Delte platforme hos MSP’en: én svaghed, mange kunder

Når en driftsleverandør bruger samme platform til mange kunder, bliver en svaghed i platformen en svaghed hos dem alle. Det er grunden til, at NIS2-kunder spørger til den fælles del, også selv om de kun køber en lille ydelse. Svaret hviler på to ting: kundens krav om at kende risikoen fra sine direkte leverandører og den dokumentation, der kan vise, at den fælles del er testet, og at kunderne er holdt adskilt.

Kunden kan ikke selv se ind i den fælles platform. Det kan kun I, og det er jeres dokumentation, der skal give kunden billedet. Teksten er ikke juridisk rådgivning.

Hvorfor kunderne spørger

NIS 2-lovens § 6, stk. 1, nr. 4, handler om forsyningskædesikkerhed og om sikkerhedsaspekterne i forholdet til direkte leverandører og tjenesteudbydere. NIS2-direktivets artikel 21, stk. 3, tilføjer, at enhederne ved vurderingen tager hensyn til de sårbarheder, der er specifikke for hver direkte leverandør. For en kunde hos en MSP er den fælles platform netop en sådan leverandørspecifik sårbarhed: noget, kunden er udsat for alene, fordi kunden har valgt jer. → Artikel 21, stk. 3

Blandt de udbydere, som gennemførelsesforordning (EU) 2024/2690 retter sig mod, er udbydere af administrerede tjenester. Forordningens bilag, punkt 6.8.1, siger, at de relevante enheder opdeler deres systemer og net, så de er adskilt fra tredjeparters systemer og net. Er I omfattet, er kravet jeres eget. Er kunden omfattet, er I den tredjepart, kunden skal være adskilt fra. → Forordningen og MSP’en

Hvad der er en delt platform

Den fælles del kan være mere end det, der står i kontrakten. Overvej, om følgende deles mellem kunderne:

Administration · værktøjer til fjernadministration, opdatering og overvågning. → Test af MSP’ens fjernadministration
Identitet · jeres egen katalogtjeneste, teknikernes konti og fælles adgangsløsninger.
Hosting · virtualiseringsplatform, lagring og netværk, hvor flere kunders servere kører.
Backup · den platform, der modtager og opbevarer kundernes kopier. → Backup som tjeneste
Dokumentation · systemet, hvor I gemmer kundernes netværkstegninger og adgangsoplysninger.

Den sidste er let at overse. Et dokumentationssystem med oplysninger om alle kunder er en del af den fælles platform, selv om det ikke kører kundernes drift. Det samme gælder systemet til sager og henvendelser, hvis kunderne kan logge ind i det og se deres egne sager. Kan en kunde se en andens sager, er det en svaghed i den fælles platform.

Det, kunden vil vide om den fælles del

Kundens spørgsmål kan samles i tre:

Er den testet? · hvornår, af hvem og med hvilket omfang.
Er kunderne adskilt? · kan en kunde, eller en indtrænger hos en kunde, nå en anden kundes miljø eller data gennem platformen?
Hvad sker der, når noget findes? · hvordan får kunderne besked om et fund, der rammer dem alle?

Det andet spørgsmål er det vigtigste. En platform kan være godt beskyttet udefra og alligevel lade en kunde nå en anden indefra.

Kunden kan også spørge, hvem hos jer der har adgang på tværs af kunder. Det er ikke et spørgsmål om teknik alene. En tekniker, der arbejder for alle kunder, er en del af den fælles platform, og kunden vil vide, at den adgang er begrænset til det nødvendige og kan spores. → Privilegerede konti hos MSP’en

Sådan testes adskillelsen

En test af adskillelsen skal tage udgangspunkt i en kundes position. Testeren får adgang som en kunde, eller som en tekniker med adgang til én kunde, og undersøger, om den adgang kan bruges til at nå platformen eller andre kunder. Det kræver ikke rigtige kunders medvirken. Opret to testkunder på platformen, og lad testen foregå mellem dem. Så kan adskillelsen vises uden at røre rigtige data. Sørg for, at testkunderne er sat op på samme måde som rigtige kunder, med de samme standardindstillinger og de samme typer adgange. Ellers siger resultatet kun noget om testkunderne.

Resultatet bør i rapporten stå som et svar på et spørgsmål: kunne testkunde A nå testkunde B, og i så fald hvordan i overordnede træk og med hvilken betydning. Det gør resultatet forståeligt for kunder, der ikke kender platformen. → Kundespecifik eller fælles platform

Dokumentationen til kunderne

Dokumentationen af den fælles del skal kunne gives til alle kunder uden at afsløre noget om de enkelte. Det betyder en udgave, der beskriver platformen, testens omfang og resultatet af adskillelsestesten uden kundenavne, kundespecifikke adresser eller oplysninger om andre kunders opsætning. → Samme rapport til flere kunder

Tilføj for hver kunde en kort oplysning om, hvilke dele af platformen kunden bruger. Så kan kunden se, at testen dækker netop de dele. Og skriv, hvornår næste test af den fælles del er planlagt, så kunden ved, hvor længe dokumentationen gælder som den seneste.

Viser testen en svaghed i den fælles del, angår den alle kunder, der bruger den del. Hver kunde skal have besked efter det, der er aftalt, og helst samtidig, så ingen kunde hører om det fra en anden. Beskeden bør sige, hvad fundet betyder for kunden, hvad I gør, og hvornår det er rettet. Er der tale om en hændelse og ikke kun et fund, gælder andre regler. → Hændelse hos MSP’en

Et tænkt eksempel

En driftsleverandør hoster servere for femten kunder på en fælles virtualiseringsplatform. Testen viser, at en server hos en testkunde kunne nå platformens administrationsnet, fordi en regel var for bred. Fra administrationsnettet var andre kunders servere synlige. Leverandøren lukker reglen, får rettelsen kontrolleret og sender alle femten kunder samme besked om fundet, rettelsen og datoen for kontrollen. En kunde, der er omfattet af NIS 2-loven, noterer fundet og rettelsen i sin opfølgning på leverandøren.

Det skal I lade være med

At teste den fælles platform kun udefra · adskillelsen mellem kunder testes indefra.
At bruge rigtige kunder i adskillelsestesten · opret testkunder.
At glemme dokumentationssystemet · det rummer oplysninger om alle kunder.
At give kunderne forskellige forklaringer på samme fund · beskeden skal være ens.
At beskrive andre kunder i rapporten · den fælles udgave skal være anonym.

Hvad kan og ikke kan konkluderes

En test af den fælles platform kan vise, om kunderne var adskilt, og om platformen modstod testen på testtidspunktet for de dele, der var med. Den kan ikke vise, at platformen er uden svagheder, eller at adskillelsen holder efter senere ændringer. Kunden vurderer ud fra aftalen, om dokumentationen er nok.