Firmy ufają dostawcom w wielu krytycznych obszarach (zewnętrzne usługi, zewnętrzne całe IT, oprogramowanie, składowanie danych i systemów. Powierzają im swoje krytyczne dane i dają dostęp do krytycznych danych. Wyciek u dostawcy to wyciek w Twojej firmie. O tym przekonało się już wielu. Powinieneś wiedzieć zatem: czy można im zaufać? Dlaczego? Dlaczego nie? Co z tym zrobić? To Ty musisz na te pytania odpowiedzieć i podjąć działania.
Zarządzanie ryzykiem stron trzecich jest trudne. Wymaga dużej przejrzystości, jasnej odpowiedzialności i dobrej współpracy. Rozmyta jest przy tym odpowiedzialność: czy to jeszcze jest w IT, bezpieczeństwie, czy w prokurmencie? A trzeba to osiągnąć z setkami, a czasem tysiącami organizacji, będąc dla każdej z nich „kimś z zewnątrz”. Nawet kilkadziesiąt firm dostawców lub nawet kilkunastu jest problemem. Do tego dochodzi ograniczona liczba ludzi i zasobów. NIS2 też nakłada swoje wymagania. NIS2 mówi wprost, że ryzyko łańcucha dostaw jest częścią obowiązkowych środków zarządzania ryzykiem cyber.
Ta potrzeba uzyskania naprawdę dobrych efektów w zarządzaniu ryzykiem, działając z zewnątrz i mając mało zasobów doprowadzi do dużych zmian. Najważniejsze z nich to rozwój oceny ryzyka opartej na uczeniu maszynowym i sztucznej inteligencji. Takie rozwiązania powstaną w obszarze ryzyka stron trzecich, a potem firmy zaczną wykorzystywać je także do oceny ryzyka wewnętrznego. Potrzeba rodzi wynalazki, a tutaj ta potrzeba jest naprawdę pilna.
Zarządzanie ryzykiem stron trzecich to sposób na rozliczanie firm z dobrych praktyk w obszarze ryzyka. Gdy podnosisz poziom zarządzania ryzykiem u swoich dostawców, wzmacniasz bezpieczeństwo całego swojego systemu. To ogranicza ryzyko wycieku danych i możliwość, że systemy zaopiekowane lub dostarczone przez zewnętrznych dostawców, zostaną wykorzystane jako punkty dla obejścia Twoich mechanizmów ochrony. Praca nad ryzykiem stron trzecich, to praca dla dobra wspólnego.
U większości firm TPRM (Third-Party Risk Management) nadal wygląda tak samo: raz na rok ankieta, trochę Excela, „odhaczone”. Ten model przestaje działać. Piotr Olszewski nasz CTO i specjalista od zarządzania ryzyka, autor analizatora ryzyka twierdzi, że klienci mogą utrzymać swoje procedury i dalej opierać się na formularzach wypełnianych przez dostawców, jednakże zaleca tak, jak w przypadku zagrożeń monitorować to w trybie ciągłym. A do tego potrzebne są już kompletne systemy TPRM i odpowiednia metoda rankingowa.
Kilka liczb, które dają do myślenia:
- 71% organizacji nadal używa własnych, niestandardowych kwestionariuszy. Standardu „dla wszystkich” w praktyce nie ma.
- Skala pracy stanowiska odpowiedzialnego za analizę dostawców: w finansach 1 analityk obsługuje średnio 73 dostawców, a w firmach technologicznych nawet 133.
- Do stałego nadzoru trafia mała część portfela: średnio 11,7% dostawców, przy czym sektor medyczny deklaruje 19%, a finanse/ubezpieczenia 13%.
- Kontrakty są „ogarnięte” na papierze: ok. 90% wymaga zobowiązań bezpieczeństwa, prawa do audytu i notyfikacji incydentów.
Najciekawsze jest jednak to, gdzie zaczyna się zmiana.
W mojej opinii model „atestacji raz na jakiś czas” musi być co najmniej skonfrontowany w stronę ciągłego wglądu w ocenę dostawców (continuous surface risk assessment). To jeszcze nie jest standard – praktyki z tym związane mają adopcję rzędu 27% (w Polsce najlepiej wypada sektor finansowy).
Zgodnie z tym co twierdzi nasz CTO logika jest prosta: ankieta mówi, co dostawca deklaruje, a dane z systemu TPRM weryfikują tę deklarację i robią to w trybie ciągłym.
Rekomendacja działań w ramach własnego programu zarządzania ryzykiem stron trzecich (nawet małego):
- Wykorzystuj moment zakupowy jako dźwignię do weryfikacji dostawcy zarówno swoimi metodami jak i systemem TPRM
- Odnowienie/rozszerzenie umowy dopiero po zamknięciu istotnych problemów.
- Zajmij się tym procesem i go stwórz jeśli go nie masz
- Przydziel odpowiedzialności np. na podstawie danych prokurment może odrzucić „najlepsze oferty”, ponieważ istotny jest czynni ryzyka dla tego dostawcy
- Przeglądaj raporty jako dodatkowe źródło informacji o ryzykach nawet takich których się nie spodziewasz.
Pytanie do Was: ile macie dziś „żywego” monitoringu dostawców, a ile nadal opiera się na rocznej deklaracji w arkuszach Excel lub PDF-ach?
Potrzebujesz audytu bezpieczeństwa portfela swoich dostawców? Skonsultuj się z ekspertem ISCG: https://outlook.office.com/book/Konsultacjewobszarzeaplikacjibiznesowych@ISCG.onmicrosoft.com/s/2VVesV7_S0WX_wGdYLgHlQ2?ismsaljsauthenabled