zarządzanie ryzykiem dostawców (TPRM)

Zarządzanie ryzykiem dostawców (third-party risk management, TPRM) to systematyczne ocenianie i nadzorowanie ryzyka, jakie wnoszą do organizacji dostawcy, podwykonawcy i partnerzy z dostępem do jej danych lub systemów. W prawie Unii najbliższym odpowiednikiem jest „ryzyko ze strony zewnętrznych dostawców usług ICT” z rozporządzenia DORA: ryzyko związane z ICT, które może wystąpić w związku z korzystaniem z usług ICT świadczonych przez zewnętrznych dostawców lub ich podwykonawców, także w ramach outsourcingu ^[1]. Pokrewny termin to zarządzanie ryzykiem w łańcuchu dostaw. TPRM chroni przed tym, co opisuje hasło atak na łańcuch dostaw (supply chain attack).

Jak działa

TPRM obejmuje cały okres współpracy, a nie tylko wybór dostawcy. NIST CSF 2.0 wymaga, by dostawcy byli znani i uszeregowani według krytyczności, a przed zawarciem umowy wykonano planowanie i due diligence ^[4]. Ryzyka związane z dostawcą mają być rozumiane, rejestrowane, oceniane i monitorowane przez cały czas relacji, a plany mają obejmować także działania po zakończeniu umowy ^[4]. Schemat poniżej pokazuje ten cykl.

RYS. 1Cykl zarządzania ryzykiem dostawcy

DORA opisuje te same etapy językiem obowiązków. Przed zawarciem umowy podmiot finansowy ocenia m.in., czy usługa wspiera krytyczną lub istotną funkcję, identyfikuje istotne ryzyka, dokłada należytej staranności wobec potencjalnego dostawcy i ocenia konflikty interesów ^[1]. Prowadzi też rejestr informacji o wszystkich umowach z zewnętrznymi dostawcami usług ICT ^[1]. Dla usług wspierających krytyczne lub istotne funkcje wymagane są strategie wyjścia, sprawdzone i okresowo przeglądane ^[1].

Wymogi prawne

Obowiązek zarządzania ryzykiem dostawców wynika dziś z kilku aktów. Każdy obejmuje inny krąg podmiotów.

NIS2. Oceniając środki dotyczące łańcucha dostaw, podmioty kluczowe i ważne uwzględniają podatności charakterystyczne dla każdego bezpośredniego dostawcy oraz ogólną jakość jego produktów i praktyk cyberbezpieczeństwa, w tym procedury bezpiecznego opracowywania ^[2].

Umowa według DORA. Art. 30 wymienia elementy obowiązkowe, m.in. opis usług i warunki podwykonawstwa, miejsca przetwarzania danych, zwrot danych przy upadłości dostawcy lub rozwiązaniu umowy, pomoc przy incydencie i prawo wypowiedzenia ^[1]. Przy funkcjach krytycznych dochodzą nieograniczone prawa dostępu, kontroli i audytu oraz okres przejściowy przy wyjściu ^[1].

RODO. Gdy dostawca przetwarza dane osobowe w imieniu administratora, staje się podmiotem przetwarzającym. Umowa musi przewidywać m.in. przetwarzanie wyłącznie na udokumentowane polecenie, środki bezpieczeństwa z art. 32 oraz umożliwienie audytów i inspekcji ^[5]; zob. umowa powierzenia przetwarzania danych osobowych.

Dostawca wysokiego ryzyka. Polska nowelizacja pozwala ministrowi uznać dostawcę sprzętu lub oprogramowania za dostawcę wysokiego ryzyka ^[3]. Podmioty objęte decyzją nie wprowadzają wskazanych produktów do użytku i wycofują je najpóźniej w ciągu 7 lat od ogłoszenia decyzji ^[3].

Ryzyko koncentracji

Osobnym zagadnieniem jest uzależnienie od jednego dostawcy. DORA definiuje ryzyko koncentracji w obszarze ICT jako taki stopień zależności od kluczowych dostawców, że ich niedostępność lub awaria może zagrozić zdolności podmiotu do wykonywania krytycznych lub istotnych funkcji ^[1]. Unijne urzędy nadzoru wyznaczają kluczowych zewnętrznych dostawców usług ICT m.in. według ich wpływu systemowego i stopnia substytucyjności, czyli tego, czy istnieją realne alternatywy i jak trudna jest migracja ^[1].

W WordPressie

Strona na WordPressie ma wielu dostawców naraz: firmę hostingową, autorów rdzenia, motywu i każdej wtyczki, a często także agencję, która ją utrzymuje, i usługi zewnętrzne, takie jak CDN czy bramka płatności. Każda automatyczna aktualizacja oznacza zaufanie do wszystkich osób, które mogą wydać nową wersję.

Ryzyko to nie jest teoretyczne. Zespół katalogu wtyczek WordPress.org napisał 29 czerwca 2024 roku, że atakujący dodali złośliwy kod do kilku wtyczek, logując się hasłami autorów ujawnionymi w wyciekach z innych serwisów ^[6]. Zespół wstrzymał wydania, nowe commity wymagały akceptacji, a hasła wszystkich autorów wtyczek zostały zresetowane ^[6]. Od 1 października 2024 roku autorzy z prawem zapisu do repozytorium muszą mieć uwierzytelnianie dwuskładnikowe (2FA) ^[7]. Uzasadnienie: takie konta mogą wypychać zmiany do wtyczek i motywów używanych przez miliony stron ^[7].

Katalog WordPress.org stosuje własne zasady wobec dostawców. Wytyczne zabraniają wtyczkom kontaktu z zewnętrznymi serwerami bez wyraźnej zgody i instalowania aktualizacji z serwerów innych niż WordPress.org ^[8]. Zespół może wyłączyć lub usunąć wtyczkę z katalogu, a w interesie bezpieczeństwa publicznego zmienić ją bez zgody autora ^[8]. Wtyczka zamknięta albo porzucona przestaje dostawać poprawki, więc w praktyce TPRM dla strony obejmuje:

• spis wtyczek i motywów z oceną, które mają dostęp do danych klientów lub płatności;
• sprawdzenie przed instalacją źródła, aktywności autora i historii podatności, a unikanie pirackich wtyczek (nulled plugins);
• umowę powierzenia z hostingiem i firmą utrzymaniową, jeśli przetwarzają dane osobowe ^[5];
• plan wyjścia: kopie zapasowe (backup) poza infrastrukturą jednego dostawcy i możliwość przeniesienia strony.

Dobre praktyki

NIST CSF 2.0 zaleca, by program zarządzania ryzykiem w łańcuchu dostaw był uzgodniony z interesariuszami, a role i obowiązki dostawców w cyberbezpieczeństwie ustalone i skomunikowane ^[4]. Wymagania mają trafiać do umów, a istotni dostawcy mają uczestniczyć w planowaniu reakcji na incydenty i odtwarzania ^[4]. Po stronie dostawcy pomaga zasada najmniejszych uprawnień: agencja czy wtyczka z mniejszym dostępem wyrządzi mniej szkód, jeśli zostanie przejęta. Całość wpisuje się w szacowanie ryzyka organizacji i jej system zarządzania bezpieczeństwem informacji (SZBI).