Tedarikçi olay bildirim yükümlülükleri, bir hizmet sağlayıcının kendi sistemlerinde yaşadığı güvenlik olayını, bu olaydan etkilenebilecek müşterilerine tanımlı bir süre ve içerik içinde haber verme sorumluluğudur. Bu yükümlülük genellikle sözleşmenin güvenlik ekinde veya ayrı bir veri işleme anlaşmasında yazılıdır ve bir kazanın müşteriye ne zaman, hangi kanaldan ve hangi bilgilerle iletileceğini bağlayıcı biçimde belirler.

Bir tedarikçinin ihlali, sözleşmedeki bildirim maddesi kadar hızlı görünür olur; o madde yoksa müşteri olayı çoğu zaman haberlerden öğrenir.

Neden Sözleşmeye Yazılır?

Bir kurum verisini işleyen tedarikçi zincirini büyüttükçe, saldırı yüzeyi de kendi ağının ötesine taşar. Üçüncü taraf risk yönetimi programlarının temel varsayımı, tedarikçideki bir güvenlik olayının müşteri için de bir olay olduğudur. Bildirim yükümlülüğü sözleşmeye yazılmadığında, tedarikçinin olayı gizlemesi, geç açıklaması veya eksik anlatması için hukuki bir engel kalmaz. Açık bir madde, bu davranışı ihlal haline getirir ve müşteriye zamanında müdahale imkânı tanır.

Tipik Bildirim Şartları

İyi yazılmış bir bildirim maddesi genellikle net bir zaman penceresi, minimum içerik listesi ve bir iletişim kanalı tanımlar. Zaman penceresi olayın tespit edildiği andan itibaren işler; kritik verilerde bu süre 24 ila 72 saat aralığında sıkışır. İçerik ise olayın niteliğini, etkilenen veri kategorilerini ve alınan ilk önlemleri kapsamalıdır.

• Olayın farkına varıldıktan sonra bildirim için azami süre (örneğin 48 saat)
• Etkilenen veri türleri ve müşteri kayıtlarının kapsamı
• Olayın kök nedeni ve devam edip etmediği bilgisi
• Tedarikçinin aldığı sınırlama ve düzeltme adımları
• Müşteri tarafındaki teknik ve hukuki irtibat noktası

Tedarik Zinciri Bağlamı

Bu yükümlülükler özellikle bir Tedarik zinciri saldırısı senaryosunda kritikleşir; saldırgan bir yazılım bileşenini veya bir sağlayıcıyı ele geçirdiğinde, aynı zafiyet zincirdeki tüm müşterilere yayılır. Böyle bir durumda erken bildirim, downstream kurumların kendi ortamlarında tehdit avına başlaması için gereken zamanı doğrudan belirler. Geç bir bildirim, saldırganın müşteri ağında kalış süresini uzatır.

Bildirimi alan tarafın da hazır olması gerekir. Tedarikçiden gelen bir uyarı, alıcı kurumun kendi Olay müdahale sürecini tetikleyecek şekilde bir irtibat noktasına ve eskalasyon yoluna bağlanmalıdır; aksi halde en hızlı bildirim bile bir gelen kutusunda bekler. Yükümlülüklerin doğru işlemesi için tedarikçinin bildirim taahhüdüyle müşterinin müdahale kapasitesi birlikte kurgulanmalıdır.

Bir tedarikçi olayının müşteri tarafında hızla incelenmesi ve zincirdeki etkinin ölçülmesi, çoğu kurumun kendi başına yürütmekte zorlandığı bir iştir. Bu noktada dış destekli bir olay inceleme ve olay müdahalesi kapasitesi, tedarikçiden gelen bildirimin bir panik anına değil, kontrollü bir müdahale sürecine dönüşmesini sağlar.