Jak podaje ENISA w komunikacie z 24 lipca, rozpoczęły się konsultacje projektu programu certyfikacji zarządzanych usług bezpieczeństwa EUMSS. Opisana wersja koncentruje się na reagowaniu na incydenty; to nadal konsultowany projekt. Nabywcom usług SOC, reagowania i zarządzanego bezpieczeństwa proponujemy wykorzystać tę okazję do zapisania sprawdzalnych kryteriów ciągłości, przejścia między dostawcami oraz obsługi incydentu.
Czy zatwierdzisz zakup usługi reagowania, jeśli na pytanie o obsługę incydentu otrzymasz wyłącznie zapewnienie, że dostawca ma procedurę? Przy lekturze informacji o EUMSS postaw przed sobą konkretną ofertę i sprawdź, jakiej odpowiedzi potrzebujesz, żeby zdecydować. Zapisz, co chcesz potwierdzić w sprawie ciągłości usługi, jej przejęcia oraz reakcji na zgłoszenie. Obok każdego pytania zostaw miejsce na materiał, który pozwoli ocenić odpowiedź. Nie uzupełniaj braków własnym wyobrażeniem o pracy wykonawcy. Taki przegląd proponujemy jako początek rozmowy zakupowej. Poniższe pytania i zadania są rekomendacjami redakcyjnymi wynikającymi z tezy o sprawdzalnym outsourcingu; nie przypisujemy ich projektowi jako szczegółowych wymagań certyfikacji.
EUMSS łączy wspólną podstawę z wymaganiami dla usługi
Według ENISA projekt łączy wymagania wspólne z wymaganiami dla konkretnych usług. Opisana wersja skupia się na reagowaniu na incydenty. Ten podział proponujemy wykorzystać przy porządkowaniu własnych kryteriów: osobno zapisać oczekiwania wspólne dla kupowanych usług, a osobno to, co chcemy sprawdzić w zamawianym reagowaniu.
W części wspólnej własnego formularza umieść pytania o ciągłość i przejście do usługi. Przy reagowaniu dopisz pytania o przebieg obsługi zgłoszenia. Dla każdej odpowiedzi określ oczekiwany materiał oraz osobę, która go oceni. Zachowaj zakres wskazany w ofercie: pytanie dotyczące reagowania przypisz właśnie tej usłudze, zamiast rozciągać odpowiedź na całą ofertę wykonawcy.
Przy porównywaniu ofert zachowaj te same pytania i sposób oceny. Jeśli odpowiedź wymaga doprecyzowania, nazwij brakujące ustalenie. Gdy wykonawca opisuje rozwiązanie poza zakresem zakupu, poproś o odniesienie go do zamawianej usługi. Samo odwołanie do EUMSS pozostaw do sprawdzenia wraz z wyjaśnieniem, czego dokładnie dotyczy.
Za gotowe kryterium zakupu uznaj dopiero takie oczekiwanie, przy którym potrafisz wskazać sposób sprawdzenia odpowiedzi.
Reagowanie sprawdź na przebiegu zgłoszenia
Skupienie opisanej wersji EUMSS na reagowaniu proponujemy przełożyć na przegląd drogi zgłoszenia. Poproś dostawcę o wskazanie, jak przyjmie informację o incydencie, komu ją przekaże i jak potwierdzi rozpoczęcie obsługi. Przy każdym kroku dopisz, jakiego działania oczekujesz po swojej stronie. Nie zakładaj podziału zadań, którego nie ustalono w ocenianej ofercie.
Opis procedury zestaw z dostępnym potwierdzeniem jej wykonania. Jeśli oceniasz obecną usługę i masz zapis wcześniejszej obsługi, wybierz z niego konkretny krok. Sprawdź, czy można ustalić wykonawcę czynności oraz jej rezultat. Brak zapisu oznacz jako brak potwierdzenia; poproś o wyjaśnienie przed oceną pracy dostawcy.
Jeżeli kupujesz nową usługę, przygotuj jawnie hipotetyczne ćwiczenie: przekazujesz zgłoszenie, a dostawca pokazuje kolejne czynności i oczekiwane informacje zwrotne. Oznacz wynik jako rezultat ćwiczenia. Przy ocenie zakupu zapisz, które elementy obsługi udało się w ten sposób sprawdzić, a które nadal wymagają potwierdzenia. Czas reakcji pozostaw do uzgodnienia dla tej usługi; nie wpisuj wartości tylko dlatego, że formularz ma odpowiednią rubrykę.
