Ankieta bezpieczeństwa od kontrahenta — jak odpowiedzieć i co zrobić z brakami

Wysyłka kwestionariusza rzadko wynika z inicjatywy działu zakupów. W większości przypadków klient sam podlega regulacji, która nakłada na niego obowiązek zarządzania bezpieczeństwem łańcucha dostaw — i przenosi ten obowiązek na dostawców, ponieważ inaczej nie jest w stanie go wykazać podczas własnego audytu.

Mechanizm ten opisuje wprost katalog środków zarządzania ryzykiem w art. 21 dyrektywy NIS2, gdzie bezpieczeństwo łańcucha dostaw stanowi odrębny obszar. Analogiczne wymagania zawierają ISO/IEC 27001 oraz rozporządzenie DORA w odniesieniu do dostawców usług ICT dla sektora finansowego.

Konsekwencja praktyczna jest istotna: organizacja może nie podlegać regulacji bezpośrednio, a mimo to być zobowiązana umownie do spełnienia jej wymagań. Dotyczy to zwłaszcza dostawców oprogramowania, usług utrzymaniowych i podwykonawców realizujących procesy dla podmiotów objętych przepisami.

Odbiorca kwestionariusza rzadko zakłada, że dostawca ma wdrożone wszystkie zabezpieczenia. Ocenie podlegają trzy rzeczy: czy organizacja rozumie własne ryzyko, czy zarządza nim w sposób udokumentowany oraz czy jest przewidywalna w sytuacji incydentu.

Z tego powodu odpowiedzi ogólne wypadają gorzej niż przyznanie się do braku. Deklaracja, że organizacja przywiązuje dużą wagę do bezpieczeństwa, nie stanowi informacji. Deklaracja, że procedura zgłaszania incydentów zostanie wdrożona do końca kwartału, jest konkretem, który da się zweryfikować.

Warto również pamiętać, że kwestionariusz zwykle trafia do oceny punktowej. Odpowiedzi niejednoznaczne bywają traktowane jak negatywne, ponieważ osoba oceniająca nie ma podstaw, żeby interpretować je na korzyść dostawcy.

Ankiety różnią się objętością, lecz obszary powtarzają się w przewidywalny sposób. Rozpoznanie tej struktury pozwala rozdzielić pracę między osoby odpowiedzialne zamiast przekazywać cały dokument jednemu pracownikowi działu IT.

Warto od razu ustalić, które pytania dotyczą organizacji jako całości, a które konkretnej usługi świadczonej temu klientowi. Odpowiedzi na te drugie bywają węższe i korzystniejsze — nie ma powodu opisywać całej infrastruktury, jeżeli klient korzysta z jednego wydzielonego środowiska.

Rozpiętość objętości bywa znaczna. Spotyka się kwestionariusze kilkunastopytaniowe, wypełniane w godzinę, oraz arkusze liczące kilkaset pozycji, przygotowywane pod dostawców krytycznych w sektorze finansowym. Zakres nie zależy od wielkości dostawcy, lecz od tego, jak istotna jest dostarczana usługa dla działalności klienta.

Najpoważniejszym błędem jest deklarowanie zabezpieczeń, których organizacja nie posiada. Motywacja bywa zrozumiała — kontrakt jest istotny, a odpowiedź negatywna wydaje się dyskwalifikująca. Konsekwencje ujawniają się jednak później i są nieproporcjonalnie dotkliwe.

Deklaracje z ankiety trafiają zwykle do dokumentacji umownej albo są przywoływane w załącznikach. Przy audycie u klienta, przy incydencie lub przy sporze o odpowiedzialność stają się podstawą do oceny, czy dostawca wprowadził kontrahenta w błąd. To już nie jest kwestia formalności, lecz odpowiedzialności kontraktowej.

Istnieje też wymiar praktyczny. Zadeklarowane zabezpieczenie bywa weryfikowane prośbą o dowód — fragment polityki, zrzut konfiguracji, protokół z testu. Brak dowodu przy wcześniejszej deklaracji pozytywnej jest znacznie gorszym sygnałem niż uczciwa odpowiedź o braku.

Brak zabezpieczenia nie przesądza o wyniku oceny. Przesądza sposób, w jaki organizacja się do niego odnosi. Odpowiedź kompletna zawiera trzy elementy: stan faktyczny, uzasadnienie oraz plan wraz z terminem.

