अगर आपकी कंपनी सॉफ़्टवेयर बनाती है, शिप करती है, या उस पर निर्भर करती है, तो NIS2 सप्लाई चेन सिक्योरिटी कोई साइड क्वेस्ट नहीं है। यह डायरेक्टिव की रिस्क-मैनेजमेंट अपेक्षाओं के भीतर सीधे बैठता है।
यह इसलिए मायने रखता है क्योंकि ज़्यादातर सिक्योरिटी प्रोग्राम अब भी थर्ड-पार्टी रिस्क को वेंडर स्प्रेडशीट प्रॉब्लम की तरह ट्रीट करते हैं। NIS2 ऐसा नहीं करता। यह सप्लाई चेन सिक्योरिटी को एक ऑपरेशनल कंट्रोल की तरह ट्रीट करता है: आप सप्लायर्स को कैसे वेट करते हैं, डिपेंडेंसीज़ को कैसे सिक्योर करते हैं, एक्सपोज़र को कैसे मैनेज करते हैं, और यह कैसे साबित करते हैं कि आपका प्रोसेस काम करता है।
यह गाइड बताता है कि SaaS टीमों को वाक़ई क्या करना चाहिए, रेगुलेटर्स और ऑडिटर्स किस एविडेंस की उम्मीद करेंगे, और ज़्यादातर टीमें कहाँ अटक जाती हैं।
संक्षिप्त वर्शन
अगर आपके पास सिर्फ़ 10 मिनट हैं, तो पहले ये करें:
- सभी क्रिटिकल सप्लायर्स, कोड डिपेंडेंसीज़, CI/CD टूलिंग, और क्लाउड सर्विसेज़ की इन्वेंटरी बनाएँ।
- तय करें कि कौन-से थर्ड पार्टीज़ सर्विस डिलीवरी, कस्टमर डेटा, या प्रिविलेज्ड एक्सेस को प्रभावित कर सकते हैं।
- क्रिटिकल सप्लायर्स से बेसिक सिक्योरिटी एविडेंस माँगें: सर्टिफ़िकेशन्स, पैच SLAs, ब्रीच नोटिफ़िकेशन टर्म्स, और सबप्रोसेसर ट्रांसपेरेंसी।
- अपनी एप्लिकेशंस और डिपेंडेंसीज़ को एक्सप्लॉइटेबल वल्नरेबिलिटीज़ के लिए लगातार स्कैन करें।
- ओनर्स, एप्रूवल क्राइटेरिया, और एस्केलेशन पाथ्स के साथ एक रिपीटेबल रिव्यू प्रोसेस डॉक्यूमेंट करें।
- अभी से एविडेंस तैयार करें। NIS2 के तहत, अनडॉक्यूमेंटेड कंट्रोल्स कमज़ोर कंट्रोल्स हैं।
NIS2 सप्लाई चेन सिक्योरिटी की परवाह क्यों करता है
NIS2, एसेंशियल और इम्पॉर्टेंट एंटिटीज़ को साइबरसिक्योरिटी रिस्क को ज़्यादा अनुशासन के साथ मैनेज करने के लिए प्रेरित करता है। इसमें न सिर्फ़ इंटरनल कंट्रोल्स शामिल हैं, बल्कि नेटवर्क और इंफ़र्मेशन सिस्टम्स की एक्विज़िशन, डेवलपमेंट, और मेंटेनेंस में सिक्योरिटीभी शामिल है, जिसमें सप्लायर रिलेशनशिप्स और वल्नरेबिलिटीज़ शामिल हैं।
आसान शब्दों में: अगर कोई वेंडर, डिपेंडेंसी, प्लगइन, बिल्ड पाइपलाइन, या होस्टिंग प्रोवाइडर आपकी समस्या बन सकता है, तो रेगुलेटर्स को उम्मीद है कि आप उस रिस्क को मैनेज करें।
SaaS कंपनियों के लिए, आमतौर पर रिस्की एरियाज़ में शामिल हैं:
- ओपन-सोर्स डिपेंडेंसीज़
- क्लाउड इंफ्रास्ट्रक्चर प्रोवाइडर्स
- आइडेंटिटी प्रोवाइडर्स
- CI/CD प्लेटफ़ॉर्म्स
- मैनेज्ड डेटाबेसेज़
- एनालिटिक्स और ट्रैकिंग स्क्रिप्ट्स
- MSPs और आउटसोर्स्ड डेवलपर्स
- प्रिविलेज्ड एक्सेस वाली सिक्योरिटी टूलिंग
NIS2 के तहत "अच्छा" कैसा दिखता है
पहले दिन ही हर सप्लायर पर परफ़ेक्ट विज़िबिलिटी की ज़रूरत नहीं है। आपको एक डिफ़ेंसिबल प्रोसेस की ज़रूरत ज़रूर है।
एक मज़बूत NIS2-रेडी सप्लाई चेन प्रोग्राम में आमतौर पर पाँच ट्रेट्स होते हैं:
1. आपको पता है कि आपके स्टैक में क्या है
ज़्यादातर टीमें इन सवालों का साफ़ जवाब नहीं दे पातीं:
- कौन-से वेंडर्स बिज़नेस-क्रिटिकल हैं?
