementy, takie jak kanały zgłoszeń, RTO, RPO czy progi eskalacji, warto umieścić w odrębnych parametrach projektu.

Gdzie zaczyna się „twardość”? Moduł techniczny i sankcje

W przypadku kontrahentów z najwyższych kategorii ryzyka wymagania powinny być stopniowo zaostrzane.

• moduł ICT/OT może być interpretowany z uwzględnieniem norm ISA/IEC 62443 dotyczących automatyki przemysłowej;
• sankcje powinny być stopniowane – od naruszeń formalnych, przez naruszenia bezpieczeństwa, aż po naruszenia krytyczne, które mogą uzasadniać odstąpienie od umowy.

RODO a kategoryzacja ryzyka kontrahentów

Kategoria ryzyka kontrahenta oraz ryzyko związane z przetwarzaniem danych osobowych to dwa odrębne, choć powiązane zagadnienia.

Art. 32 RODO również opiera się na zasadzie proporcjonalności. Im wyższe ryzyko, tym silniejsze zabezpieczenia powinny zostać zastosowane. Warto więc zadbać, aby minimalne wymagania wynikające z klauzuli cyberbezpieczeństwa stanowiły punkt wyjścia także dla ochrony danych osobowych, obok odrębnej umowy powierzenia przetwarzania danych (DPA).

Co dalej?

Temida trzyma wagę nie bez powodu. Sprawiedliwa ocena zawsze zaczyna się od zważenia okoliczności, a dopiero później od zastosowania sankcji.

Dobrze skonstruowany model kategorii ryzyka kontrahenta działa dokładnie tak samo. Najpierw ocenia ryzyko, a następnie dobiera adekwatne wymagania bezpieczeństwa.

Kategorie A–D nie są zbędną biurokracją. To narzędzie pozwalające zachować równowagę między skuteczną ochroną a dostępnością rynku dla wartościowych dostawców.

W kolejnym odcinku pokażemy, jak budować parametry projektu oraz matryce mapowania zdarzeń, aby terminy zgłoszeń i klasyfikacja incydentów były stosowane w sposób spójny przez wszystkich kontrahentów.