Κυβερνοασφάλεια · 14 Οκτωβρίου 2026
Προμηθευτές IT: τι να ελέγξετε πριν δώσετε πρόσβαση
Ο συνεργάτης που υποστηρίζει το ERP, το cloud ή το δίκτυό σας γίνεται μέρος της ασφάλειας της επιχείρησης. Μια οργανωμένη αξιολόγηση βοηθά να ξεκαθαρίσετε ευθύνες, πρόσβαση και ενέργειες σε περίπτωση προβλήματος.
Γιατί το θέμα αξίζει την προσοχή της διοίκησης
Στις 8 Ιουλίου 2026, το NIST δημοσίευσε την τελική έκδοση του οδηγού SP 1326 για την αξιολόγηση προμηθευτών τεχνολογίας. Ο οδηγός εξετάζει, μεταξύ άλλων, την ανθεκτικότητα, τις βασικές πρακτικές κυβερνοασφάλειας και τις εξαρτήσεις της εφοδιαστικής αλυσίδας. Η ουσία για μια επιχείρηση είναι πρακτική: πριν βασιστείτε σε έναν συνεργάτη, χρειάζεστε πληροφορίες που στηρίζουν μια τεκμηριωμένη απόφαση. Δείτε τον επίσημο οδηγό του NIST.
1. Ξεχωρίστε τους κρίσιμους συνεργάτες
Καταγράψτε ποιοι προμηθευτές έχουν πρόσβαση σε συστήματα ή δεδομένα και ποιοι υποστηρίζουν κρίσιμες εργασίες. Το NIST SP 1305 προτείνει απαιτήσεις προσαρμοσμένες στην κρισιμότητα του προμηθευτή. Ένας πάροχος που διαχειρίζεται το ERP χρειάζεται διαφορετική αξιολόγηση από έναν συνεργάτη χωρίς ψηφιακή πρόσβαση. Για κάθε κρίσιμο πάροχο σημειώστε την υπηρεσία, τον εσωτερικό υπεύθυνο και τις συνέπειες μιας διακοπής.
2. Συμφωνήστε ποιος μπαίνει, πού και για πόσο
Η FTC συστήνει πρόσβαση μόνο στα απαραίτητα δεδομένα και μόνο για όσο χρόνο χρειάζεται, καθώς και πολυπαραγοντικό έλεγχο ταυτότητας για την πρόσβαση προμηθευτών στο δίκτυο. Ζητήστε από την ομάδα IT να επιβεβαιώσει ποιοι εξωτερικοί λογαριασμοί είναι ενεργοί και αν τα δικαιώματά τους αντιστοιχούν στη σημερινή εργασία τους. Η ολοκλήρωση μιας σύμβασης πρέπει να συνοδεύεται από έλεγχο και ανάκληση των σχετικών προσβάσεων.
3. Ζητήστε αποδεικτικά με συγκεκριμένο σκοπό
Η FTC προτείνει επαλήθευση της τήρησης των συμφωνημένων κανόνων, αντί για απλή αποδοχή διαβεβαιώσεων. Η πρακτική μας πρόταση είναι κάθε ερώτηση να συνδέεται με ένα τεκμήριο: ποιος διαχειρίζεται τα δικαιώματα, πώς παρακολουθούνται οι εκκρεμότητες και ποια ενημέρωση λαμβάνει ο πελάτης. Ζητήστε μόνο τις πληροφορίες που χρειάζονται για την αξιολόγηση και συμφωνήστε ασφαλή τρόπο ανταλλαγής τους.
4. Βάλτε τις προσδοκίες στη συνεργασία
Οι οδηγίες της FTC δίνουν έμφαση σε γραπτές απαιτήσεις ασφάλειας και κανόνες για τη χρήση, τη διατήρηση και τη διαγραφή δεδομένων. Πριν ξεκινήσει ένα έργο, αποτυπώστε ποιος αναλαμβάνει κάθε εργασία. Μια ασαφής φράση όπως «περιλαμβάνεται υποστήριξη» δεν αρκεί για να γνωρίζετε ποιος θα ενεργήσει όταν κάτι δεν λειτουργεί. Οι συμφωνίες χρειάζονται προσαρμογή στο πραγματικό αντικείμενο της υπηρεσίας.
5. Κάντε μια σύντομη άσκηση επικοινωνίας
Ως πρακτική άσκηση, εξετάστε το σενάριο: «Η βασική εφαρμογή δεν είναι διαθέσιμη στις 09:00». Ποιος ανοίγει το αίτημα; Ποιος ενημερώνει τη διοίκηση; Ποιο κανάλι χρησιμοποιείται αν δεν λειτουργεί το email; Ζητήστε από τον προμηθευτή να επιβεβαιώσει τα στοιχεία επικοινωνίας και τη διαδικασία κλιμάκωσης. Καταγράψτε τα κενά που προκύπτουν, χωρίς να διακόψετε την παραγωγική λειτουργία.
Ένα πρώτο βήμα για αυτή την εβδομάδα
Επιλέξτε τους τρεις συνεργάτες με τη μεγαλύτερη επίδραση στη λειτουργία σας. Δημιουργήστε μία σύντομη καταγραφή για τον καθένα: υπηρεσία, πρόσβαση, υπεύθυνος συνεργασίας, διαθέσιμα αποδεικτικά, ανοικτές ενέργειες και ημερομηνία επανεξέτασης. Για κάθε εκκρεμότητα ορίστε υπεύθυνο και προθεσμία. Πρόκειται για πρακτικό σημείο εκκίνησης που προσαρμόζεται στο μέγεθος και στους κινδύνους της επιχείρησης.
Πώς σας υποστηρίζει η TKBI
Η TKBI παρέχει συμβουλευτικές υπηρεσίες για την αξιολόγηση κινδύνων προμηθευτών, την οργάνωση ερωτηματολογίων και την παρακολούθηση ενεργειών βελτίωσης. Επικοινωνήστε μαζί μας για να οργανώσουμε μια αξιολόγηση προσαρμοσμένη στις δικές σας συνεργασίες.
Επίσημες πηγές
NIST SP 1326 — Due Diligence Assessment Quick-Start Guide, 8 Ιουλίου 2026
NIST SP 1305 — Cybersecurity Supply Chain Risk Management
FTC — Cybersecurity for Small Business, ενότητα Vendor Security
Έλεγχος πηγών: 14 Οκτωβρίου 2026. Οι πηγές αξιοποιούνται ως τεχνική καθοδήγηση. Οι πρακτικές προτάσεις του άρθρου δεν αποτελούν πλήρη έλεγχο συμμόρφωσης.