Najlepsze praktyki w zakresie oceny ryzyka przez strony trzecie w 2023 r.

Ocena ryzyka cyberbezpieczeństwa stwarzanego przez zewnętrznych dostawców i usługodawców jest czasochłonna, złożona operacyjnie i często pełna błędów.

Musisz śledzić wysyłane zapytania, ścigać dostawców, którzy nie odpowiedzieli, i upewnić się, że kiedy to zrobią, odpowiedzą w odpowiednim czasie i dokładnie. Wraz z kwestionariuszami oceny ryzyka dostawców organizacje potrzebują ustandaryzowanego procesu gromadzenia informacji, który dokładnie ocenia stan zabezpieczeń zewnętrznych dostawców w odniesieniu do standardów branżowych, zasad bezpieczeństwa i ustalonych praktyk bezpieczeństwa.

Każdy solidny program zarządzania ryzykiem innej firmy musi mieć ustalone procesy i wytyczne, które obejmują proces wdrażania dostawców, gromadzenia danych, przeglądania odpowiedzi i żądania środków zaradczych.

Dobrą wiadomością jest to, że istnieje oprogramowanie, które może usprawnić ten proces. UpGuard Vendor Risk może pomóc w monitorowaniu stanu zabezpieczeń zewnętrznych dostawców w czasie rzeczywistym, automatyzacji ocen bezpieczeństwa oraz ustalaniu priorytetów i korygowaniu zagrożeń.

Bez jasnego procesu oceny dyrektorzy ds. bezpieczeństwa informacji i zespoły zarządzania ryzykiem dostawców są obciążeni ciągłymi wiadomościami e-mail i wieloma arkuszami kalkulacyjnymi, które są używane do gromadzenia, analizowania i rozwiązywania problemów w całym łańcuchu dostaw.

A jak wiadomo, gdy zespoły są przeciążone złożonością operacyjną, należyta staranność schodzi na dalszy plan, dostawcy wysokiego ryzyka są ignorowani, a skuteczność programu bezpieczeństwa jest zmniejszona.

Aby pomóc Ci w opracowaniu procesów oceny ryzyka dla dostawców, przygotowaliśmy listę pięciu najlepszych praktyk w zakresie przeprowadzania kwestionariuszy oceny ryzyka przez strony trzecie i zarządzania dostawcami.

Dowiedz się, jak UpGuard upraszcza zarządzanie ryzykiem dostawców >

Zapoznaj się z portfolio dostawców zewnętrznych

Zanim zaczniesz wysyłać oceny dostawców, musisz mieć dokładny spis wszystkich relacji z innymi firmami. Bez niego prawie niemożliwe jest dokładne zmierzenie poziomu ryzyka cybernetycznego wprowadzanego przez dostawców.

Ważne jest, aby zrozumieć, że incydenty bezpieczeństwa z udziałem dostawców mogą prowadzić do poważnych naruszeń danych, nawet jeśli nie mają oni do czynienia z danymi poufnymi. Jak widzieliśmy w przypadku firmy Target, nawet dostawca nietechniczny, taki jak dostawca HVAC, może doprowadzić do ujawnienia ponad 110 milionów danych kart kredytowych i danych osobowych konsumentów.

Pamiętaj, że dostawcy niekoniecznie muszą stosować te same środki bezpieczeństwa informacji, co Ty. Musisz tylko mieć pewność, że mają odpowiednie środki bezpieczeństwa i kontroli ochrony danych.

Pobierz szablon oceny ryzyka dostawcy >

Dobrym punktem wyjścia jest zainwestowanie w zautomatyzowane narzędzie do monitorowania bezpieczeństwa, takie jak UpGuard Vendor Risk, które może śledzić i stale monitorować krytyczne mechanizmy kontroli bezpieczeństwa dostawców zewnętrznych i czwartych. Narzędzia te mogą nie tylko pomóc w komunikacji z dostawcami, ale mogą również pomóc w skalowaniu programu zarządzania ryzykiem dostawców, pomagając określić, którzy dostawcy stanowią największe ryzyko, za pomocą zautomatyzowanych, zawsze aktualnych ocen bezpieczeństwa.