Uzasadnienie ma znaczenie, ponieważ nie każde zabezpieczenie jest adekwatne do skali i profilu ryzyka. Organizacja licząca kilkadziesiąt osób nie potrzebuje rozwiązań projektowanych dla podmiotów o innej skali, a wskazanie zabezpieczenia zastępczego bywa oceniane równie dobrze jak wdrożenie wprost oczekiwane.

Praktyczna wskazówka: jeżeli brak jest istotny i planujecie go usunąć, warto zadeklarować termin z zapasem. Niedotrzymany termin z ankiety wraca przy kolejnej weryfikacji i podważa wiarygodność wszystkich pozostałych odpowiedzi.

Kilka obszarów regularnie zatrzymuje wypełnianie kwestionariusza. Nie wynika to ze stopnia trudności zabezpieczeń, lecz z faktu, że dotyczą one dokumentacji, której organizacje zwykle nie prowadzą.

Cechą wspólną tych pytań jest to, że wymagają wskazania daty lub konkretnego dokumentu. Odpowiedź opisowa nie wystarczy, ponieważ osoba oceniająca szuka dowodu, a nie deklaracji. To zresztą dobra wskazówka przy przygotowaniach: jeżeli na pytanie nie da się odpowiedzieć datą lub nazwą dokumentu, prawdopodobnie brakuje procesu, a nie tylko zapisu.

Poniższe błędy powtarzają się niezależnie od branży i wielkości organizacji. Łączy je jedno: wynikają z traktowania kwestionariusza jak formalności do odhaczenia, a nie jak dokumentu o skutkach umownych.

Warto mieć świadomość, że odpowiedzi trafiają zwykle do porównania z innymi dostawcami tego samego klienta. Ocena ma charakter względny, dlatego rzetelnie wypełniony kwestionariusz z widocznymi brakami i planem wypada często lepiej niż arkusz z samymi odpowiedziami twierdzącymi, których nie da się potwierdzić.

Zrozumienie dalszej drogi kwestionariusza pomaga odpowiadać skuteczniej. Arkusz nie trafia do archiwum — zasila proces oceny dostawcy, który u większych organizacji jest sformalizowany i kończy się decyzją o dopuszczeniu do współpracy albo o warunkach dodatkowych.

Pierwszym etapem jest zwykle punktacja. Odpowiedzi przeliczane są na wynik, a poszczególne obszary bywają ważone zależnie od charakteru usługi. Dostawca przetwarzający dane osobowe oceniany jest surowiej w obszarze ochrony danych, dostawca utrzymujący systemy krytyczne — w obszarze ciągłości działania.

Drugim etapem jest klasyfikacja ryzyka. Dostawcy trafiają do kategorii określających dalszy tryb postępowania: od przyjęcia bez zastrzeżeń, przez współpracę warunkową z planem naprawczym, po wymóg audytu przed podpisaniem umowy. Właśnie dlatego odpowiedź wskazująca brak wraz z terminem bywa wystarczająca do przejścia dalej, podczas gdy odpowiedź niejednoznaczna kieruje sprawę do dodatkowej weryfikacji.

Trzecim etapem jest cykliczność. Ocena dostawcy krytycznego zwykle jest powtarzana, najczęściej raz w roku albo przy istotnej zmianie zakresu usługi. Oznacza to, że zadeklarowane terminy zostaną sprawdzone — i że kwestionariusz nie jest zdarzeniem jednorazowym, lecz początkiem trwałej relacji weryfikacyjnej.

Kwestionariusz rzadko funkcjonuje samodzielnie. W większości przypadków towarzyszy mu aneks bezpieczeństwa albo zestaw klauzul wprowadzanych do umowy głównej, a odpowiedzi z ankiety bywają do nich włączane jako załącznik.

Uzasadnia to przeczytanie proponowanych zapisów przed odesłaniem odpowiedzi, a nie po. Deklaracja o powiadomieniu o incydencie brzmi neutralnie w kwestionariuszu, natomiast w umowie może zostać obwarowana terminem liczonym w godzinach i karą umowną za jego przekroczenie.

Szczególnej uwagi wymagają trzy obszary: terminy powiadomienia o incydencie, prawo klienta do audytu wraz z jego zakresem oraz odpowiedzialność za działania podwykonawców. Są to zapisy, których późniejsza zmiana bywa niemożliwa, a których konsekwencje operacyjne organizacje często niedoszacowują.

