Outsourcing IT a odpowiedzialność za cyberbezpieczeństwo

Zdjęcie: Outsourcing IT a odpowiedzialność za cyberbezpieczeństwo

Outsourcing IT a odpowiedzialność za cyberbezpieczeństwo to zagadnienie, które nabiera znaczenia wraz z rosnącym wykorzystaniem przez przedsiębiorstwa zewnętrznych dostawców infrastruktury, systemów i usług chmurowych. Powierzenie partnerowi IT realizacji określonych zadań nie oznacza jednak automatycznego przeniesienia na niego odpowiedzialności organizacji za adekwatne zarządzanie ryzykiem. Korzystanie z usług zewnętrznych dostawców technologicznych jest dziś standardowym elementem działalności wielu przedsiębiorstw. Outsourcing może obejmować utrzymanie infrastruktury, administrowanie systemami, usługi chmurowe czy inne procesy związane z funkcjonowaniem środowiska IT. Z perspektywy organizacyjnej pozwala to korzystać z wyspecjalizowanych kompetencji bez konieczności rozwijania wszystkich zasobów wewnętrznie. Z perspektywy prawnej relacja z dostawcą wymaga jednak odpowiedniego zarządzania ryzykiem. Outsourcing IT a odpowiedzialność za cyberbezpieczeństwo nie powinny być zatem analizowane wyłącznie przez pryzmat technicznego podziału obowiązków. Znaczenie ma również sposób uregulowania relacji pomiędzy przedsiębiorstwem a dostawcą oraz rzeczywista możliwość kontroli wykonywania powierzonych zadań. W tym kontekście istotne są regulacje dotyczące cyberbezpieczeństwa i ochrony danych, w szczególności dyrektywa NIS2 oraz RODO. Nakładają one na organizacje obowiązki związane z adekwatnym podejściem do ryzyka, które może powstawać również w relacjach z podmiotami zewnętrznymi. Sam fakt zawarcia umowy outsourcingowej nie powinien więc prowadzić do założenia, iż kwestie bezpieczeństwa zostały w całości przekazane kontrahentowi. Dla przedsiębiorców oznacza to potrzebę spojrzenia na współpracę z dostawcą IT szerzej niż tylko przez zakres świadczonych usług i ich cenę. Znaczenie mogą mieć m.in. zasady odpowiedzialności stron, wymagania dotyczące bezpieczeństwa, sposób reagowania na incydenty, zasady współpracy i wymiany informacji, możliwość weryfikowania sposobu wykonywania usług oraz konsekwencje niewykonania lub nienależytego wykonania uzgodnionych obowiązków. Zakres wymaganych postanowień powinien być każdorazowo dostosowany do charakteru usługi, poziomu ryzyka i sytuacji konkretnej organizacji. Zawarcie umowy z zewnętrznym dostawcą nie powinno być traktowane wyłącznie jako etap zakupowy. Z punktu widzenia compliance umowa może być jednym z narzędzi służących do zarządzania ryzykiem związanym z korzystaniem z usług podmiotów trzecich. W praktyce przedsiębiorstwo powinno przede wszystkim ustalić, jakie procesy i zasoby przekazuje dostawcy oraz jakie ryzyka wiążą się z takim modelem współpracy. Innego podejścia może wymagać dostawca świadczący pomocniczą usługę IT, a innego podmiot odpowiedzialny za rozwiązania mające istotny wpływ na ciągłość działania organizacji. Szczególnej uwagi wymaga także spójność pomiędzy obowiązkami organizacji wynikającymi z regulacji a treścią kontraktów zawieranych z partnerami technologicznymi. o ile przedsiębiorstwo jest zobowiązane do wdrożenia określonych zasad zarządzania ryzykiem, powinno odpowiednio uwzględnić zależności od zewnętrznych dostawców. W przeciwnym razie może powstać luka pomiędzy obowiązkami regulacyjnymi przedsiębiorstwa a zakresem zobowiązań przyjętych przez kontrahenta. Rosnące znaczenie outsourcingu sprawia również, iż cyberbezpieczeństwo coraz częściej należy rozpatrywać w perspektywie całego łańcucha dostaw. Poziom bezpieczeństwa przedsiębiorstwa może bowiem zależeć nie tylko od jego własnych procedur i zabezpieczeń, ale również od sposobu działania podmiotów, którym powierzono dostęp do systemów, infrastruktury lub danych. Dlatego analiza kontraktów IT może stanowić część szerszego procesu przygotowania organizacji do wymagań wynikających z NIS2 oraz innych regulacji dotyczących bezpieczeństwa i ochrony danych. Przegląd istniejących umów pozwala ustalić, czy przyjęty podział zadań odpowiada rzeczywistemu modelowi współpracy i czy przedsiębiorstwo dysponuje mechanizmami pozwalającymi odpowiednio reagować na sytuacje związane z bezpieczeństwem. Istotne jest przy tym nie tylko samo brzmienie umowy. Zarządzanie ryzykiem dostawców powinno uwzględniać również praktyczny sposób współpracy, zakres dostępu dostawcy do zasobów organizacji oraz znaczenie powierzonych mu usług dla działalności przedsiębiorstwa. Temat odpowiedzialności związanej z outsourcingiem IT omawia Jarosław Chałas w artykule opublikowanym na portalu PoradyODO.pl. Publikacja zwraca uwagę na potrzebę weryfikowania umów z partnerami IT w kontekście wymagań dotyczących cyberbezpieczeństwa i ochrony danych. Dla przedsiębiorstw korzystających z outsourcingu oznacza to potrzebę połączenia perspektywy technologicznej, kontraktowej i regulacyjnej. Analiza relacji z dostawcami może być jednym z elementów przygotowania organizacji do wymagań NIS2, zarządzania ryzykiem cyberbezpieczeństwa oraz budowania spójnego systemu compliance. Kwestie te mieszczą się w obszarze prawa cyberbezpieczeństwa dla firm, obejmującym analizę obowiązków regulacyjnych przedsiębiorstw oraz prawnych aspektów zarządzania ryzykiem związanym z dostawcami technologii. Dowiedz się więcej: prawo cyberbezpieczeństwai bezpieczeństwa informacji