Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.
Det er let at få grønt lys i et leverandørskema. Det er langt sværere at vide, om det grønne lys betyder, at sikkerheden faktisk virker.
Det er præcis den forskel, virksomheder bør forholde sig til i deres NIS2-arbejde.
NIS2 har gjort cybersikkerhed til et tydeligt ledelsesansvar, også når virksomhedens drift, data og kritiske systemer afhænger af eksterne it-leverandører.
Det ansvar kan ikke løses ved at samle politikker, risikovurderinger og egenbesvarelser i en mappe.
Ledelsen skal kunne forstå, hvilke it-afhængigheder der kan ramme forretningen hårdest, og hvorfor den vurderer, at sikkerheden hos de mest kritiske leverandører er tilstrækkeligt dokumenteret.
Spørgeskemaet er et startpunkt
Spørgeskemaer har en plads i leverandørstyringen.
De kan skabe overblik, sætte gang i dialogen og være nok ved leverancer med begrænset betydning for driften.
Men spørgeskemaet er leverandørens egen fortælling om egne kontroller.
Det dokumenterer ikke i sig selv, at kontrollerne har fungeret over tid. Det er ikke en kritik af leverandøren. Det er et vilkår ved den type dokumentation.
Alligevel ender mange virksomheder med at behandle det udfyldte skema som en afsluttet kontrol. Det er en fejl, når leverandøren driver centrale systemer, behandler kritiske data eller på anden vis kan standse virksomheden.
Dokumentation er ikke én ting
Der er en tendens til at tale om dokumentation, som om alle dokumenter beviser det samme. Det gør de ikke.
En egenbesvarelse fortæller, hvad leverandøren selv oplyser. En certificering kan give relevant viden om leverandørens ledelsessystem.
Ingen af delene siger nødvendigvis nok om, hvorvidt konkrete kontroller i den ydelse, virksomheden køber, fungerer i praksis.
Ved de mest kritiske leverancer bør virksomheden derfor gå et skridt videre. Det kan være gennem audits, tekniske test, beredskabsøvelser eller en uafhængig vurdering af konkrete kontroller. Hvad der er relevant, afhænger af leverancen og den risiko, virksomheden faktisk skal kunne håndtere.
En uafhængig revisorerklæring, som en ISAE-erklæring, kan være ét af de værktøjer. Den kan flytte dialogen fra leverandørens egen vurdering til en uafhængig vurdering af, om de kontroller, virksomheden er afhængig af, har fungeret.
Det kan også være en ISO 27001-certificering, en SOC-rapport, D-mærket eller noget helt fjerde. Pointen er ikke mærkatet på forsiden.
Pointen er, om dokumentationen siger noget brugbart om den konkrete leverance og den risiko, virksomheden skal styre.
Det handler ikke om én løsning til alle
Nogle vil indvende, at en revisorerklæring ikke i sig selv er tilsyn. Det er rigtigt. Ingen erklæring fritager ledelsen for at vurdere risikoen, læse observationerne eller følge op, hvis noget ikke er i orden.
Det betyder ikke, at bestyrelse eller direktion selv skal læse hvert leverandørskema eller gennemføre hver test. Det arbejde ligger typisk hos it, sikkerhed, indkøb eller compliance.
Ledelsen skal derimod sikre, at processen findes, at den følges, og at virksomheden kan dokumentere sine vurderinger og konklusioner. Ansvaret for risikoen bliver hos ledelsen.
En erklæring er heller ikke et facit. Den dækker det aftalte scope og den aftalte periode, og den omfatter ikke nødvendigvis underleverandører.
Derfor skal ledelsen stadig stille de ubekvemme spørgsmål: Dækker erklæringen den ydelse, vi køber? Omfatter den de kontroller, vi er afhængige af? Og ved vi, hvor ansvaret ligger, hvis en central underleverandør svigter?
Er svaret nej, kan erklæringen stadig være nyttig. Men den kan ikke stå alene.
Det må heller ikke blive en undskyldning for at nøjes med svag dokumentation. En erklæring erstatter ikke ledelsens ansvar. Den giver ledelsen et bedre grundlag for at løfte det.
Den rigtige ambition er heller ikke at kræve den samme type dokumentation af alle leverandører. Det ville være dyrt, unødvendigt og uden blik for risikoen.
Kravet skal følge kritikaliteten
Virksomheder bør i stedet skelne klart mellem leverandører.
En leverandør, der ikke har betydning for kritiske processer, skal ikke mødes med samme krav som den leverandør, der driver kerneplatforme, håndterer følsomme data eller understøtter forretningskritisk drift.
Jo større afhængighed og konsekvens, desto stærkere bør dokumentationen og kontrollen være. Det er ikke bureaukrati. Det er almindelig risikostyring.
Den tilgang giver også et bedre svar, når en tilsynsmyndighed, en bestyrelse eller en kunde spørger, hvordan virksomheden styrer sine leverandørrisici. Virksomheden kan forklare, hvilke leverandører der er kritiske, hvilke kontrolhandlinger og hvilken dokumentation den har valgt, og hvorfor det giver et reelt grundlag for at styre risikoen.
NIS2 skal kunne tåle at blive prøvet af
Arbejdet med NIS2 er ikke løst, når politikken er godkendt, og virksomheden har placeret ansvaret i et organisationsdiagram.
Det er først løst, når virksomheden kan dokumentere, at de kontroller og det beredskab, den afhænger af, også virker, når de bliver sat på prøve.
Det gælder især hos leverandørerne. Virksomheden kan outsource drift, udvikling og systemer. Den kan ikke outsource ansvaret for at forstå risikoen.
Hvis ledelsen ikke kan forklare, hvorfor den stoler på sin vigtigste it-leverandør, kan den heller ikke overbevisende forklare, at den har styr på sin NIS2-risiko.
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.
