Ställ säkerhetskrav på era leverantörer

Varför det här spelar roll

Vad behöver du göra

• Lista era leverantörer och gradera dem efter vad ett avbrott hos dem gör med er.
• Skriv krav som går att verifiera, inte krav som går att svara ja på.
• Kräv att leverantören larmar er, och inom vilken tid.
• Ta upp kraven i upphandlingen, eftersom de sällan går att förhandla in efteråt.

Så tar ni fram kraven

1. Lista vilka som faktiskt kan stoppa er

   Börja inte med alla leverantörer. Börja med dem vars avbrott stoppar er verksamhet inom ett dygn, och dem som har åtkomst till era system eller er data. Det blir oftast en kort lista, och det är den listan som är värd arbetet.

2. Fråga vem de i sin tur beror av

   Er leverantör har egna leverantörer. En gemensam underleverantör hos flera av era viktigaste kan innebära att ni har en enda felkälla utan att veta om det. Frågan behöver inte vara komplicerad. Vilka driftsleverantörer använder ni, och var ligger driften.

3. Skriv krav som går att verifiera

   Skillnaden mellan ett krav och en önskan är om ni kan kontrollera svaret. Har ni ett ledningssystem certifierat mot ISO 27001, visa intyget. Rapporterar ni incidenter till oss, inom hur många timmar. Hur ofta testar ni återställning av vår data. Undvik formuleringar som bara går att bemöta med ett ja.

4. Kräv larm inom en bestämd tid

   Det viktigaste enskilda kravet. Om leverantören drabbas ska ni få veta, och ni ska få veta snabbt nog för att hinna med er egen rapportering. Sätt en tid i timmar och skriv in vem som ringer vem. Utan det får ni ofta reda på saken via nyheterna.

5. Lägg kraven i upphandlingen

   Upphandlingen är det enda tillfälle då ni har förhandlingsläge. Efter avtalstecknande är säkerhetskrav en ändring som kostar. Det här är skälet till att upphandlingen brukar kallas den första kontrollen, se kapitlet om leveranskedjans säkerhet.

6. Följ upp en gång om året

   Ett krav som aldrig följs upp är en text i ett avtal. Lägg in en årlig avstämning med de leverantörer som står på den korta listan. En halvtimme per leverantör räcker för att märka om något förändrats.

Nästa steg

• Inventera vem som har tillgång till vad Tar 120 min
• Rapportera en incident inom 24 timmar enligt lagen Tar 75 min