- कौन-से पैकेजेज़ इंटरनेट-एक्सपोज़्ड या प्रोडक्शन-फ़ेसिंग हैं?
- किन टूल्स के पास सीक्रेट्स या डिप्लॉयमेंट राइट्स हैं?
- कौन-सी सर्विसेज़ कस्टमर डेटा प्रोसेस करती हैं?
अगर आप उन डिपेंडेंसीज़ को मैप नहीं कर सकते, तो आप उन्हें प्रायोरिटाइज़ नहीं कर सकते।
2. आप क्रिटिकल को नॉन-क्रिटिकल वेंडर्स से अलग करते हैं
हर सप्लायर उतनी ही स्क्रूटनी का हक़दार नहीं होता। एक कॉफ़ी डिलीवरी सर्विस आपका क्लाउड आइडेंटिटी प्रोवाइडर नहीं है।
ऐसे टियर बनाएँ:
| टियर | उदाहरण | जोखिम स्तर | रिव्यू डेप्थ |
|---|---|---|---|
| टियर 1 | क्लाउड, IdP, CI/CD, पेमेंट प्रोसेसर | उच्च | फुल रिव्यू + कॉन्ट्रैक्चुअल कंट्रोल्स |
| टियर 2 | मॉनिटरिंग, CRM, सपोर्ट टूल्स | मध्यम | सिक्योरिटी क्वेश्चनेयर + एनुअल रिव्यू |
| टियर 3 | लो-इम्पैक्ट टूलिंग | कम | लाइटवेट एप्रूवल |
इससे प्रोसेस ब्यूरोक्रेटिक नहीं, बल्कि प्रैक्टिकल बना रहता है।
3. आप प्रोक्योरमेंट से पहले सिक्योरिटी चेक करते हैं, बाद में नहीं
आम फ़ेलियर मोड है पहले साइन करना और बाद में रिव्यू करना।
इससे बुरे नतीजे निकलते हैं:
- कोई ब्रीच नोटिफ़िकेशन लैंग्वेज नहीं
- कोई डिफ़ाइंड रेमेडिएशन एक्सपेक्टेशंस नहीं
- ऑडिट का कोई अधिकार नहीं
- सबप्रोसेसर्स पर कोई स्पष्टता नहीं
- वेंडर को क्यों एप्रूव किया गया इसका कोई रिकॉर्ड नहीं
क्रिटिकल सप्लायर्स के लिए आपके मिनिमम प्री-एप्रूवल रिव्यू में यह शामिल होना चाहिए:
- सिक्योरिटी सर्टिफ़िकेशन्स या एटेस्टेशन्स
- इंसिडेंट नोटिफ़िकेशन टाइमिंग
- MFA और प्रिविलेज्ड एक्सेस कंट्रोल्स
- वल्नरेबिलिटी मैनेजमेंट प्रोसेस
- एन्क्रिप्शन स्टैंडर्ड्स
- डेटा रेसिडेंसी और सबप्रोसेसर हैंडलिंग
- बिज़नेस कंटिन्युटी और बैकअप एक्सपेक्टेशंस
4. आप लगातार मॉनिटर करते हैं
साल में एक बार वेंडर रिव्यू काफ़ी नहीं है जब डिपेंडेंसी रिस्क हर हफ़्ते बदलता है।
आपकी मॉनिटरिंग में शामिल होना चाहिए:
- डिपेंडेंसी वल्नरेबिलिटी स्कैनिंग
- आउटडेटेड लाइब्रेरीज़ की डिटेक्शन
- आपके स्टैक को प्रभावित करने वाले क्रिटिकल CVEs के लिए अलर्ट्स
- सप्लायर इंसिडेंट्स या पब्लिक एडवाइज़रीज़ को ट्रैक करना
- जब सप्लायर का स्कोप बदले तो रीवैलिडेशन
यह वो जगह है जहाँ ऑटोमेशन मायने रखता है। मैनुअल स्प्रेडशीट्स जल्दी ही स्टेल हो जाती हैं।
5. आप तेज़ी से एविडेंस दिखा सकते हैं
जब लीडरशिप, कस्टमर्स, या रेगुलेटर्स पूछें कि आप सप्लाई चेन रिस्क कैसे मैनेज करते हैं, तो आपका जवाब Slack में नहीं होना चाहिए।