Kwestionariusz warto potraktować jako informację rynkową, a nie wyłącznie obowiązek. Klient przekazuje w nim listę wymagań, których będzie oczekiwał również w przyszłości — i robi to zanim wymusi je regulator albo zanim wymusi je incydent.

Organizacje, które wyciągają z ankiety wnioski, zyskują podwójnie. Zamykają braki przed kolejną weryfikacją i jednocześnie budują dokumentację przydatną przy przygotowaniu do zgodności regulacyjnej. Znaczna część pytań pokrywa się z katalogiem środków wymaganych przez przepisy.

Z perspektywy zarządu istotne jest jeszcze jedno: ankieta dostarcza uzasadnienia dla wydatków, które wcześniej trudno było obronić. Wymaganie zapisane przez kluczowego klienta ma inną siłę argumentacyjną niż rekomendacja działu technicznego.

Organizacje obsługujące kilku większych klientów otrzymują kwestionariusze cyklicznie, a pytania w znacznej części się powtarzają. Uzasadnia to jednorazowe przygotowanie zestawu materiałów, z którego kolejne odpowiedzi składa się w godzinę zamiast w tydzień.

Podstawą jest wewnętrzny dokument zbierający standardowe odpowiedzi wraz ze wskazaniem dowodu i osoby odpowiedzialnej. Aktualizowany przy każdej zmianie w organizacji, pełni funkcję jednego źródła prawdy dla wszystkich kwestionariuszy.

Drugim elementem jest przygotowany komplet dokumentów, które klienci najczęściej proszą o załączenie. Ich brak wydłuża proces bardziej niż same odpowiedzi, ponieważ wymaga tworzenia dokumentacji pod presją terminu.

Przekazanie całej ankiety jednej osobie z działu IT jest rozwiązaniem najczęstszym i jednocześnie najgorszym. Znaczna część pytań dotyczy obszarów organizacyjnych i prawnych, w których administrator systemów nie ma ani wiedzy, ani umocowania do składania deklaracji.

Sprawdza się model z jednym koordynatorem i kilkoma osobami odpowiadającymi merytorycznie za swoje obszary. Koordynator odpowiada za spójność, terminowość i to, żeby żadna odpowiedź nie wykraczała poza stan faktyczny.

Odrębną kwestią jest zatwierdzenie. Kwestionariusz zawiera deklaracje wiążące organizację wobec kontrahenta, dlatego przed wysłaniem powinien zostać zaakceptowany na poziomie zarządu lub osoby uprawnionej do zaciągania zobowiązań.

Wysłanie kwestionariusza kończy zadanie formalnie, lecz nie merytorycznie. Braki wskazane we własnych odpowiedziach pozostają brakami — z tą różnicą, że są teraz udokumentowane wobec kontrahenta i opatrzone terminami.

Rozsądnym działaniem jest przeniesienie ich do rejestru ryzyka i planu działań, z tymi samymi terminami, które zostały zadeklarowane. Pozwala to uniknąć sytuacji, w której kolejna ankieta od tego samego klienta zawiera pytanie o postęp, a organizacja nie ma na nie odpowiedzi.

Warto również zachować wysłany kwestionariusz wraz z datą. Przy kolejnej weryfikacji stanowi punkt odniesienia, a przy zmianie osoby odpowiedzialnej — jedyne źródło informacji o tym, co zostało klientowi zadeklarowane.

Nie każdy kwestionariusz wymaga zaangażowania doradcy. Ankieta obejmująca kilkanaście pytań o podstawowe zabezpieczenia jest do wypełnienia siłami wewnętrznymi, o ile organizacja zna swój stan.

Wsparcie ma uzasadnienie w trzech sytuacjach: gdy kwestionariusz jest rozbudowany i odwołuje się wprost do wymagań regulacyjnych, gdy stawką jest kontrakt o istotnej wartości, oraz gdy organizacja nie potrafi samodzielnie ocenić, czy jej odpowiedzi są zgodne ze stanem faktycznym.

Wartością nie jest samo wypełnienie formularza, lecz przełożenie go na uporządkowany plan. Dobrze przeprowadzony proces zostawia organizację z rejestrem braków, harmonogramem i dokumentacją przydatną przy kolejnych weryfikacjach — a nie wyłącznie z odesłanym arkuszem.