Menší výrobní firmy a dodavatelé to dnes zažívají čím dál častěji. Velký odběratel pošle tabulku se 40 až 150 otázkami o zabezpečení IT a chce ji vyplněnou do dvou týdnů. Někdy jde o vlastní dotazník odběratele, jindy o požadavek na TISAX nebo o smlouvu s články podle NIS2. Majitel firmy pak většinou neví, komu dotazník dát a co se stane, když na polovinu otázek odpoví „ne“.
Proč to odběratelé chtějí
Velké firmy musejí řídit rizika u svých dodavatelů. Útok na malého dodavatele se může přes sdílená data, e-maily nebo vzdálený přístup přenést až k nim. U firem, na které se vztahuje zákon o kybernetické bezpečnosti, je řízení dodavatelů přímo povinnost. V automotive k tomu přistupuje TISAX. Dotazník tedy obvykle nevychází z nedůvěry ke konkrétní firmě. Je to standardní krok, který odběratel dělá u všech dodavatelů.
Co v dotaznících obvykle bývá
Formulace se liší, ale témata se opakují:
- Odpovědnost a pravidla: kdo ve firmě odpovídá za bezpečnost a jestli máte písemnou směrnici pro používání IT.
- Přístupy a hesla: jestli má každý vlastní účet, jak se zakládají a ruší přístupy při odchodu zaměstnance a jestli používáte dvoufázové přihlášení (MFA), hlavně u e-mailu a vzdáleného přístupu.
- Zálohy: jak často zálohujete, jestli je aspoň jedna záloha mimo dosah běžné sítě (pro případ ransomwaru) a kdy jste naposledy vyzkoušeli obnovu.
- Počítače a servery: antivir nebo EDR, pravidelné aktualizace, podporované verze Windows.
- Síť: firewall, oddělení výrobní sítě od kancelářské, vzdálený přístup jen přes VPN.
- Incidenty a výpadky: co uděláte, když vás napadne ransomware, kdo to odběrateli nahlásí a za jak dlouho obnovíte provoz.
- Ochrana dat odběratele: kde máte jeho výkresy a dokumentaci, kdo k nim má přístup a jestli je posíláte bezpečně.
Nejdůležitější pravidlo: odpovídejte pravdivě
Lákavé je odpovědět „ano“ všude, kde to „skoro platí“. Nedělejte to. Vyplněný dotazník se často stává součástí smlouvy nebo podkladem pro audit. Pokud se později ukáže, že odpověď nebyla pravdivá, typicky po incidentu, nese odpovědnost dodavatel.
Odběratelé navíc nečekají, že malá firma splní všechno. Mnohem lépe obstojí odpověď „zatím ne, zavedeme do 31. 3.“ než „ano“, které neobstojí při první kontrole. Dobře vyplněný dotazník tedy obsahuje i plán: co chybí, kdo to zavede a do kdy.
Co se dá opravit za pár týdnů
Většina firem, se kterými dotazníky řešíme, narazí na stejná slabá místa. Řada z nich se dá opravit rychle a levně:
- Dvoufázové přihlášení do e-mailu, Microsoft 365 nebo Google Workspace a do VPN. Zabere jednotky hodin a je to jedno z nejúčinnějších opatření vůbec.
- Test obnovy ze zálohy. Zálohu má skoro každý, vyzkoušenou obnovu málokdo. Stačí jednou obnovit vybraný server nebo složku a zapsat výsledek.
- Záloha mimo síť, tedy offline nebo neměnná. Ransomware jinak zašifruje i zálohy.
- Krátká směrnice pro používání IT: dvě až tři strany o heslech, e-mailu, USB discích a hlášení podezřelých věcí. Zaměstnanci ji podepíšou.
- Seznam přístupů: kdo má k čemu přístup a postup při odchodu zaměstnance.
- Zabezpečení e-mailové domény (SPF, DKIM, DMARC), aby za vás nikdo nemohl posílat podvodné e-maily. Stav si můžete hned ověřit naší bezplatnou kontrolou domény.
Když odběratel chce TISAX
TISAX je standard německého automobilového průmyslu. Hodnocení dělá akreditovaný auditor, kterého si dodavatel vybírá sám, a výsledek se sdílí přes platformu ENX. Podkladem je katalog VDA ISA, v podstatě velmi podrobný dotazník. Na rozdíl od běžného dotazníku tady auditor chce vidět důkazy: dokumenty, nastavení, záznamy.
Příprava na TISAX trvá u menší firmy obvykle několik měsíců. Nejdřív se dělá vlastní hodnocení podle VDA ISA, pak se doplní chybějící opatření a dokumentace a teprve potom přichází audit. Vyplatí se začít hned, jakmile požadavek přijde. Termíny auditorů bývají plné.
Jak s dotazníkem pomáháme
Projdeme dotazník s vámi, otázku po otázce. Zjistíme, co už splňujete, a u zbytku navrhneme nejlevnější řešení, které obstojí. Odpovědi formulujeme tak, aby byly pravdivé a zároveň ukazovaly plán. Chybějící opatření pak zavedeme. Kontrolu IT na místě ve firmě nabízíme jako revizi IT, podrobnosti o přípravě na audity najdete na stránce Audity odběratelů a TISAX.