Початковий набір з кібербезпеки: Розділ 8
У цьому розділі ви навчитеся:
Ставити постачальникам правильні запитання
Ваша некомерційна організація може користуватися послугами інших організацій у таких сферах, як електронна пошта, хмарне зберігання даних, збір коштів, бухгалтерський облік, хостинг веб-сайтів або технічна підтримка. Ці послуги можуть надати можливості, з якими ваша команда не змогла б впоратися самостійно.
Вони також стають частиною ваших заходів безпеки. Вибір постачальника послуг означає розуміння того, що саме він захищає, що має робити ваша організація та як ви зможете отримати допомогу в разі потреби.
Вам не потрібно проводити технічний аудит. Почніть із чітких запитань щодо відповідної інформації, доступу та послуг.
Дізнайтеся, які постачальники мають найбільше значення
Постачальником або надавачем послуг може бути компанія-розробник програмного забезпечення, консультант, підрядник або організація, яка управляє послугою від вашого імені. Включіть до свого огляду безкоштовні та надані на благодійних засадах послуги.
Скористайтеся своїм переліком, щоб віддати перевагу постачальникам, які:
Рівень перевірки повинен відповідати потенційному впливу. Інструмент, що використовується для створення графічних матеріалів для публічних заходів, вимагає іншого підходу, ніж платформа, на якій зберігаються конфіденційні дані клієнтів.
Зрозуміти суть спільної відповідальності
Постачальник може забезпечувати захист своєї інфраструктури, тоді як ваша некомерційна організація залишається відповідальною за надання дозволів, відновлення облікових записів та порядок обміну інформацією.
Наприклад, хмарний сервіс може пропонувати багатофакторну автентифікацію (MFA) та обмежений доступ до спільних ресурсів, але вашій організації, можливо, доведеться самостійно увімкнути ці функції та визначити, хто отримає доступ. Запитайте: “Чим ви керуєте, чим нам потрібно керувати і де це задокументовано?”
Щоб отримати технічну підтримку, уточнюйте, чи передбачає угода оновлення безпеки, перевірки доступу, перевірки резервних копій та допомогу у разі інцидентів. Загальне поняття “ІТ-підтримка” не означає, що воно охоплює всі завдання, пов’язані з безпекою.
Скористайтеся практичним контрольним списком для постачальників
Просіть надати відповіді простою мовою та, за можливості, підтвердження у документації щодо послуги або в договорі.
|
Питання, яке слід поставити
|
Чому це важливо
|
Що слід уточнити
|
|---|---|---|
|
Яку інформацію ви отримаєте або до якої інформації отримаєте доступ? |
Допомагає визначити, чи відповідає ця послуга характеру відповідної інформації. |
Включити завантажені файли, підключені облікові записи та доступ персоналу служби підтримки. |
|
Як можна захистити процедуру входу в систему та контролювати доступ? |
Вашій команді потрібні ефективні заходи захисту облікових записів. |
MFA, індивідуальні облікові записи, права адміністратора та скасування доступу |
|
Як буде використовуватися наша інформація? |
Надання послуги може бути не єдиним її призначенням. |
Реклама, аналітика, навчання моделей штучного інтелекту та будь-які відповідні відмови від отримання інформації або обмеження |
|
Де зберігається інформація та які ще компанії беруть участь в її обробці? |
Інші місцезнаходження та постачальники послуг можуть впливати на вашу конфіденційність та договірні вимоги. |
Наявні варіанти та порядок повідомлення про зміни; саме по собі розміщення даних у Канаді не гарантує безпеки чи дотримання вимог. |
|
Що можна відновити після видалення, пошкодження або виникнення проблем з обліковим записом? |
Функції відновлення значно відрізняються. |
Резервне покриття, ліміти відновлення, тестування відновлення, необхідний час та додаткові витрати |
|
Як ви повідомите нас про інцидент, що впливає на наші дані або послуги? |
Вашій організації, можливо, доведеться вжити заходів якнайшвидше. |
Спосіб зв’язку, зобов’язання щодо повідомлень та інформація, яку ви отримаєте |
|
Яку допомогу можна отримати у разі виникнення надзвичайної ситуації? |
Звичайна підтримка може не включати розслідування інцидентів або відновлення. |
Години роботи служби підтримки, контакти для екстрених випадків, обов’язки та вартість послуг |
|
Чи можна експортувати наші дані у зручному для використання форматі? |
Можливо, вам доведеться змінити роботодавця або продовжити працювати в іншому місці. |
Що входить до складу експорту та чи зберігається в ньому інформація, необхідна для вашої роботи |
|
Що станеться, коли термін дії послуги закінчиться? |
Закриття облікового запису може не призвести до негайного видалення всієї збереженої інформації. |
Доступ до видалення, знищення, збережених резервних копій та підтвердження знищення |
|
За які заходи безпеки доводиться платити додатково? |
Основні функції можуть залежати від тарифного плану. |
Адміністрування MFA, контроль доступу, резервне копіювання, технічна підтримка та тарифи для некомерційних організацій |
Надавайте інформацію, обсяг якої є обґрунтованим
Постачальник може запитати про ваші системи, щоб підготувати пропозицію або надати технічну підтримку. Надайте необхідну інформацію через відповідний канал зв’язку.
Для попереднього обговорення зазвичай достатньо описати свої потреби, не надсилаючи власне дані клієнтів, паролі чи повний перелік внутрішніх заходів безпеки.
Перед наданням технічного доступу:
- Перевірте особу та роботу, скориставшись вашим звичним каналом зв’язку.
- Домовтеся, до чого вони матимуть доступ і що зможуть змінювати.
- Використовуйте індивідуальний обмежений доступ, якщо така функція підтримується.
