Ресурси
Този шаблон за оценка на риска от доставчици е безплатна работна книга в Excel за оценяване на всеки доставчик, който се докосва до вашите данни, преди да подпишете и всяка година след това. Ако сте ръководител по съответствие, CISO или мениджър по сигурност, от когото са поискали да докаже надлежна проверка на доставчиците, този шаблон за оценка на риска от доставчици ви дава структуриран въпросник и модел за точкуване, които можете да пуснете в работа още днес. Той покрива въпросите, които наистина имат значение: какви данни обработва доставчикът и къде, кои са неговите подизпълнители по обработването, какви сертификати притежава, как контролира достъпа и криптира данните, как обработва уязвимости и пробиви и какво се случва с вашите данни, когато отношенията приключат. Свалете го по-долу, адаптирайте нивата на критичност към вашия бизнес и започнете да оценявате доставчици още тази седмица.
Какво покрива шаблонът за оценка на риска от доставчици
Работната книга е въпросник за сигурност на трети страни, подреден така, че да го изпратите на доставчик и да оцените с точки това, което се връща. Всеки ред е въпрос, всеки отговор се точкува, а всеки доставчик се обобщава до ниво на критичност. Шаблонът за оценка на риска от доставчици покрива областите, които решават дали един доставчик е безопасен, за да му доверите данните си. Ако някога получите ясни отговори само на три от тях, нека това бъдат подизпълнителите по обработването, уведомяването при пробив и излизането: сертификатите ви казват, че доставчикът е бил в приемлива форма към датата на един доклад, подизпълнителите ви казват къде отиват данните ви днес, а условията за излизане са единственият лост, който държите в деня, в който решите да си тръгнете. Пълният набор:
- Обработвани данни и местоположение. Какви лични или чувствителни данни обработва доставчикът от ваше име и в кои държави или региони те се съхраняват и обработват.
- Подизпълнители по обработването. Четвъртите страни, на които доставчикът разчита, така че веригата ви на доставки да няма слепи петна едно ниво по-надолу.
- Сертификати. Дали доставчикът притежава ISO/IEC 27001, SOC 2 Type 2 или равностойна независима гаранция и кога тя е подновявана за последно.
- Контрол на достъпа и MFA. Как доставчикът ограничава достъпа до вашите данни и дали многофакторното удостоверяване е задължително за привилегированите акаунти.
- Криптиране. Дали данните са криптирани при пренос и в покой.
- Управление на уязвимости и кръпки. Колко бързо доставчикът открива, тества и прилага поправки на известни слабости.
- Уведомяване при пробив и инциденти. Ангажиментът на доставчика колко бързо ще ви уведоми за пробив, плюс всякакви скорошни инциденти със сигурността.
- Непрекъснатост на бизнеса и възстановяване при бедствие. Дали доставчикът може да продължи да работи и да се възстанови, когато нещо се обърка.
- Договори. Дали е налице споразумение за обработване на данни (DPA), както и Business Associate Agreement там, където са замесени защитени здравни данни.
- Излизане. Как вашите данни се връщат или унищожават, когато договорът приключи.
Рискът от трети страни честно: какво наистина има значение
Оценката на риска за сигурността при доставчик съществува, за да документира надлежната проверка над доставчиците, които се докосват до вашите данни. Това е цялата ѝ цел. Гледайте трезво какво доказва един въпросник, а именно собствения разказ на доставчика за самия него. Това все пак си струва да го имате, защото отговорите са датирани, могат да се припишат на конкретно лице и са сравними, и защото самият акт на питане променя как доставчикът се отнася към вас. За шепата доставчици, които наистина биха могли да ви навредят, подкрепете отговорите с нещо независимо. Ако доставчик бъде пробит и данните на вашите клиенти изтекат, трябва да покажете, че сте проверили, преди да подпишете и по график след това, че доставчикът може да ги защити. Подписаният формуляр за поръчка е търговски документ. Надлежната проверка се доказва с оценен с точки въпросник, поддържан актуален.
Рискът от трети страни е грижа на много регулации едновременно. Той минава през NIS2, ISO 27001, DORA и GDPR по един и същи начин. По GDPR ви трябва споразумение за обработване на данни с всеки обработващ и вие оставате отговорни за това, което правят вашите обработващи и техните подизпълнители. NIS2 издига сигурността на веригата на доставки до отговорност на ръководството за същностните и важните субекти. DORA прави финансовите субекти отговорни за ИКТ третите страни, от които зависят. ISO 27001 очаква отношенията с доставчици да бъдат управлявани и наблюдавани. Различни думи, едно и също задължение: познавайте доставчиците си и го докажете.
Две подробности отличават истинската оценка от отметката. Първо, точкуването. Отговор, който не сте оценили с точки, е отговор, който не можете нито да сравните, нито да проследите, затова точкувайте всеки отговор, така че слабият контрол да изпъква и да можете да наблюдавате как се подобрява или отслабва. Второ, степенуването по критичност. Доставчик, който съхранява цялата ви клиентска база, носи различен риск от доставчик, който печата служебните ви ланярди. Степенувайте доставчиците по това колко щета биха могли да нанесат, съсредоточете усилието си върху критичните и преоценявайте критичните доставчици поне веднъж годишно, за да не заеме оценка отпреди три години мястото на истината днес.
