Nowa odpowiedzialność urzędu za standardy bezpieczeństwa dostawców zewnętrznych
Wprowadzenie unijnej dyrektywy NIS2 do polskiego porządku prawnego drastycznie zmienia definicję odpowiedzialności za bezpieczeństwo informacji, przenosząc ciężar dowodu również na tzw. bezpieczeństwo łańcucha dostaw (Supply Chain Security). Dla jednostek administracji publicznej (JST) oznacza to rewolucję: urząd nie jest już odpowiedzialny wyłącznie za swoje wewnętrzne sieci i serwery, ale musi aktywnie nadzorować poziom zabezpieczeń u wszystkich swoich kontrahentów. Każda firma zewnętrzna, która posiada dostęp do zasobów urzędu – począwszy od gigantów dostarczających oprogramowanie, przez lokalne firmy serwisujące klimatyzację w serwerowniach, aż po ekipy sprzątające posiadające klucze do biur – staje się w myśl NIS2 potencjalnym wektorem ataku.
Dyrektywa nakłada na podmioty ważne i kluczowe obowiązek rygorystycznej weryfikacji standardów bezpieczeństwa swoich dostawców. W praktyce oznacza to, że SZBI urzędu musi zostać rozszerzone o procedury audytowania osób trzecich oraz techniczne środki nadzoru nad ich działaniami. Ryzyko wniesienia złośliwego oprogramowania na niezabezpieczonym laptopie serwisowym, kradzież danych poprzez fizyczne wpięcie się do sieci czy nieautoryzowana ingerencja w krytyczny sprzęt podczas rutynowych prac konserwacyjnych to realne zagrożenia, które NIS2 każe eliminować. Zarządzanie łańcuchem dostaw zaczyna się od momentu rozpisania przetargu, poprzez weryfikację certyfikatów oferenta, aż po fizyczny nadzór nad jego pracownikami wewnątrz budynku urzędu.
Techniczne narzędzia kontroli i monitoringu dostawców w nowoczesnym systemie SZBI
Aby sprostać wyśrubowanym wymogom NIS2 w zakresie ochrony łańcucha dostaw, urzędy nie mogą już polegać na deklaracjach słownych czy ogólnych zapisach w umowach. Konieczne jest wdrożenie systemów, które pozwolą na precyzyjne, sekundowe śledzenie działań podmiotów zewnętrznych na terenie obiektu. W tym miejscu elektroniczne depozytory kluczy odgrywają rolę strategiczną. Pozwalają one na nadawanie ściśle ograniczonych czasowo, jednorazowych uprawnień dla zewnętrznych serwisantów. Dzięki temu pracownik firmy zewnętrznej nie otrzymuje klucza “na stałe”, który mógłby zostać nielegalnie skopiowany (co w przypadku kluczy systemowych jest trywialne), lecz pobiera go z depozytora po autoryzacji i musi zwrócić w określonym oknie czasowym.
System automatycznie rejestruje każdą sekundę, w której klucz znajdował się poza depozytorem, co stanowi integralną część audytu bezpieczeństwa łańcucha dostaw. Jeśli serwisant spóźni się ze zwrotem klucza, system może automatycznie wysłać alert do Inspektora Bezpieczeństwa lub odciąć dostęp cyfrowy do sieci w danym segmencie. Integracja takich rozwiązań z procedurami zarządzania kontraktami pozwala urzędowi na wykazanie przed organami kontrolnymi (np. Ministerstwem Cyfryzacji), że dochowano najwyższej należytej staranności w ochronie zasobów publicznych. NIS2 to definitywny koniec epoki “zaufania na słowo” do zaprzyjaźnionych serwisantów. To era twardej weryfikacji, cyfrowego logowania każdego kroku i ciągłego monitoringu każdego ogniwa, które ma fizyczny lub cyfrowy kontakt z infrastrukturą krytyczną jednostki. Tylko takie podejście pozwala skutecznie chronić urząd przed atakami typu “supply chain attack”, które są obecnie jednymi z najtrudniejszych do wykrycia i najbardziej destrukcyjnych zagrożeń w skali globalnej.