Dowiedz się, jak zmniejszyć wpływ naruszeń bezpieczeństwa przez osoby trzecie.

Znajdź szablon kwestionariusza dla dostawcy, który będzie dla Ciebie odpowiedni

Po sporządzeniu spisu dostawców musisz zdecydować, jakiego rodzaju kwestionariusza zarządzania ryzykiem dostawcy będziesz używać. Może to być jeden z najlepszych kwestionariuszy oceny dostawców lub niestandardowy.

Ustandaryzowane kwestionariusze są świetne, jeśli musisz zachować zgodność z przepisami, takimi jak RODO, LGPD, CCPA itp., lub określonymi trendami branżowymi, takimi jak ISO 27001 i NIST SP 800-171. Jednak niektóre organizacje potrzebują głębszego wglądu w TPRM i opracowują niestandardowe kwestionariusze.

Problem z niestandardowymi kwestionariuszami polega na tym, że ich wypełnienie może być trudne, ponieważ dostawcy często chcą wykorzystać wcześniejsze kwestionariusze, aby odpowiedzieć na kwestionariusze.

Niezależnie od tego, z jakiego kwestionariusza korzystasz, powinieneś mieć świadomość, że sprzedawcy muszą często wypełniać kwestionariusze. Pomyśl o zainwestowaniu w narzędzie, które ułatwi dostawcom zarządzanie swoimi odpowiedziami.

Jeśli nie wiesz, od czego zacząć, popularne szablony oceny ryzyka dla dostawców obejmują:

CIS Critical Security Controls (CIS First 5/CIS Top 20): CIS Controls for Effective Cyber Defense to priorytetowy zestaw działań, które tworzą dogłębny zestaw konkretnych i możliwych do zastosowania najlepszych praktyk w celu złagodzenia najczęstszych cyberataków. Mechanizmy kontroli CIS są zgodne z wieloma głównymi ramami zgodności, takimi jak NIST Cybersecurity Framework, NIST 800-53, seria ISO 27000 oraz przepisami, takimi jak PCI-DSS, HIPAA, NERC i FISMA.
Kwestionariusz Consensus Assessments Initiative (CAIQ): Kwestionariusz Consensus Assessments Initiative (CAIQ) to ocena bezpieczeństwa przeprowadzana przez Cloud Security Alliance (CSA), wiodącą organizację zajmującą się definiowaniem i podnoszeniem świadomości na temat najlepszych praktyk w zakresie bezpiecznego przetwarzania w chmurze. CAIQ pomaga użytkownikom chmury i audytorom ocenić możliwości w zakresie bezpieczeństwa informacji w centrach danych i dostawcach chmury.
Narzędzie do oceny dostawców dla społeczności szkolnictwa wyższego (HECVAT/HECVAT Lite): Narzędzie do oceny dostawców dla społeczności szkolnictwa wyższego (HECVAT) to szablon oceny zabezpieczeń, który uogólnia kwestie bezpieczeństwa informacji i ochrony danych w szkolnictwie wyższym, a także kwestie dotyczące usług w chmurze w celu zapewnienia spójności i łatwości użytkowania.
Dowiedz się, jak zachować zgodność z HECVAT >
Kwestionariusz ISO 27001: ISO/IEC 27001 jest jednym z najbardziej znanych i najczęściej stosowanych standardów bezpieczeństwa informacji i jest częścią rodziny norm ISO/IEC 27000. Jest publikowany przez Międzynarodową Organizację Normalizacyjną (ISO) i Międzynarodową Komisję Elektrotechniczną (IEC).
NIST SP 800-171: Specjalna publikacja NIST 800-171, Ochrona kontrolowanych informacji jawnych w niefederalnych systemach i organizacjach (NIST SP 800-171) zawiera agencjom federalnym zestaw wytycznych mających na celu zapewnienie, że kontrolowane informacje jawne (CUI) pozostaną poufne, dostępne i niezmienione w systemach i organizacjach niefederalnych. Zgodność z NIST SP 800-171 zapewnia również spełnienie większości kryteriów NIST SP 800-53, a zgodność z NIST SP 800-53 jest główną częścią zgodności z FISMA i FedRAMP.
Ustandaryzowany kwestionariusz gromadzenia informacji (SIG/SIG-Lite): Kwestionariusz ustandaryzowanego gromadzenia informacji (SIG) służy do przeprowadzenia wstępnej oceny dostawców, gromadząc informacje w celu określenia, w jaki sposób zarządzane są zagrożenia bezpieczeństwa w 18 różnych domenach ryzyka. SIG został opracowany przez Shared Assessments i jest holistycznym narzędziem do oceny zarządzania ryzykiem w zakresie cyberbezpieczeństwa, IT, prywatności, bezpieczeństwa danych i ciągłości działania.
Kwestionariusz VSA (VSA): Kwestionariusz Vendor Security Alliance (VSA) został stworzony przez koalicję firm zaangażowanych w poprawę bezpieczeństwa w Internecie. W przeciwieństwie do innych kwestionariuszy, proces oceny VSA został stworzony z myślą o dostawcy. Koncentruje się na wyeliminowaniu nieistotnych pytań, skracając czas potrzebny zespołom ds. bezpieczeństwa i bezpieczeństwa na wypełnienie kwestionariusza.
Kwestionariusz standardów bezpieczeństwa danych branży kart płatniczych (PCI DSS): Standardy bezpieczeństwa danych branży kart płatniczych (PCI-DSS) to standard bezpieczeństwa informacji i bezpieczeństwa danych dla organizacji, które obsługują markowe karty kredytowe z głównych schematów kartowych.