आपके पास एक छोटा एविडेंस पैक तैयार होना चाहिए:
- सप्लायर इन्वेंटरी
- रिस्क टियरिंग क्राइटेरिया
- रिव्यू टेम्पलेट
- प्रत्येक क्रिटिकल सप्लायर के लिए अंतिम असेसमेंट डेट
- ओपन रेमेडिएशन आइटम्स
- वल्नरेबिलिटी स्कैन रिपोर्ट्स
- सप्लायर इवेंट्स के लिए इंसिडेंट रिस्पॉन्स लिंकेज
एक प्रैक्टिकल NIS2 सप्लाई चेन सिक्योरिटी चेकलिस्ट
इसे अपनी वर्किंग बेसलाइन के तौर पर इस्तेमाल करें।
गवर्नेंस
- [ ] सप्लायर साइबर रिस्क के लिए एक ओनर नामित करें
- [ ] वेंडर रिस्क टियर्स डिफ़ाइन करें
- [ ] क्रिटिकल सप्लायर्स के लिए एप्रूवल क्राइटेरिया बनाएँ
- [ ] रिस्क टियर के हिसाब से री-रिव्यू फ़्रीक्वेंसी डिफ़ाइन करें
- [ ] सप्लायर रिस्क को इंसिडेंट रिस्पॉन्स प्लान से लिंक करें
एसेट और सप्लायर इन्वेंटरी
- [ ] क्रिटिकल SaaS वेंडर्स और इंफ्रास्ट्रक्चर प्रोवाइडर्स की एक लाइव लिस्ट मेंटेन करें
- [ ] सॉफ़्टवेयर डिपेंडेंसीज़ और प्रमुख ओपन-सोर्स कंपोनेंट्स ट्रैक करें
- [ ] प्रिविलेज्ड इंटीग्रेशन्स या API कीज़ वाले सिस्टम्स रिकॉर्ड करें
- [ ] कस्टमर या रेगुलेटेड डेटा प्रोसेस करने वाले वेंडर्स को टैग करें
- [ ] वेंडर्स को बिज़नेस-क्रिटिकल सर्विसेज़ से मैप करें
प्रोक्योरमेंट और ड्यू डिलिजेंस
- [ ] टियर 1 और टियर 2 वेंडर्स के लिए एक स्टैंडर्ड सिक्योरिटी क्वेश्चनेयर का उपयोग करें
- [ ] जहाँ प्रासंगिक हो, ISO 27001, SOC 2, या समकक्ष प्रूफ़ माँगें
- [ ] ब्रीच नोटिफ़िकेशन क्लॉज़ेज़ रिव्यू करें
- [ ] डेटा प्रोसेसिंग और सबप्रोसेसर टर्म्स रिव्यू करें
- [ ] जाँचें कि क्या वेंडर SSO, MFA, और रोल-बेस्ड एक्सेस सपोर्ट करता है
टेक्निकल कंट्रोल्स
- [ ] एप्लिकेशंस और डिपेंडेंसीज़ पर कंटीन्युअस वल्नरेबिलिटी स्कैनिंग चलाएँ
- [ ] रिपॉज़िटरीज़ और पाइपलाइन्स में एक्सपोज़्ड सीक्रेट्स के लिए मॉनिटर करें
- [ ] CI/CD एक्शन्स, प्लगइन्स, और बिल्ड डिपेंडेंसीज़ को पिन और रिव्यू करें
- [ ] क्रिटिकल वल्नरेबिलिटीज़ के लिए पैचिंग SLAs मेंटेन करें
- [ ] मेजर सप्लायर या आर्किटेक्चर बदलाव के बाद इंटरनेट-एक्सपोज़्ड एसेट्स रिव्यू करें
मॉनिटरिंग और रेमेडिएशन
- [ ] क्रिटिकल सप्लायर इंसिडेंट्स को एक सेंट्रल लॉग में ट्रैक करें
- [ ] वेंडर-रिलेटेड फ़ाइंडिंग्स के लिए रेमेडिएशन टिकट्स खोलें
- [ ] सेवेरिटी और बिज़नेस इम्पैक्ट के हिसाब से डेडलाइन तय करें
- [ ] अनरिज़ॉल्व्ड क्रिटिकल सप्लायर रिस्क को मैनेजमेंट तक एस्केलेट करें
