Outsourcing cyberbezpieczeństwa pod KSC: co oddajesz, a co zostaje
Zewnętrzna firma może skanować systemy, analizować alerty, utrzymywać narzędzia i pomagać przy incydentach. Nie staje się jednak przez to kierownikiem podmiotu objętego KSC.
Oficjalne FAQ potwierdza możliwość powierzania zadań innym osobom, ale jednocześnie wskazuje, że nie zwalnia to kierownika z odpowiedzialności. Outsourcing jest więc modelem wykonania, nie transferem obowiązków ustawowych.
Umowa powinna chronić proces, nie tylko cenę
Poza typowym SLA warto ustalić:
- pełny zakres systemów i usług,
- format oraz częstotliwość raportów,
- dostęp klienta do historii działań i danych,
- czasy eskalacji istotnych zdarzeń,
- zasady udziału dostawcy w zgłoszeniu incydentu,
- ochronę informacji i lokalizację danych,
- prawo do kontroli lub audytu,
- zwrot danych i ciągłość procesu po zakończeniu umowy.
Bez ostatniego punktu firma może odkryć, że po zmianie dostawcy straciła historię potrzebną do audytu.
Jedno źródło prawdy po stronie podmiotu
Dostawca może prowadzić własny system zgłoszeń, ale podmiot potrzebuje dostępu do dowodów i decyzji. Szczególnie akceptacja ryzyka nie powinna znikać w notatkach kontraktora. Musi mieć właściciela po stronie organizacji, termin i zatwierdzenie zgodne z jej uprawnieniami.
Secvalis może być rejestrem technicznych zasobów, podatności i decyzji niezależnym od tego, kto wykonuje skany. Nie zastąpi umowy ani nadzoru nad dostawcą.
Jeżeli chcesz zobaczyć, jak zachować ciągłość historii mimo zmiany wykonawcy, otwórz demo Secvalis.
Źródła
Cotygodniowy digest CVE
Jeden mail w tygodniu z nowo opublikowanymi podatnościami, o których warto wiedzieć. Bez zakładania konta.
Digest dotyczy ogólnie nowych podatności, nie Twoich serwerów. Jeśli chcesz wiedzieć, które z nich faktycznie działają w Twojej infrastrukturze, tym zajmuje się Secvalis : skanuje Twoje maszyny i zgłasza wyłącznie to, co ich dotyczy.