NIS2 और आपूर्ति श्रृंखला: ACN के नए FAQ से विक्रेता जोखिम प्रबंधन कैसे बदलेगा?

विक्रेता जोखिम प्रबंधन: अब कोई बहाना नहीं

साइबर सुरक्षा में आपूर्ति श्रृंखला कमजोर कड़ी बनी हुई है, और NIS2 इस पर सख्ती करता है। ACN के नए FAQ ने स्पष्ट किया है कि संगठनों को विक्रेता जोखिम का आकलन कैसे करना चाहिए। यह मानने की गलती न करें कि आपका विक्रेता आपकी सुरक्षा का ध्यान रखेगा - ऐसा सोचना उतना ही भोला है जितना कि यह विश्वास करना कि आपका कुत्ता आपके लिए कर भर देगा।

FAQ में क्या है खास?

FAQ चार चरणों की रूपरेखा प्रस्तुत करते हैं: पहचान, मूल्यांकन, शमन, और निगरानी। हर चरण के लिए न्यूनतम मानदंड तय किए गए हैं, और आनुपातिकता का सिद्धांत लागू होता है - छोटे विक्रेताओं के लिए हल्का दृष्टिकोण, बड़े के लिए गहन जांच।

पहचान: अपने विक्रेताओं को जानें

पहला कदम है सभी विक्रेताओं की सूची बनाना और उनकी सेवाओं के महत्व के आधार पर वर्गीकरण करना। कौन से विक्रेता आपके महत्वपूर्ण डेटा को संभालते हैं? यदि आप इसका जवाब नहीं जानते, तो आप पहले ही हार चुके हैं।

मूल्यांकन: एक आकार सभी के लिए नहीं

मूल्यांकन में विक्रेता के सुरक्षा नियंत्रण, पिछले घटनाओं, और प्रमाणपत्रों की जांच शामिल है। याद रखें, प्रमाणन का मतलब यह नहीं कि वे सुरक्षित हैं - यह सिर्फ एक लेबल है, ठीक उसी तरह जैसे 'ग्लूटेन-फ्री' का मतलब यह नहीं कि केक स्वादिष्ट है।

प्रमुख संसाधन: EUR-Lex पर NIS2 निर्देश (2022/2555) देखें।

आनुपातिकता का सिद्धांत: ज्यादा न हल्का, न भारी

FAQ में कहा गया है कि मूल्यांकन का दायरा विक्रेता के जोखिम के अनुपात में हो। यानी, ईमेल न्यूज़लेटर भेजने वाले विक्रेता के लिए उतनी गहन जाँच नहीं जितनी क्लाउड इन्फ्रास्ट्रक्चर प्रदाता के लिए। यह एक समझदारी भरा दृष्टिकोण है, क्योंकि हर चीज़ के लिए फॉरेंसिक ऑडिट करना वैसा ही होगा जैसे चींटी को मारने के लिए परमाणु बम का इस्तेमाल।

अनुपालन कैसे शुरू करें?

FAQ एक व्यावहारिक रोडमैप देते हैं। पहले अपनी आपूर्ति श्रृंखला का मैप बनाएं, फिर जोखिम के आधार पर प्राथमिकता दें, और उसके बाद अनुबंधों में सुरक्षा खंड जोड़ें। यह कोई रॉकेट साइंस नहीं है, लेकिन इसके लिए अनुशासन चाहिए।

एक सामान्य गलती यह सोचना है कि एक बार मूल्यांकन कर लिया तो काम खत्म। वास्तव में, यह एक सतत प्रक्रिया है - जैसे अपने बिलों का भुगतान करना: कभी खत्म नहीं होता, लेकिन अगर नहीं किया तो मुश्किल में पड़ जाएंगे।

FAQ

NIS2 के तहत विक्रेता जोखिम प्रबंधन के चार चरण क्या हैं?

चार चरण हैं: पहचान (विक्रेताओं की सूची और वर्गीकरण), मूल्यांकन (सुरक्षा नियंत्रणों की जांच), शमन (जोखिम कम करने के उपाय), और निगरानी (निरंतर समीक्षा)।

क्या छोटे विक्रेताओं के लिए भी पूर्ण मूल्यांकन आवश्यक है?

नहीं, FAQ में आनुपातिकता का सिद्धांत लागू होता है। छोटे या कम जोखिम वाले विक्रेताओं के लिए हल्का मूल्यांकन पर्याप्त है, जबकि महत्वपूर्ण विक्रेताओं के लिए गहन जांच आवश्यक है।

ACN के FAQ का पालन न करने पर क्या दंड हो सकता है?

NIS2 के तहत गैर-अनुपालन पर भारी जुर्माना लग सकता है, जो कंपनी के वार्षिक कारोबार के 2% या 10 मिलियन यूरो (जो भी अधिक हो) तक हो सकता है। FAQ का पालन करना अनुपालन प्रदर्शित करने में मदद करता है।