- Встановіть дату завершення або термін перегляду.
- Після завершення робіт скасуйте доступ.
Не надавайте необмежений доступ лише тому, що це зручно.
Розуміння тверджень щодо безпеки
Ви можете натрапити на такі вирази, як “захист на рівні банків”, “повністю безпечний” або “відповідає вимогам щодо конфіденційності”. Поцікавтеся, що саме ці твердження означають для сервісу, яким ви будете користуватися.
Сертифікати та незалежні оцінки можуть стати корисними підтвердженнями, але слід перевірити:
- Яка служба або підрозділ організації була оцінена.
- Чи є докази актуальними.
- Що саме це охоплює.
- Які обов’язки залишаються за вашою некомерційною організацією.
Сертифікація не гарантує, що інцидент не може статися. Шифрування є корисним, але воно не дає відповіді на всі питання щодо доступу, використання, відновлення або видалення даних.
Мета полягає в тому, щоб узгодити гарантії постачальника з вашими реальними потребами.
Користуйтеся тими інструментами, які у вас вже є
Перш ніж купувати нові послуги, перегляньте ті, що вже є у вашому розпорядженні. Можливо, у вас уже є корисні засоби захисту, які просто не активовані, або функції, які ваша команда ще не вивчила.
Безкоштовні та знижені тарифи для некомерційних організацій можуть бути корисними. Перевірте їхні обмеження та дізнайтеся, що станеться, якщо зміняться критерії придатності, ціни або умови.
Також слід перевірити послуги, які були запроваджені в неофіційному порядку співробітниками або волонтерами. Корисний інструмент може перетворитися на організаційну залежність навіть у тому випадку, якщо його використання ніхто не затверджував і не було зафіксовано, хто керує цим обліковим записом.
Скористайтеся практичним контрольним списком для постачальників
Просіть надати відповіді простою мовою та, за можливості, підтвердження у документації щодо послуги або в договорі.
|
Висновок
|
Практична відповідь
|
|---|---|
|
Існує корисний засіб захисту, але він не увімкнений. |
Доручіть комусь увімкнути цю функцію та переконайтеся, що вона працює. |
|
Ця функція доступна лише в іншому тарифному плані. |
Оцініть, чи вигоди виправдовують витрати, чи, можливо, цю потребу можна задовольнити іншим способом. |
|
Відновлення є обмеженим. |
Визначте, чи потрібні додаткові резервні копії або інша послуга. |
|
Постачальник не може пояснити, як відбувається обробка конфіденційної інформації. |
Зверніться за роз’ясненнями та утримайтеся від завантаження цієї інформації, доки питання не буде вирішено. |
|
Ця послуга не може задовольнити важливу вимогу. |
Розгляньте можливість звернення до іншого постачальника послуг або інший спосіб виконання роботи. |
Зафіксуйте рішення, будь-які залишені прогалини та відповідальних за подальші дії. Керівництво повинно затверджувати рішення щодо значних невирішених ризиків, а не залишати це на розсуд окремого співробітника.
План щодо змін та припинення надання послуг
Слід постійно оновлювати дані про власника організації, контактні особи для виставлення рахунків та реквізити для відновлення доступу. Надання основних послуг не повинно залежати виключно від особистого облікового запису співробітника, який звільняється.
Перед завершенням обслуговування:
- Експортуйте та перевірте необхідну інформацію.
- Передайте необхідні завдання та права доступу.
- Видаліть інтеграції та права доступу постачальників, які більше не потрібні.
- Підтвердьте порядок скасування, збереження та видалення даних.
Переглядайте перелік постачальників послуг, коли змінюються умови їх використання. Наприклад, коли інструмент, який раніше використовувався для публічних комунікацій, починає зберігати інформацію про клієнтів. Важливі зміни в умовах надання послуг, функціональних можливостях або структурі власності постачальника також можуть бути приводом для перегляду цього переліку
Пропоноване правило політики
Послуги, що використовуються для організаційної роботи, повинні бути затверджені на рівні, що відповідає їхньому рівню доступу, характеру обробки інформації та оперативній важливості. Необхідно зафіксувати обов’язки, власників облікових записів, умови технічної підтримки та припинення використання. Постачальники послуг повинні отримувати лише той доступ та ту інформацію, які необхідні для виконання затвердженої роботи. Про суттєві недоліки необхідно повідомляти призначену особу, уповноважену приймати рішення.
Перш ніж затвердити це правило, слід з’ясувати, хто затверджує послуги, де зберігаються угоди та хто перевіряє домовленості з постачальниками.
Огляд одного важливого постачальника послуг
Виберіть у своєму переліку постачальника, який зберігає конфіденційну інформацію або забезпечує надання життєво важливої послуги.
Користуйтеся повним переліком критеріїв під час вибору нової послуги або перегляду важливої існуючої послуги.
Висновок
До кінця цього розділу ви повинні:
- Визначено постачальників, які мають найбільше значення для вашої інформації та операційної діяльності.
- Уточнено розподіл обов’язків та механізми взаємопідтримки.
- Зафіксовані недоліки та рішення, що потребують подальших дій.
- Перевірено, що ваша організація може зберегти доступ до своєї інформації та отримати її.
Далі ви підготуєтеся до надзвичайних ситуацій: до кого звертатися, як мінімізувати збитки та як визначити, чи потрібно повідомляти про це інших.
Розділ 9: Реагування на інциденти та оцінка необхідності повідомлення
План реагування на інциденти допомагає вашій некомерційній організації швидко реагувати на інциденти безпеки, визначаючи коло відповідальності, ключових контактних осіб та негайні заходи для захисту людей і забезпечення безперебійної роботи.
English 
French 
Chinese 
Spanish 
Ukrainian 