- [ ] इंसिडेंट्स, स्कोप बदलाव, या बड़े ब्रीच के बाद वेंडर्स को री-असेस करें
एविडेंस और रिपोर्टिंग
- [ ] क्रिटिकल सप्लायर्स के लिए डेटेड रिव्यू रिकॉर्ड्स रखें
- [ ] प्रभावित सप्लायर्स या डिपेंडेंसीज़ से जुड़ी एक वल्नरेबिलिटी रिपोर्ट मेंटेन करें
- [ ] एक्सेप्टेड रिस्क्स के लिए मैनेजमेंट एप्रूवल्स स्टोर करें
- [ ] ऑडिटर्स या कस्टमर्स के लिए एक एग्ज़िक्यूटिव समरी तैयार करें
- [ ] प्रोग्राम को हर तिमाही रिव्यू करें
SaaS एनवायरनमेंट्स में हमें दिखने वाले आम गैप्स
बिना ओनरशिप के ओपन-सोर्स रिस्क
टीमों को पता है कि वे सैकड़ों पैकेजेज़ इस्तेमाल करती हैं, लेकिन डिपेंडेंसी पॉलिसी का कोई ओनर नहीं होता। इससे धीमी पैचिंग, डुप्लिकेट टूलिंग, और कोई साफ़ एक्सेप्शन पाथ नहीं होता।
CI/CD ट्रस्ट स्प्रॉल
बिल्ड सिस्टम्स के पास अक्सर सबसे ज़्यादा प्रिविलेज होता है और सबसे कमज़ोर रिव्यू डिसिप्लिन। मार्केटप्लेस एक्शन्स, प्लगइन्स, और अनमैनेज्ड सीक्रेट्स पाइपलाइन को अटैकर्स के लिए एक शॉर्टकट बना देते हैं।
वेंडर रिव्यूज़ जो असली ब्लास्ट रेडियस को नज़रअंदाज़ करते हैं
कई क्वेश्चनेयर्स जेनेरिक सवाल पूछते हैं लेकिन ऑपरेशनल सवाल का जवाब कभी नहीं देते: अगर यह सप्लायर कॉम्प्रोमाइज़्ड हो जाए तो क्या टूटता है?
NIS2 प्रोग्राम्स तब मज़बूत होते हैं जब वे सिर्फ़ चेकबॉक्स मैच्योरिटी नहीं, बल्कि इम्पैक्ट मापते हैं।
GRC और टेक्निकल स्कैनिंग के बीच कोई लिंक नहीं
अकेले कॉन्ट्रैक्ट रिव्यू आपको यह नहीं बताएगा कि क्या कोई रिस्की पैकेज पहले से प्रोडक्शन में मौजूद है। आपको प्रोक्योरमेंट कंट्रोल्स चाहिए और कंटीन्युअस टेक्निकल वैलिडेशन।
ऑडिटर्स और एंटरप्राइज़ बायर्स आमतौर पर किस एविडेंस की माँग करते हैं
निम्नलिखित के किसी कॉम्बिनेशन की उम्मीद करें:
- क्रिटिकैलिटी रेटिंग्स के साथ वेंडर इन्वेंटरी
- थर्ड-पार्टी रिस्क पॉलिसी
- उदाहरण के तौर पर पूर्ण असेसमेंट्स
- वल्नरेबिलिटी मैनेजमेंट रिपोर्ट्स
- डिपेंडेंसी स्कैनिंग आउटपुट्स
- पैच और रेमेडिएशन टाइमलाइन्स
- सप्लायर-रिलेटेड इवेंट्स के लिए इंसिडेंट मैनेजमेंट प्रोसीजर्स
- बोर्ड या मैनेजमेंट ओवरसाइट एविडेंस
यही कारण है कि अच्छी रिपोर्टिंग मायने रखती है। जिस सिक्योरिटी वर्क को दिखाया नहीं जा सकता, उसे डिफ़ेंड करना महंगा हो जाता है।
KENSAI कैसे मदद करता है
KENSAI पॉलिसी लैंग्वेज और टेक्निकल प्रूफ़ के बीच की बदसूरत खाई को पाटता है।
