Короткий cybersecurity-опросник для поставщика физической инфраструктуры

Почему камера или контроллер доступа — это киберриск

Поставщик физической инфраструктуры не просто монтирует железо: он передаёт вам подключённые к сети системы, которые находятся на вашем объекте и следят за ним. Видеокамеры, контроллеры дверей, турникеты, домофоны и датчики периметра работают на встроенном программном обеспечении, хранят учётные данные и общаются по сети. Если такое устройство не обновлено и работает с заводским паролем, оно становится легитимной точкой входа, через которую злоумышленник может двигаться по сети, какой бы прочной ни была дверь.

Поэтому проверка цепочки поставок рассматривает закупку таких компонентов как оценку одновременно и поставщика, и продукта. Практические модели, подобные шаблону проверки поставщиков CISA и рекомендациям NIST по управлению рисками цепочки поставок, предлагают группировать вопросы по управлению, информационной и физической безопасности, персоналу и устойчивости. Ваш опросник — это способ перенести такую схему на одно конкретное закупочное решение.

Сначала оцените уровень риска, потом задавайте вопросы

Самая частая ошибка — отправлять каждому интегратору анкету на сотни вопросов. Это даёт задержанные и общие ответы и приучает поставщика на всё отвечать «да». Сначала решите, с чем поставщик реально соприкасается.

Подрядчик, который обслуживает вентиляцию и имеет пропуск в техническое помещение, создаёт иной риск, чем интегратор, настраивающий сервер видеонаблюдения, владеющий административными правами и подключающий датчики периметра к офисной сети. Разделите поставщиков на высокий, средний и низкий уровень риска по данным, к которым они получают доступ, по системам, которые администрируют, и по тому, работают ли они на постоянной основе. Полный опросник предназначен для высокого и среднего уровня; поставщикам низкого уровня достаточно короткого фильтра из пяти вопросов.

Пять блоков, в которых сосредоточен риск

Чтобы удержать опросник на одной странице, сосредоточьтесь на тех мерах, которые напрямую влияют на физические системы. Каждый блок оценивается как «да», «частично» или «нет» с полем для подтверждающих материалов.

Первый блок — гигиена устройств и прошивок: как поставщик отслеживает версии ПО камер, контроллеров и шлюзов, как узнаёт об уязвимостях и за какое время способен поставить проверенное обновление. Второй — учётные данные и доступ: меняются ли заводские пароли при пусконаладке, защищены ли административные учётные записи многофакторной аутентификацией и у кого находятся главные ключи доступа.

Третий блок — поведение в сети: сегментация видеопотока и систем управления от офисной сети, возможность выхода устройств в интернет и журналирование подключений. Четвёртый — прозрачность цепочки поставок: названные субподрядчики, происхождение прошивки и оборудования, наличие контролируемой спецификации комплектующих, чтобы устройства, полученные или отремонтированные в пути, нельзя было незаметно подменить. Пятый — реагирование и передача: как поставщик выявляет инциденты на обслуживаемых системах, кого вы зовёте и какую документацию и поддержку он оставляет после внедрения.

• Меняются ли заводские пароли при пусконаладке и уникальны ли они для каждого устройства?
• Защищены ли административные и сервисные учётные записи многофакторной аутентификацией с разделением ролей?
• Сегментированы ли сети видеонаблюдения, СКУД и инженерных систем от офисной сети?
• Как поставщик узнаёт об уязвимостях прошивок и поставляет проверенные обновления, и в какие сроки?
• Может ли поставщик назвать субподрядчиков и предоставить контролируемую спецификацию оборудования и прошивки?
• У кого находятся корневые учётные записи, и журналируется ли и проверяется ли доступ к ним?
• Что происходит при инциденте: обязанность обнаружения, срок уведомления и сохраняемые доказательства?

Посчитайте баллы и проверьте заявления

Полезная модель оценки присваивает каждому блоку вес в зависимости от уровня поставщика и чувствительности актива. Например, для интегратора СКУД обычно важнее всего обновление прошивок и управление учётными записями, а для поставщика периферийного оборудования выше вес прозрачности цепочки поставок. Установите порог, ниже которого требуется план устранения замечаний, и помечайте ответы, требующие уточнения, а не принимайте их как окончательные.

Проверка важна, потому что ответы в опроснике описывают намерения, а не реальность. Просите документы: политику управления обновлениями, заявление о применимости в духе ISO/IEC 27001, схему сети или результаты аудита. Сопоставляйте заявления с наблюдаемыми сигналами: поставщик, обещающий строгую дисциплину обновлений, должен показать документированный цикл тестирования. Для самого высокого уровня риска дополните опросник выборочной проверкой на месте одного-двух устройств, чтобы убедиться, что заводские настройки действительно сняты, а прошивка актуальна.

Закрепите обязательства в договоре

Опросник прочен настолько, насколько прочно обязательство, стоящее за ним. Укажите в договоре поставки, что поставщик обязан поддерживать подтверждённые меры защиты, задайте срок уведомления об инцидентах, затрагивающих ваши системы, и определите, какие документы он должен предоставлять по запросу и при повторной оценке.

В регулируемых секторах это не опция. Для организаций банковской системы России стандарт Банка России СТО БР ИББС-1.4-2018 задаёт требования к управлению риском нарушения информационной безопасности при передаче существенных функций на аутсорсинг, включая периодическую оценку поставщика услуг. Вне банков действует тот же принцип: передача работ не снимает с вас ответственности за безопасность вашего объекта и данных.

Честно назовите ограничения

Опросник поставщика не может обнаружить скомпрометированную сборку, недобросовестного сотрудника или компонент с закладкой, а также не показывает, как поставщик ведёт себя на объекте в реальности. Это инструмент скрининга, который снижает, но не устраняет риск.

Будьте столь же ясны в том, чем инструмент не является. Он не заменяет аудит на месте, тестирование на проникновение и постоянный мониторинг уже установленных систем. Там, где после подсчёта баллов остаётся неопределённость, зафиксируйте остаточный риск и примите осознанное решение, а не исходите из того, что заполненный опросник означает безопасное внедрение.