Три анкеты вместо одной: поставщик цеха, ИИ и обычный SaaS

Одна универсальная анкета киберриска поставщика в производстве либо раздувается до сотни вопросов, либо пропускает контроллер и модель. Рубен Чакон в The CISO Blog предлагает рабочую, не обязательную модель: ядро примерно на 50 вопросов для всех, отдельный блок OT, если поставщик касается площадки, АСУ ТП или подключённого оборудования, и блок ИИ, если продукт содержит модель, вызывает её или действует от имени компании. Пересказ — по этой колонке.

Зачем резать, а не удлинять

Расчёт зарплаты, пресс с контроллером и агент в поддержке дают разные поверхности. Общий опросник утомляет и закупку, и поставщика: на важные пункты отвечают «да» без смысла. Правило ярусов в тексте такое: только данные — только ядро; устройство на площадке — ядро плюс OT; продукт с ИИ — ядро плюс ИИ; ИИ внутри OT — все три. Правило нужно закрепить, иначе закупки снова свалят всё в одну форму.

OT-блок Чакон опирает на совместное руководство CISA, NSA и ФБР «Secure by Demand» (январь 2025), IEC 62443 и NIST SP 800-82 Rev. 3 — около 25 вопросов. Это не чек-лист «купите наш GRC». Для европейского контура он отдельно напоминает DORA и направление NIS2: материал инцидента у вендора уже обязан попадать в тот же срок, что свой.

Где это в модели зрелости

Выбор анкеты по типу поставщика — риск-ориентированный подход. Устройство в цехе — ещё и архитектура. Карта — /zrelost.

Как проверить

Возьмите десять последних договоров. Сколько из них прошли одну и ту же анкету. Если контроллер и облачная почта отвечали на одни вопросы — модель Чакона как раз про вас.

Зафиксируйте правило яруса одной страницей и дайте закупкам право не подписывать без нужного блока. Соседний разбор, почему OT нельзя закрыть копией ИТ, — Zero Trust для OT. Поставщик с ИИ-агентом — агенты вне SSO.

Источники

• The CISO Blog / Ruben D. Chacon. Rethinking the Cybersecurity Third-Party Risk Questionnaire in Manufacturing. URL: https://thecisoblog.com/article-rethinking-tprm-questionnaire.html.