#łańcuch dostaw

Wymagania bezpieczeństwa docierają dziś do małej firmy rzadziej od państwa, a znacznie częściej od jej największego odbiorcy. Przychodzą pocztą, w formie ankiety albo aneksu do umowy, którą strony podpisały lata temu, i zaskakują, bo dotyczą spraw wewnętrznych: kont, kopii zapasowych i rejestrów zdarzeń.

Czym jest bezpieczeństwo łańcucha dostaw

Łańcuch dostaw to ciąg firm, które mają dostęp do systemów, danych albo procesów innej firmy. Dostawca oprogramowania księgowego, serwisant maszyn wchodzący zdalnie na sterownik, biuro rachunkowe z dostępem do bankowości, przewoźnik odbierający listy przewozowe z panelu: każdy z nich jest ogniwem, choć żaden nie nazywa siebie ogniwem.

Działa to jak kontrola w restauracji. Inspektor nie ogląda wyłącznie kuchni, tylko pyta też, skąd pochodzi mięso i w czym było wiezione, ponieważ zatrucie u gościa nie odróżnia winy kucharza od winy hurtowni. W informatyce jest tak samo: włamanie u dostawcy kończy się w systemach odbiorcy, więc odbiorca zaczyna pytać o cudzą kuchnię.

Jak wymaganie schodzi w dół

Mechanizm jest prosty i ma trzy kroki. Duży odbiorca podlega przepisom, normie albo warunkom własnej polisy. Każdy z tych dokumentów każe mu ocenić podmioty, które mają dostęp do jego zasobów. Nie istnieje sposób wykonania tego obowiązku bez zapytania dostawców i wpisania czegoś do umów, więc odbiorca pyta i wpisuje.

Do dostawcy trafiają wtedy dwie rzeczy naraz. Ankieta bezpieczeństwa, czyli lista pytań z prośbą o dowód, oraz aneks z zapisami o zgłaszaniu incydentów w ustalonym czasie i o prawie do audytu. Termin odesłania bywa krótszy niż czas potrzebny na naprawienie czegokolwiek, bo odbiorca liczy własny termin, a nie cudzą gotowość.

Czym różni się od klauzuli o poufności

Klauzula o poufności bywa mylona z wymaganiem z łańcucha dostaw, choć obie strony umowy podpisują dwie różne rzeczy. Poufność jest obietnicą milczenia i mówi, czego nie wolno ujawnić. Wymaganie bezpieczeństwa opisuje maszynerię: jak nadawane są uprawnienia, jak długo żyją rejestry zdarzeń, kto ma dostęp zdalny i czy ktokolwiek sprawdził, że kopia zapasowa daje się odtworzyć.

Różnicę widać przy sporze. Złamanie poufności udowadnia się treścią, która wyciekła. Niespełnienie wymagania udowadnia się brakiem dowodu, a brak dowodu jest znacznie łatwiejszy do wykazania niż wyciek.

Gdzie spotyka to małą firmę

Najczęściej przy przedłużaniu współpracy, która trwa od lat i nigdy nie sprawiała kłopotu. Kolejne typowe miejsca to pierwsza dostawa do dużego kontrahenta, wejście do przetargu, zmiana właściciela po stronie odbiorcy oraz odnowienie polisy, przy którym ubezpieczyciel zadaje te same pytania własnym językiem.

Pytania powtarzają się niezależnie od branży: czy dostęp do systemów jest imienny, czy kopie zapasowe są testowane, kto ma dostęp do dokumentacji technologicznej, jak długo przechowywane są zdarzenia, jak odbierane są uprawnienia i czy dostawcy mają stały dostęp zdalny. Najwięcej kłopotu sprawia zwykle pytanie o rejestrowanie zdarzeń, bo odpowiedź brzmi „chyba tak”, a przy pytaniu o zdarzenie sprzed miesiąca okazuje się, że rejestr trzyma dane przez kilka dni.

Na co uważać

Największe ryzyko niesie wypełnienie ankiety optymistycznie. Deklaracja o posiadaniu procedury, której nie ma, jest oświadczeniem złożonym kontrahentowi i wraca przy pierwszym audycie albo przy pierwszym incydencie, kiedy odbiorca ma prawo mówić o niewykonaniu umowy. Odpowiedź opisująca stan faktyczny wraz z terminem uzupełnienia braku bywa w tej rozmowie bezpieczniejsza i rzadko przesądza o utracie kontraktu.

Drugą rzeczą wartą uwagi jest prawo do audytu wpisane bez ograniczeń. Zapis, który pozwala odbiorcy wejść w dowolnym terminie i na własnych zasadach, kosztuje potem dni pracy, a daje się zawęzić do rozsądnego okna i do jednego audytu rocznie, o ile ktoś przeczyta aneks przed podpisaniem.

Kiedy ankieta nie wymaga wdrożenia

Nie każde pytanie z ankiety trzeba zamknąć wdrożeniem. Firma, która nie ma dostępu do systemów odbiorcy, tylko wystawia mu faktury i wysyła palety, odpowiada na znaczną część pytań słowem „nie dotyczy” i jest to odpowiedź poprawna, o ile potrafi ją uzasadnić.

Bezcelowe bywa też budowanie osobnego systemu pod jednego kontrahenta. Praca wykonana pod ankietę jest tym samym materiałem, którego wymaga norma, przepis i ubezpieczyciel, więc porządek robi się raz i pokazuje wielu pytającym, zamiast powstawać od nowa przy każdym aneksie.