due diligence

Due diligence to staranne sprawdzenie stanu bezpieczeństwa i zgodności drugiej strony, czyli dostawcy, partnera albo przejmowanej spółki, zanim zawrze się z nią umowę lub transakcję. W polskich aktach prawnych odpowiada mu „należyta staranność”: rozporządzenie DORA wymaga, by instytucje finansowe dokładały należytej staranności w stosunku do potencjalnych zewnętrznych dostawców usług ICT i zapewniały, że w całym procesie wyboru i oceny dostawca jest odpowiedni ^[1]. Due diligence jest pierwszym etapem zarządzania ryzykiem dostawców (TPRM): ocenia ryzyko, zanim organizacja stanie się od dostawcy zależna.

Jak działa

Badanie due diligence przebiega etapami. Najpierw ustala się zakres: jakie dane i systemy dostawca dostanie oraz jak krytyczna jest jego usługa. Potem zbiera się dokumenty i odpowiedzi na kwestionariusz, a deklaracje weryfikuje technicznie. Wynik trafia do szacowania ryzyka i do decyzji, czy zawrzeć umowę i na jakich warunkach.

RYS. 1Etapy due diligence dostawcy

Rozporządzenie wykonawcze (UE) 2024/2690 do dyrektywy NIS2 podaje, co brać pod uwagę przy wyborze dostawców. Dotyczy ono m.in. dostawców usług chmurowych, sieci dostarczania treści, usług zarządzanych i platform handlowych ^[2]. W polityce bezpieczeństwa łańcucha dostaw podmiot określa kryteria wyboru, które obejmują m.in. praktyki cyberbezpieczeństwa dostawcy, w tym procedury bezpiecznego tworzenia oprogramowania, jego zdolność do spełnienia wymaganych specyfikacji oraz ogólną jakość i odporność produktów i usług ICT ^[2]. Umowy z dostawcami mają następnie określać m.in. wymogi cyberbezpieczeństwa, szkolenia personelu, sprawdzanie przeszłości pracowników i obowiązek zgłaszania incydentów bez zbędnej zwłoki ^[2].

Odmiany

Termin obejmuje kilka sytuacji, różniących się celem i podstawą.

W przypadku danych osobowych RODO pozwala administratorowi korzystać tylko z takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych ^[3]. Wynikiem badania jest wtedy m.in. umowa powierzenia przetwarzania danych osobowych.

NIST w publikacji SP 800-161 Rev. 1 z maja 2022 roku wskazuje, jakie ryzyka ma wykryć ocena łańcucha dostaw: produkty i usługi mogą zawierać złośliwą funkcjonalność, być podrobione albo podatne na skutek słabych praktyk wytwarzania ^[4].

W WordPressie

Strona na WordPressie składa się z produktów wielu dostawców: hostingu, motywu, wtyczek, a często też agencji, która ją utrzymuje. Każdy z nich to ogniwo łańcucha dostaw, więc wybór każdego z nich zasługuje na małe due diligence.

Wtyczki i motywy. Wytyczne katalogu WordPress.org mówią, że bezpieczeństwo jest ostatecznie odpowiedzialnością autora wtyczki, a katalog egzekwuje je w miarę swoich możliwości ^[7]. Zespół katalogu może wyłączyć lub usunąć wtyczkę, a w interesie bezpieczeństwa publicznego także zmienić jej kod bez zgody autora ^[7]. Przed instalacją warto sprawdzić datę ostatniej aktualizacji, historię podatności i to, czy wtyczka nie jest porzucona. Wtyczka spoza katalogu, zwłaszcza piracka wtyczka (nulled plugin), nie przechodzi żadnej z tych kontroli.

Hosting i agencja. Pytania kontrolne to: gdzie leżą dane i kopie zapasowe (backup), kto ma dostęp do serwera, jak dostawca informuje o incydentach i czy zawrze umowę powierzenia, jeśli strona przetwarza dane klientów ^[3].

Zakup gotowej strony lub sklepu. Przejmując serwis, przejmuje się też jego historię. Przed transakcją sprawdza się listę kont administratorów, wtyczki spoza katalogu, pliki nieznanego pochodzenia i wcześniejsze incydenty. Nieznalezione nieautoryzowane konto administratora albo tylna furtka przechodzą na nowego właściciela razem ze stroną.

Zagrożenia i skutki

Pominięte albo płytkie due diligence oznacza, że organizacja dziedziczy cudze ryzyko. Najlepiej udokumentowanym przykładem jest sprawa Marriott. Według decyzji brytyjskiego ICO systemy Starwood Hotels zostały przejęte przez nieznanego napastnika w 2014 roku, Marriott kupił Starwood w 2016 roku i nie wykrył ataku aż do września 2018 roku ^[5]. Marriott oszacował, że dotyczyło to 339 milionów rekordów gości ^[5]. Spółka oświadczyła, że w trakcie przejęcia mogła przeprowadzić tylko ograniczone due diligence systemów Starwood ^[5]. ICO zaznaczył, że nie ocenia okresu sprzed wejścia w życie RODO i nie rozstrzyga, czy głębsze badanie było wtedy możliwe ^[5]. Karę 18,4 mln funtów nałożył za niewystarczające zabezpieczenie danych po 25 maja 2018 roku ^[5].

Due diligence dotyczy też technologii, w które się inwestuje. Sekurak w czerwcu 2025 roku opisał upadek Builder.ai, startupu przedstawiającego swoje usługi jako tworzone przez sztuczną inteligencję, i podsumował, że sprawa podkreśla znaczenie due diligence i weryfikacji technologicznej w procesie inwestycyjnym ^[6].

Pośrednim skutkiem jest atak na łańcuch dostaw (supply chain attack): słabo sprawdzony dostawca staje się drogą do systemów klienta ^[4].

Dobre praktyki

• Skalowanie głębokości badania do krytyczności dostawcy: inna lista pytań dla wtyczki formularza, inna dla hostingu sklepu.
• Opieranie się na dowodach, a nie tylko deklaracjach: certyfikat ISO/IEC 27001, raport SOC 2, wyniki testów penetracyjnych, lista komponentów SBOM.
• Przeniesienie ustaleń do umowy: wymogi bezpieczeństwa i obowiązek zgłaszania incydentów ^[2].
• Powtarzanie oceny w trakcie współpracy. Rozporządzenie 2024/2690 wymaga regularnego monitorowania i przeglądu praktyk dostawców oraz rejestru bezpośrednich dostawców z punktami kontaktowymi ^[2].