Řízení bezpečnosti dodavatelů: jak chránit firmu před supply chain útoky

Efektivní řízení tohoto rizika stojí na třech fázích, které na sebe navazují: před zahájením nákupu, během výběrového řízení a smlouvy, a během plnění a ukončení spolupráce. Bezpečnost přitom musí vstoupit do hry už v první fázi – ne až poté, co má firma nabídky na stole.

📋 Bezpečnostní požadavky v technické specifikaci zakázky

Technická specifikace zakázky by měla obsahovat bezpečnostní požadavky šité na míru konkrétnímu plnění – požadavky na zabezpečení serveru vypadají jinak než požadavky na aplikaci nebo na cloudovou službu. Firmy, které si nejsou jisté, jak takové požadavky formulovat, mohou čerpat inspiraci z veřejného registru NEN, kde jsou volně dostupné zadávací dokumentace k veřejným zakázkám včetně bezpečnostních příloh.

📄 Kybernetický dotazník jako součást hodnocení nabídek

Osvědčenou praxí je zařadit do hodnocení nabídek jednoduchý kybernetický dotazník ve formátu ano/ne. Jeho váha v celkovém hodnocení se obvykle pohybuje v řádu jednotek procent podle velikosti zakázky. Dotazník typicky pokrývá:

✍️ Co má obsahovat kybernetický článek smlouvy

Do smlouvy s dodavatelem patří jako přílohy interní bezpečnostní standardy a administrátorské příručky – dodavatel se tím smluvně zavazuje k jejich dodržování. Osvědčuje se používat jeden univerzální kybernetický článek smlouvy (obvykle v rozsahu 2–3 stran), platný napříč všemi typy smluv, který řeší:

Používání jednoho univerzálního vzoru místo individuálních smluvních podmínek pro každého dodavatele šetří čas a zároveň snižuje riziko, že se na některý bezpečnostní požadavek zapomene.

🔍 Bezpečnostní audity dodavatelů v praxi

Bezpečnostní audity dodavatelů obvykle probíhají přímo na místě, trvají zhruba jeden den a zahrnují jak kontrolu dokumentace, tak procesní walkthrough (tedy ověření, jak bezpečnostní procesy skutečně fungují v praxi, ne jen na papíře).

Cílem auditu není dodavatele „nachytat“, ale ověřit shodu s dohodnutými požadavky. Pokud audit odhalí nedostatky, dodavatel dostává obvykle přiměřenou lhůtu na nápravu.

🛡️ Role bezpečnostního týmu v akceptačním řízení

Bezpečnostní tým by měl být zapojen i do akceptačního řízení – tedy do procesu, kdy firma formálně přebírá dodané dílo nebo službu. Osvědčenou praxí je nastavit pravidlo, že žádné předání díla neproběhne bez podpisu zástupce oddělení kybernetické bezpečnosti. Tím se předchází situaci, kdy je bezpečnostní kontrola „doháněna“ až poté, co je dílo dávno v provozu.

🚪 Exit plán – jak bezpečně ukončit spolupráci s dodavatelem

Řádné ukončení spolupráce je stejně důležité jako její zahájení. Exit plán by měl řešit především:

Bez jasně definovaného exit plánu hrozí, že bývalý dodavatel bude mít – třeba jen omylem – nadále přístup k datům nebo systémům, což představuje zbytečné a snadno odstranitelné riziko.

Firmy, které tento proces zvládnou nastavit systematicky už u prvního dodavatele, ho pak dokážou relativně snadno replikovat napříč celým dodavatelským portfoliem – a právě to je rozdíl mezi nahodilou kontrolou a skutečným řízením rizika.