Przeczytaj nasz pełny przewodnik na temat najlepszych kwestionariuszy oceny dostawców >

Obejrzyj ten film, aby dowiedzieć się, jak UpGuard usprawnia przepływy pracy związane z oceną ryzyka.

Zapoznaj się z funkcjami oceny ryzyka UpGuard >

Śledź, co wysyłasz

W przeszłości kwestionariusze łatwo było zgubić się w przepychankach między skrzynkami odbiorczymi lub po prostu zgubić wypełnione pliki Excela. Dlatego ważne jest, aby opracować scentralizowany system, w którym można stale monitorować i przeglądać postępy dostawców w zakresie kwestionariuszy.

Dobre oprogramowanie do zarządzania ryzykiem dostawców zapewni dostawcom prosty sposób na skontaktowanie się z Twoim zespołem w sprawie wszelkich wątpliwości, a także na dostarczenie dodatkowych dowodów lub dowodów na ich kontrolę bezpieczeństwa.

Ponadto zalecamy wyznaczenie jasnego terminu i zautomatyzowane działania następcze, aby Ty i sprzedawca dokładnie wiedzieliście, czego się spodziewać i kiedy.

Dowiedz się, jak informować interesariuszy o ryzyku związanym ze stronami trzecimi >

Wykorzystaj technologię do usprawnienia procesów

Kwestionariusze oceny ryzyka nie są niczym nowym. Prawdopodobnie wysyłałeś kwestionariusze e-mailem i zarządzałeś wieloma arkuszami kalkulacyjnymi Excel, aby sprawdzić odpowiedzi. Jednak technologia taka jak UpGuard Vendor Risk może pomóc w skalowaniu procesów, umożliwiając komputerom śledzenie rzeczy za Ciebie.

Dobre narzędzie zapewni Tobie i Twoim dostawcom zewnętrznym:

Sposób na udzielanie odpowiedzi, dowodów i zadawanie wszelkich pytań, które mogą się mieć w scentralizowanym środowisku
Sposób na delegowanie odpowiedzi do nowych osób w organizacji, dzięki czemu właściwa osoba może odpowiedzieć na każde pytanie.
Środki bieżącego monitorowania (lub ciągłego monitorowania) wszystkich poziomów ryzyka, podczas procesów należytej staranności i poza nimi.
Sposób na korygowanie i omawianie problemów, przeglądanie dowodów i proszenie o dodatkowe informacje lub dowody na konkretne pytania, np. jakie zasady kontroli dostępu są stosowane?

