Kibernetinio saugumo įstatymo 14 straipsnio 5 dalyje nustatyti pagrindiniai kibernetinio saugumo elementai, kurių atžvilgių organizacija turi turėti suformavusi aiškią politiką ir jos pagrindu veikiančius procesus. Vienas iš šių elementų – tiekimo grandinės saugumas, įskaitant organizacijos ir jos paslaugų teikėjų santykius.
Kibernetinio saugumo reikalavimų apraše, patvirtintame Lietuvos Respublikos Vyriausybės 2018 m. rugpjūčio 13 d. nutarimu Nr. 818 „Dėl Lietuvos Respublikos kibernetinio saugumo įstatymo įgyvendinimo“ detalizuoti reikalavimai teikėjų atrinkimui, sutartims. Dar daugiau informacijos, kaip pasirengti valdyti trečiųjų šalių teikėjų keliamą riziką, pateikta NKSC parengtame Trečiųjų šalių valdymo rekomendacijų leidinyje.
Galutinė atsakomybė už organizacijos veiklą visada tenka vadovui. Neabejotinai, už tiekimo grandinės saugumo valdymą atsakingi daugelis organizacijos darbuotojų, kurie rengia viešųjų pirkimų technines specifikacijas, vykdo trečiųjų šalių teikėjo patikrinimo procedūras, stebi sutarties reikalavimų vykdymą ir t.t. Šiuo metu Kibernetinio saugumo informacinėje sistemoje yra paskelbtas Tiekimo grandinės saugumo valdymo tvarkos šablonas, kuriame galite pamatyti, kaip atsakomybės yra paskirstomos organizacijoje.
Organizacijai turint trečiosios šalies teikėją, jo keliama rizika turi būti vertinama tiek viešojo pirkimo procedūrų metu, tiek sutarties vykdymo metu.
Kiekviena organizacija savo veikloje turi vadovautis „due care“ ir „due diligance“ principais, t.y. kurti funkcionalumus/paslaugas/produktus taip, kad jie geriausiai/optimaliai atitiktų tikslus ir nuolat stebėti, kaip efektyviai funkcionalumai/paslaugos/produktai veikia. Pažymėtina, kad atsakomybė, kiek ir kokių trečiųjų šalių teikėjų bebūtų, visada liks organizacijos pusėje, todėl renkantis trečiųjų šalių teikėjus rekomenduojama juos įvertinti visais aspektais, pradedant viešųjų pirkimų techninių specifikacijų parengimu, ir baigiant viešai prieinamos informacijos tikrinimu. Atsižvelgiant į tai, prie kokių procesų, duomenų, tinklų ir informacinių sistemų gautų prieigą trečiųjų šalių teikėjai, atitinkamai siūloma nustatyti ir reikalavimus, susijusius su saugumo užtikrinimu. Kuo procesai, duomenys, tinklai ir informacinės sistemos kritiškesnės organizacijai, tuo reikalavimai, susiję su saugumu turi būti griežtesni.
Organizacija, pasirinkdama trečiosios šalies tiekėją, turi įvertinti visas su juo susijusias rizikas, kurias būtų galima sugrupuoti į: tiekėjo keliamas rizikas, organizacijos procesams, duomenims, tinklų ir informacinėms sistemoms keliamas rizikas ir sutarčių vykdymo rizikas. Tik įvertinusi šias rizikas ir nustačiusi jų valdymo priemones, bei aiškiai apibrėžusi reikalavimus trečiosioms šalims, organizacija pradiniame trečiosios šalies tiekėjo pasirinkimo etape vadovausis „due care“ ir „due diligance“ principais bei turės minimalų užtikrintumą dėl trečiųjų šalių teikėjo pasirinkimo.
Visgi, jei organizacijai nepavyksta su trečiosios šalies teikėju susitarti dėl informacijos, kuri padėtų įvertinti trečiosios šalies teikėją, gavimo, reikėtų prašyti nepriklausomos auditoriaus vertinimo ataskaitos (šiuo atveju reikėtų atkreipti dėmesį, kad audito ataskaitoje turėtų būti aptarti organizacijai rūpimi klausimai ir reikalavimai).
Vadovaujantis „due diligence“ principu kasmetinio rizikų vertinimo metu turi būti vertinama trečiųjų šalių teikėjų keliama rizika bei sutarčių vykdymo rizika. Sudarant sutartį būtina įtraukti reikalavimus, nustatytus Kibernetinio saugumo reikalavimų aprašo 34 punkte. Kadangi šie reikalavimai susiję ir su kasdien atliekamomis veiklomis, turi būti vykdoma sutartyse nustatytų reikalavimų vykdymo stebėsena.
Jei programinė įranga įsigyjama kaip produktas ir daugiau kontaktų su teikėju nėra, užtektų įvertinti teikėją ir įsigyjamą produktą įsigijimo metu. Vis dėlto, jei įsigyjamas produktas yra su palaikymu, palaikymo paslaugas teikianti organizacija laikoma trečiosios šalies teikėju ir būtina vertinti jo keliamas rizikas nuolat.
