Dodavatel IT: dohodněte konkrétní odpovědnosti

Co požadují předpisy

Při zajišťování bezpečnostních opatření dodavatelem promítáte příslušné požadavky do jeho výběru a smlouvy.

V nižším režimu posuzujete hrozby, zranitelnosti i kvalitu produktů a bezpečnostních postupů dodavatele do stanoveného rozsahu.

Na tomto základě zajistíte relevantní smluvní požadavky z přílohy č. 2 vyhlášky pro nižší režim.

Vyšší režim vyžaduje pravidla pro dodavatele, jejich prokazatelné seznámení a řízení souvisejících rizik.

Významné dodavatele eviduje, písemně informuje o zařazení a u smluv zajišťuje relevantní ustanovení přílohy č. 5.

Níže nabízíme pracovní témata pro jednání o smlouvě. Konkrétní znění doporučujeme společně s právníkem porovnat s příslušnou přílohou a rozsahem dodávky.

Popište předmět služby

Uveďte systémy, prostředí a činnosti zahrnuté ve správě. Rozlišujte běžnou údržbu, řešení incidentů, obnovu a změny, které vyžadují samostatnou objednávku.

U každé činnosti doporučujeme zapsat, kdo ji spouští, kdo schvaluje zásah a kdo přebírá výsledek. Zkontrolujte také hranici mezi Vaším správcem a externím technikem.

Například instalace aktualizace zahrnuje přípravu, rozhodnutí o termínu, provedení a kontrolu funkčnosti. Pokud některý krok zůstává na Vás, určete osobu i podklady, které potřebuje.

Při jednání používejte konkrétní scénář změny nebo výpadku. Obě strany tak mohou ověřit, zda stejně chápou rozsah práce a dostupnost potřebných lidí.

Upravte přístupy techniků

Doporučujeme pojmenované účty techniků, omezení oprávnění podle úkolu a schvalování vzdáleného přístupu. Domluvte, kdo účty vytváří a kdo kontroluje jejich další potřebnost.

Stanovte postup při změně pracovníka dodavatele nebo podezření na zneužití účtu. Důležitá je dosažitelnost člověka, který dokáže přístup skutečně zablokovat.

Pro sdílené technické prostředky požadujte dohledatelnost provedených zásahů. Ve smluvním jednání upřesněte dostupné záznamy, jejich předání a ochranu před neoprávněným přístupem.

Nouzový přístup doporučujeme procvičit předem a po použití zkontrolovat. Přístupové údaje samotné uchovávejte v určeném bezpečném úložišti, odděleně od běžného textu smlouvy.

Domluvte hlášení problémů

Ve smlouvě doporučujeme rozlišit přijetí požadavku, zahájení práce a obnovení služby. Označení „reakční doba“ si každá strana může bez dalšího upřesnění vyložit jinak.

U incidentu si dohodněte, které informace dodavatel předává, jakým kanálem a komu. Ujasněte také kontakt mimo běžnou pracovní dobu a jeho zastupování.

Časové požadavky odvoďte od dopadů výpadku a Vašich navazujících povinností. Univerzální smluvní lhůtu pro všechny dodávky nedoporučujeme, protože rozsah podpory i potřeby provozu se liší.

Požadujte předání dostupných faktů, i když příčina ještě není potvrzena. Doplňování informací má mít určeného vlastníka a způsob, jak rozpoznáte aktuální verzi.

Ověřte obnovu služby

Zeptejte se, kdo vytváří zálohy, kontroluje výsledek a provádí obnovu. Ujasněte, zda sjednaná služba zahrnuje také konfigurace, oprávnění a závislosti mezi systémy.

Navrhněte způsob společného testu a převzetí výsledku. Vedle spuštění aplikace doporučujeme ověřit, že určený uživatel dokáže dokončit běžný pracovní úkol.

Domluvte dostupnost součinnosti, technických prostředků a potřebných licencí při obnově. Zaznamenejte, co dodá dodavatel a co musíte zajistit Vy.

Pokud dodavatel část práce zadává dál, projděte dopad na přístupy, komunikaci a obnovu. Ve Vašem postupu má zůstat jasné, na koho se obracíte a kdo koordinuje řešení.

Připravte změny a odchod

Pro změny služby doporučujeme předchozí popis dopadu, schválení a možnost návratu. Výslovně projednejte změnu umístění dat, zapojení dalšího dodavatele nebo zásadní úpravu přístupů.

Ukončení spolupráce nacvičte alespoň jako společný průchod seznamem předání. Zajímejte se o formát exportu, přenositelnost konfigurace, součinnost a zrušení přístupů.

Provozní dokumentace má umožnit navazujícímu správci pochopit službu. Dohodněte průběžnou aktualizaci, aby se její příprava neodkládala až na poslední den spolupráce.

Předání doporučujeme uzavřít až po ověření, že data lze načíst a službu spravovat. Náklady a kapacity spojené s odchodem projednejte už při sjednávání spolupráce.

Jak požadavky kontrolovat

Ve vyšším režimu pravidelně přezkoumáváte plnění smluv s významnými dodavateli.

U těchto dodavatelů smluvně určujete způsoby a úrovně opatření i vzájemnou odpovědnost za jejich zavedení a kontrolu.

Pro vlastní kontrolu doporučujeme jednoduché propojení požadavku s dokladem:

Požadavek k projednání	Příklad ověření
Zrušení nepotřebného přístupu	Porovnání oznámené změny s evidencí účtů a výsledkem zásahu.
Předání informací o incidentu	Společný nácvik kontaktování a předání známých skutečností.
Obnova služby	Záznam testu s výsledkem uživatelského ověření.
Předání při ukončení	Kontrola čitelnosti exportu a úplnosti provozních informací.

Vyberte nejdříve dodavatele s největším vlivem na Vaše důležité služby. S přípravou věcných požadavků a kontrolou návazností Vám pomůžeme v rámci řízení bezpečnosti.