Ciągłość i przejście wpisz do decyzji zakupowej
Przy zakupie inspirowanym konsultacjami EUMSS zaproponuj właścicielowi usługi osobny przegląd ciągłości. Zacznij od pytania, co ma się wydarzyć, gdy uzgodniony sposób obsługi będzie niedostępny. Poproś o opis zastępczego działania, warunku jego uruchomienia i sposobu poinformowania odbiorcy. Następnie ustal, jak sprawdzicie wykonanie tego działania. Traktuj to jako własne oczekiwanie zakupowe, wymagające odpowiedzi wykonawcy.
Przejście rozpatrz przy rozpoczęciu usługi i przy jej przekazaniu kolejnemu dostawcy. Dla wybranego przekazania zapisz, jakie informacje ma oddać dotychczasowy wykonawca, kto je odbierze i po czym obie strony poznają, że uzgodniony zakres przejęto. Jeśli któryś element zależy od kupującego, wskaż go w tym samym planie. Odpowiedź o gotowości nowego wykonawcy zestaw z warunkiem zakończenia pracy poprzedniego.
Osobie zatwierdzającej zakup przedstaw wynik przeglądu wraz z niewiadomymi. Poproś o określenie kosztu proponowanego sprawdzenia lub przekazania, jeśli oferta go nie podaje. Nie dopisuj kwot ani deklarowanych oszczędności bez podstawy w ocenianej ofercie. Jeśli zgadzasz się na zakup mimo nierozstrzygniętego pytania, zapisz, czego brakuje, kto odpowiada za wyjaśnienie i kiedy decyzja ma wrócić do oceny.
Przejście między dostawcami uznaj za uzgodnione dopiero po wskazaniu warunków przekazania i odbioru usługi.
Polski nabywca powinien zachować status projektu
Polskiemu nabywcy SOC lub usługi reagowania proponujemy użyć konsultacji ENISA do przeglądu własnego zapytania ofertowego. W materiale dla zakupów i zarządu zachowaj określenie „projekt”. Rozdziel informacje o EUMSS od kryteriów, które organizacja samodzielnie chce postawić wykonawcy. Własnych oczekiwań dotyczących dowodów, ciągłości lub przekazania nie przedstawiaj jako zatwierdzonej listy wymagań programu.
Jeżeli przygotowujesz uwagi do konsultacji, wybierz pytanie związane z konkretną decyzją zakupową. Wyjaśnij, jaka odpowiedź jest potrzebna i dlaczego obecne sformułowanie wymaga doprecyzowania. Do roboczej uwagi dołącz propozycję brzmienia, którą da się ocenić na przykładzie zamawianej usługi.
Nie wyciągaj z rozpoczęcia konsultacji wniosków o jakości polskich dostawców ani o tym, jak radzi sobie własny SOC. Ocenę wykonawcy oprzyj na otrzymanych odpowiedziach i ich sprawdzeniu. Gdy informacji nadal brakuje, zachowaj tę niewiadomą w uzasadnieniu zakupu.
Co z tym zrobić w poniedziałek
- Zapisz kryterium ciągłości. W ciągu 30 minut wybierz usługę SOC lub reagowania i przygotuj pytanie o obsługę podczas jej niedostępności. Dopisz oczekiwane potwierdzenie oraz osobę, która oceni odpowiedź dostawcy.
- Naszkicuj warunek przekazania. Poświęć 30 minut na zapisanie, co wykonawcy mają sobie przekazać, kto ma to odebrać i jak potwierdzi odbiór. Braki oznacz jako pytania do uzgodnienia.
- Sprawdź krok obsługi incydentu. Przez 30 minut porównaj wybrany zapis procedury z dostępnym potwierdzeniem wykonania. Jeśli nie masz takiego materiału, przygotuj pytanie do dostawcy. Wynik zachowaj do oceny zakupu inspirowanej konsultacjami EUMSS.
Od dostawcy bezpieczeństwa wymagaj odpowiedzi, na podstawie których potrafisz uzasadnić zakup. Ciągłość, przejście i obsługę incydentu zamień we własne kryteria wraz ze sposobem ich sprawdzenia. EUMSS zachowaj w tej rozmowie jako konsultowany projekt, a nierozstrzygnięte pytania wpisz do decyzji zamiast domyślnie uznawać je za wyjaśnione.
Źródła
Redakcja cyberinsight.pl.