KENSAI के साथ, सिक्योरिटी टीमें ये कर सकती हैं:
- इंटरनेट-फ़ेसिंग एप्लिकेशंस को लगातार स्कैन करें
- असली बिज़नेस रिस्क से जुड़ी एक्सप्लॉइटेबल वल्नरेबिलिटीज़ डिटेक्ट करें
- AI-असिस्टेड एनालिसिस के साथ रेमेडिएशन को तेज़ी से प्रायोरिटाइज़ करें
- इंटरनल स्टेकहोल्डर्स और एक्सटर्नल रिव्यूज़ के लिए एविडेंस-रेडी रिपोर्ट्स बनाएँ
- रिपीटेबल सिक्योरिटी रिपोर्टिंग के साथ NIS2 रेडीनेस वर्क को सपोर्ट करें
यह ख़ासतौर पर तब उपयोगी है जब आपको स्क्रैच से मैनुअल रिपोर्टिंग वर्कफ़्लो बनाए बिना तेज़ी से प्रोग्रेस दिखानी हो।
अक्सर पूछे जाने वाले सवाल
क्या NIS2 साफ़ तौर पर सप्लाई चेन सिक्योरिटी की माँग करता है?
हाँ। NIS2 उम्मीद करता है कि रिस्क-मैनेजमेंट मेज़र्स सप्लायर और सर्विस-प्रोवाइडर रिलेशनशिप्स को कवर करें, साथ ही सिक्योर डेवलपमेंट, एक्विज़िशन, और मेंटेनेंस प्रैक्टिसेज़ को भी।
क्या NIS2 कंप्लायंस के लिए एक वेंडर स्प्रेडशीट काफ़ी है?
नहीं। एक स्प्रेडशीट प्रोसेस को सपोर्ट कर सकती है, लेकिन अपने आप में यह कोई कंट्रोल नहीं है। आपको रिस्क क्राइटेरिया, रिव्यूज़, रेमेडिएशन, मॉनिटरिंग, और एविडेंस चाहिए।
SaaS टीमों को सबसे पहले किन सप्लायर्स को रिव्यू करना चाहिए?
उन वेंडर्स से शुरू करें जो प्रोडक्शन एवेलेबिलिटी, कस्टमर डेटा, आइडेंटिटी, कोड डिलीवरी, प्रिविलेज्ड एक्सेस, या रेगुलेटेड वर्कफ़्लोज़ को प्रभावित करते हैं।
क्या ओपन-सोर्स डिपेंडेंसीज़ सप्लाई चेन रिस्क में गिनी जाती हैं?
बिल्कुल। ज़्यादातर SaaS कंपनियों के लिए, ओपन-सोर्स कंपोनेंट्स सॉफ़्टवेयर सप्लाई चेन के सबसे बड़े और सबसे तेज़ी से बदलते हिस्सों में से एक हैं।
सप्लायर रिव्यूज़ कितनी बार होने चाहिए?
कम से कम, क्रिटिकल सप्लायर्स को सालाना रिव्यू करें और मेजर इंसिडेंट्स, स्कोप में बड़े बदलाव, या गंभीर वल्नरेबिलिटीज़ के बाद फिर से।
आख़िरी बात
NIS2 रेडीनेस का सबसे तेज़ रास्ता कोई विशाल कंप्लायंस प्रोजेक्ट नहीं है। यह एक छोटा, ज़्यादा शार्प ऑपरेटिंग मॉडल है:
- अपने क्रिटिकल सप्लायर्स को जानें
- जो वे प्रभावित कर सकते हैं उसे स्कैन करें
- सबसे रिस्की एक्सपोज़र को पहले फ़िक्स करें
- एविडेंस रखें
यही वो हिस्सा है जिसे ज़्यादातर टीमें छोड़ देती हैं। यह वही हिस्सा भी है जिसे रेगुलेटर्स याद रखते हैं।
👉 सप्लाई चेन रिस्क को किसी ऐसी चीज़ में बदलने के लिए एक फ़्री KENSAI स्कैन शुरू करें जिसे आप वाक़ई साबित कर सकें: https://gokensai.com/scan/free/