Трета подробност хапе по-късно, в договора. На въпросите по сигурността се отговаря достатъчно любезно. После искате права на одит, срок за уведомяване при пробив в писмен вид или право да възразите срещу нов подизпълнител по обработването и разговорът рязко се забавя. Поискайте тези клаузи, докато още имате лост, което значи преди подпис, и решете предварително заради кои от тях бихте се отказали от сделката. Подизпълнителите по обработването са мястото, където това става най-трудно: лостът ви свършва едно ниво по-надолу, а договорът на доставчика със собствените му доставчици рядко е ваш, за да го оформяте.
Как да използвате шаблона за оценка на риска от доставчици
- Инвентаризирайте доставчиците си. Изредете всеки доставчик, който обработва, съхранява или има достъп до вашите данни. Можете да оцените само това, което сте записали.
- Степенувайте по критичност. Подредете всеки доставчик по данните, до които се докосва, и по щетата, която един провал би причинил. Критичен, важен и нисък е достатъчно за начало. Направете това, преди да изпратите каквото и да е. Степенуването на целия списък с доставчици отнема един следобед и е работата с най-висока възвръщаемост в целия процес, защото ви казва кои няколко доставчика заслужават истински разговор и за кои е достатъчен запис, че сте погледнали.
- Изпратете въпросника. Споделете съответния таб с контакта по сигурност на доставчика или го попълнете сами от неговата страница за доверие и съществуващите доклади. Очаквайте разделен отговор. Големите доставчици ще ви изпратят линк към портал за доверие и ще откажат вашата форма направо, и при повечето от тях е добре да приемете това и да направите съпоставянето сами. По-малките доставчици ще отговорят бавно и отговорите им ще изискват допълнителен въпрос. Гоненето на това е основната част от работата и се измерва в седмици, затова започнете предварително, преди крайния срок на процедурата по доставка.
- Точкувайте отговорите. Използвайте колоната за точкуване, за да оцените всеки отговор, и маркирайте за проследяване всеки пропуск в криптирането, MFA, разкриването на подизпълнители или ангажимента при пробив.
- Решете и запишете. Одобрете, одобрете с условия или откажете и запазете попълнения лист като свое доказателство за надлежна проверка.
- Преоценявайте по график. Заложете в календара критичните доставчици за преглед поне веднъж годишно и повтаряйте по-рано, ако доставчикът има инцидент или смени подизпълнителите си по обработването.
Направете това автоматично във Venvera
Шаблонът е стабилна отправна точка и за шепа доставчици електронната таблица наистина върши работа. Тя спира да мащабира в мига, в който имате десетки доставчици, дати на подновяване и доказателства, които остаряват между прегледите. Venvera поддържа същата работа актуална: доставчиците, въпросниците, точките и датите за преоценка живеят на едно място, а доказателствата, които събирате веднъж, се използват повторно през задълженията ви по NIS2, ISO 27001, DORA и GDPR, вместо да се събират наново за всеки одит. Ако сравнявате инструменти, нашето сравнение за TPRM и риск от доставчици излага какво да търсите. Venvera започва от 399 EUR на месец.
Често задавани въпроси
Какво е шаблон за оценка на риска от доставчици?
Това е структуриран въпросник, обикновено електронна таблица, който използвате, за да оцените практиките по сигурност и работа с данни на един доставчик, преди да го ангажирате и редовно след това. Добрият шаблон за оценка на риска от доставчици покрива данни, подизпълнители по обработването, сертификати, достъп, криптиране, инциденти, непрекъснатост, договори и излизане, и точкува всеки отговор, за да можете да сравнявате доставчици и да проследявате риска във времето.
Какво трябва да включва една оценка на риска от доставчик?
Като минимум: какви данни обработва доставчикът и къде, неговите подизпълнители по обработването, неговите сертификати като ISO/IEC 27001 и SOC 2 Type 2, контрол на достъпа и MFA, криптиране при пренос и в покой, управление на уязвимости и кръпки, ангажимента му за уведомяване при пробив и скорошните инциденти, непрекъснатост на бизнеса и възстановяване при бедствие, дали са налице споразумение за обработване на данни и, където става дума за здравни данни, Business Associate Agreement, както и как данните се връщат или унищожават при излизане.
Колко често трябва да преоценявате доставчиците?
Преоценявайте критичните доставчици поне веднъж годишно. Първо степенувайте доставчиците си по критичност, след което насочете честите и по-задълбочени прегледи към доставчиците, които държат най-чувствителните данни или биха причинили най-голяма щета при провал. Пускайте извънреден преглед винаги когато доставчик има инцидент със сигурността или смени подизпълнителите си по обработването.
Наистина ли шаблонът е безплатен?
Да. Свалете Excel файла по-горе без заплащане и го адаптирайте към собствените си нива на критичност и точкуване. Ако по-късно искате същият процес да остава актуален през много доставчици и рамки без ръчна поддръжка, точно това автоматизира Venvera.
