Finantsjuht, ettevaatust: nõrk tarkvarapartner võib tuua trahvid, kahjud, andmelekked

USA suurima telekommunikatsiooni- ja tehnoloogiaettevõtte Verizoni hiljuti ilmunud andmelekke aruande järgi olid kolmandad osapooled ehk ettevõtete välised partnerid seotud 48% andmeleketega. Samas aasta varem oli nende osakaal 30%. Andmelekete uuring põhines enam kui 31 000 turvaintsidendi analüüsil 145 riigi organisatsioonides.

Puudulikult korraldatud turvaprotsessid võivad muuta haavatavaks ka ettevõtte, kes on oma süsteemide kaitsmisse pealtnäha põhjalikult panustanud.

Hiiemaa selgitas, et ettevõtted keskenduvad tarkvaralahenduse valimisel sageli selle hinnale, funktsioonidele ja kasutusmugavusele. Teenusepakkuja taust, sisemised tööprotsessid ja andmete käitlemise põhimõtted saavad seejuures tihti vähem tähelepanu. “Ettevõtted annavad tarkvarapartnerite kätte väga suure hulga ärikriitilist informatsiooni. Seal võivad olla kliendiandmed, müügiinfo, finantsandmed ja töötajatega seotud teave. Juhtkonnal peab olema selge ülevaade, kuidas partner neid andmeid hoiab, töötleb ja kaitseb,” ütles ta.

Tema sõnul tuleb enne koostöö alustamist uurida, kellel on andmetele ligipääs, kuidas ligipääsuõigusi hallatakse ja millised protsessid käivituvad turvaintsidendi korral. Samuti tasub kontrollida, millistes riikides või serverites andmeid hoitakse ja kas teenusepakkuja kasutab nende töötlemiseks omakorda teisi partnereid.

Küberrünnakud ja andmelekked võivad jõuda ettevõtteni ka tarneahela kaudu. Organisatsioon võib oma süsteemide kaitsmiseks rakendada põhjalikke meetmeid, kuid nõrgalt kaitstud tarkvarapartner võib avada ründajale tee tundlike andmeteni. “Partner peab suutma selgitada, milliseid turvameetmeid ta rakendab ja kuidas nende toimimist kontrollitakse,” märkis ta.

Suuremate ettevõtete ja rangemalt reguleeritud valdkondade teenusepakkujalt oodatakse järjest sagedamini sõltumatut kinnitust selle kohta, et tema infoturbe- ja andmekaitseprotsessid vastavad kokkulepitud nõuetele. Hiiemaa sõnul ei piisa sellistes koostöödes enam üldisest lubadusest, et andmed on kaitstud, vaid partner peab suutma oma töökorraldust ka tõendada.

“Ettevõte ei saa kõiki oma partnerite süsteeme ise kontrollida, mistõttu annab sõltumatu audit kindluse, et teenusepakkuja tegeleb infoturbega süsteemselt,“ ütles Hiiemaa ja lisas, et kui hiljem on vaja järelevalveasutusele või kohtule näidata, et andmete majutuse valikul tegutseti hoolsalt, on sertifitseeritud pakkuja valik tugev argument. “Seevastu odavaima pakkuja valik ilma igasuguse kontrollita on aga hooletuse tunnus, mis võib hilisema trahvi suurust otseselt mõjutada.”

Samuti kasvab regulatiivne surve. Euroopa Liidu NIS2 direktiivi ja GDPR-i nõuete rakendamine suunab ettevõtteid hindama senisest põhjalikumalt ka oma tehnoloogiapartnerite töökorraldust.

Näiteks tarkvaraarendaja puhul tuleb veenduda, et tal on turvaline arendusprotsess, korrapärane turvapaikade väljalase, haavatavuste käsitlemise kord ja soovitavalt ISO 27001 sertifikaat või SOC 2 raport. ISO 27001 on rahvusvaheline infoturbe juhtimissüsteemi standard, SOC 2 on audiitorraport, milles hinnatakse teenusepakkuja kontrolle turvalisuse, käideldavuse ja konfidentsiaalsuse osas.

“Kui ettevõte ei soovi seda kontrolli ja riskihindamist ise nullist üles ehitada, on lihtsaim lahendus valida partner, kes on selle töö juba ära teinud. Näiteks Erply tarkvara- ja majutuslahendused vastavad ISO 27001 nõuetele ning meie protsessid on kontrollitud SOC 2 auditi raames. See annab ettevõttele kindluse, et nii rakenduse kui ka taristu turvalisust on sõltumatult kontrollitud. Samuti teab ettevõte täpselt, kus tema andmeid hoitakse, kuidas neid varundatakse ja kes nende eest vastutab,” lisas ta.