Twoja strategia zarządzania ryzykiem przez firmę zewnętrzną musi być w stanie zidentyfikować potencjalne ryzyko związane z nowymi dostawcami przed wdrożeniem. Monitorowanie ryzyka związanego z należytą starannością powinno być podstawowym miernikiem w procesach zarządzania ryzykiem dostawców.

Im lepsza użyteczność narzędzia, tym więcej czasu możesz poświęcić na korygowanie zagrożeń u dostawców, zamiast skupiać się na szczegółach gromadzenia danych.

Aby osiągnąć poziom zarządzania przez strony trzecie, który zdobywa nowe partnerstwa, szukaj możliwości automatyzacji w obszarach zarządzania ryzykiem znanych z ich nieefektywności i potencjalnie negatywnego wpływu na umowy o poziomie usług (SLA). Czynniki zakłócające, takie jak używanie arkuszy kalkulacyjnych Excel do zarządzania kwestionariuszami, ryzykiem operacyjnym i ogólnie słabym zarządzaniem cyklem życia dostawcy, nadwyrężają relacje z dostawcami i wymagają negatywnej uwagi ze strony kierownictwa wyższego szczebla.

Dowiedz się, jak zarządzać ryzykiem związanym z usługodawcą >

UpGuard zawiera wiele funkcji zaprojektowanych w celu skrócenia cyklu życia oceny ryzyka, w tym AIEnhace - technologię sztucznej inteligencji, która pomaga dostawcom w tworzeniu jasnych i wyczerpujących odpowiedzi na podstawie danych wejściowych składających się z grubsza napisanego szkicu lub wypunktowań.

AIEnhance firmy UpGuard

Obejrzyj poniższy film, aby dowiedzieć się, jak UpGuard rozwiązuje typowe frustracje związane z relacjami z dostawcami.

Ufaj, ale weryfikuj

To, że otrzymałeś wypełniony kwestionariusz bezpieczeństwa, nie oznacza, że Twoja praca została wykonana. Następnym krokiem jest weryfikacja profili ryzyka w celu sprawdzenia, czy to, co mówią, jest prawdą. Chociaż nie będzie to możliwe w przypadku wewnętrznych mechanizmów kontroli zabezpieczeń, istnieje wiele widocznych z zewnątrz punktów danych, które należy zweryfikować.

Automatyczne skanowanie i oceny bezpieczeństwa UpGuard sprawdzają:

Podatność na ataki typu man-in-the-middle
Niezabezpieczone certyfikaty SSL/TLS
Ustawienia SPF, DKIM i DMARC
Ścisłe zabezpieczenia transportu HTTP (HSTS)
Ryzyko podszywania się pod pocztę e-mail i wyłudzania informacji
Luki
Podatność na złośliwe oprogramowanie
Bezpieczeństwo sieci
Niepotrzebne otwarte porty administracyjne, bazy danych, aplikacji, poczty e-mail i udostępniania plików
Narażenie na znane naruszenia danych i wycieki danych
Oprogramowanie zawierające luki w zabezpieczeniach
Dostępność HTTP
Bezpieczna konfiguracja plików cookie

W celu oceny środków kontroli bezpieczeństwa informacji dostawców, UpGuard Vendor Risk może zminimalizować ilość czasu, jaki organizacja poświęca na ocenę powiązanych i zewnętrznych środków kontroli bezpieczeństwa informacji, automatyzując kwestionariusze dostawców i udostępniając szablony kwestionariuszy dostawców.

Możemy również pomóc Ci w natychmiastowym porównaniu obecnych i potencjalnych dostawców z ich branżą, dzięki czemu możesz zobaczyć, jak się prezentują.

W celu samooceny UpGuard BreachSight może monitorować Twoją organizację pod kątem 70+ kontroli bezpieczeństwa, zapewniając prostą, łatwą do zrozumienia ocenę bezpieczeństwa cybernetycznego i automatycznie wykrywając wyciekłe dane uwierzytelniające i ujawnienia danych w zasobnikach S3, serwerach Rsync, repozytoriach GitHub i nie tylko.

Nasza wiedza została opisana w takich czasopismach jak The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters i TechCrunch.