30 tietoturvakysymystä, jotka IT-palveluntarjoajalle on esitettävä ennen sopimuksen allekirjoittamista

Kokosimme tämän listan sen jälkeen, kun valvottu asiakas lähetti meille ennen sopimuksen allekirjoittamista 30 kysymystä siitä, miten pääsemme hänen Google Workspace -ympäristöönsä, miten meitä valvotaan ja mitä tapahtuu, jos jokin menee vikaan. Kysymykset olivat hyviä. Suurin osa niistä sopii mille tahansa yritykselle, joka luottaa sähköpostinsa, tiedostonsa ja käyttäjätilinsä ulkoiselle IT-palveluntarjoajalle – riippumatta siitä, onko kyse Google Workspacesta, Microsoft 365:stä vai muusta palvelusta. Olemme yleistäneet ne ja järjestäneet kymmeneen ryhmään.

Pääsy

1. Mitkä järjestelmänvalvojan oikeudet teillä tarkalleen on ympäristössämme? Tarvitsetteko pääkäyttäjän (globaalin järjestelmänvalvojan) roolin pysyvästi, ja jos kyllä, mihin päivittäisiin toimintoihin?
2. Työskenteleekö jokainen työntekijänne ympäristössämme omalla nimetyllä tilillään vai jaetulla tilillä?
3. Miten tilapäiset oikeudet myönnetään ja poistetaan, jos tehtävä vaatii enemmän kuin teillä on pysyvästi? Mihin se kirjataan?
4. Mistä maista ja millaisilta laitteilta pääsette ympäristöömme? Onko se teknisesti rajoitettu vai vain määritelty menettelyohjeessa?

Todennus

5. Mikä toinen tekijä järjestelmänvalvojienne tileillä on – fyysinen suojausavain, sovellus vai SMS?
6. Kuinka monta avainta jokaisella järjestelmänvalvojalla on, ja mitä tapahtuu, jos avain katoaa?
7. Miten säilytätte ympäristömme salasanoja ja palautuskoodeja? Kenellä on niihin pääsy?

Konfiguraatio

8. Minkä standardin mukaan konfiguroitte ympäristömme (esimerkiksi CIS Benchmark), ja minkä version?
9. Mihin dokumentoidaan, mitä asetuksia on sovellettu ja miksi standardista on poikettu?
10. Miten saatte tietää, jos jotakin asetusta muutetaan sopimatta, ja kuinka usein tarkistatte sen?
11. Mitä tapahtuu, jos oma järjestelmänvalvojamme muuttaa jotakin – pitääkö siitä ilmoittaa teille, ja miten?

Varmuuskopiot ja palautus

12. Varmuuskopioidaanko sähköpostimme ja tiedostomme palveluntarjoajan (Google tai Microsoft) omien säilytysmekanismien ulkopuolelle? Minne ja kuinka pitkäksi aikaa?
13. Kuka testaa palautusta ja kuinka usein? Saammeko testipöytäkirjan?
14. Kuinka nopeasti voidaan palauttaa yksi käyttäjä, yksi tiedosto, koko ympäristö?

Valvonta ja lokit

15. Mitä hälytyksiä on määritetty (järjestelmänvalvojan muutokset, epäilyttävät kirjautumiset, kolmannen osapuolen sovellusten pääsy), ja kuka ne saa – vain te vai myös me?
16. Kuinka pitkään tarkastuslokeja säilytetään, ja viedäänkö ne palvelun ulkopuolelle?
17. Miten voimme tarkistaa teidän omat toimenpiteenne ympäristössämme ilman teidän osallistumistanne?

Poikkeamat

18. Kuinka nopeasti reagoitte hälytykseen työaikana ja sen ulkopuolella?
19. Kuka luokittelee poikkeaman ja kuka päättää ilmoittamisesta valvojille tai rekisteröidyille – te vai me?
20. Miten ilmoitatte meille, jos poikkeama on tapahtunut teillä itsellänne (teidän tilinne, teidän tietokoneenne, teidän työkalunne)?

Dokumentaatio ja hyväksyntä

21. Mitä dokumentteja saamme käyttöönoton päätteeksi – ympäristön kuvaus, kontrollirekisteri, poikkeuslista, hyväksymispöytäkirja?
22. Miten ja kuinka usein näitä dokumentteja päivitetään?
23. Ovatko dokumentit meidän omaisuuttamme, ja voimmeko luovuttaa ne toiselle palveluntarjoajalle?

Ihmiset ja alihankkijat

24. Ketkä nimetyt henkilöt työskentelevät ympäristömme kanssa, ja kuka sijaistaa heitä poissaolon aikana?
25. Käytättekö alihankkijoita? Keitä, mihin töihin, ja onko heillä pääsy tietoihimme?
26. Mitä työkaluja (tikettijärjestelmä, salasanaholvi, etäkäyttö) käytetään ylläpidossamme, ja minne ne tallentavat tietoja?

Tietojen sijainti

27. Missä tietomme fyysisesti sijaitsevat, ja voidaanko se määrittää ja todistaa (esimerkiksi data-alue Euroopassa)?
28. Käsitteleekö jokin työkaluistanne tai alihankkijoistanne tietojamme ETA-alueen ulkopuolella?

Sopimus ja päättyminen

29. Mitä tapahtuu teidän pääsyllenne, meidän tiedoillemme ja dokumentaatiolle, jos sopimus päättyy – kuinka monessa päivässä ja millaisella vahvistuksella?
30. Onko sopimuksessa meidän oikeutemme tehdä tarkastus, ja teettekö yhteistyötä tarkastajamme tai valvojamme kanssa, jos tämä kysyy työstänne?

Miten vastauksia luetaan

Hyvä palveluntarjoaja vastaa suurimpaan osaan heti, koska hänellä se on jo dokumentoitu. Jos pääsyä koskeviin kysymyksiin vastaus on ”tarvitsemme täydet oikeudet, muuten emme voi työskennellä”, varmuuskopioista – ”Google säilyttää jo kaiken”, ja alihankkijoista – ”sillä ei ole väliä”, ne ovat kolme varoitusvaloa. Jos palveluntarjoaja vastaa joihinkin kysymyksiin ”pitää vielä tarkistaa”, se on parempi kuin varma vastaus ilman perusteluja.

Valvotuille yrityksille (maksulaitokset, sähköisen rahan liikkeeseenlaskijat, vakuutusedustajat, NIS2-toimijat) nämä kysymykset ovat myös osa ulkoistuksen arviointia, jota valvoja edellyttää. Vastaukset voi liittää ulkoistusrekisteriin sellaisinaan.

Omat vastauksemme näihin kysymyksiin Google Workspacen osalta on kuvattu tietoturva-auditoinnin ja valvonnan sivulla. Jos haluat listan dokumenttina, jonka voit lähettää omalle palveluntarjoajallesi, kirjoita osoitteeseen [email protected].