Gestión de riesgos de proveedores
Evalúe, supervise y gestione los riesgos de seguridad de los proveedores externos y los proveedores de servicios.
Gestión de riesgos de proveedores se define por los resultados de NIST CSF 2.0 GV.SC-04 (Suppliers are known and prioritized by criticality); GV.SC-06 (Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships); GV.SC-07 (The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship); ID.RA-10 (Critical suppliers are assessed prior to acquisition); DE.CM-06 (External service provider activities and services are monitored to find potentially adverse events). Correspondencia Con correspondencia a través de un crosswalk publicado en ISO 27001, CIS v8.1, PCI DSS, 800-53, HIPAA y NIS2. Editorial Con correspondencia editorial en SOC 2, GDPR, DORA y CPS 234. Solo relación tangencial en CMMC. Sin correspondencia en nuestros datos Sin correspondencia en nuestros datos para Essential Eight y Cyber Essentials.
| Marco | Requisito | Título | Vínculo | Fuente / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Suppliers are known and prioritized by criticality; Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships; The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship… | Definición del tema | GV.SC-04 GV.SC-06 GV.SC-07 ID.RA-10 DE.CM-06 |
| ISO 27001 | A.5.19A.5.20A.5.22 | Information security in supplier relationships; Addressing information security within supplier agreements; Monitoring, review and change management of supplier services | Correspondencia | A.5.19: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 A.5.20: via GV.SC-06; GV.SC-07; ID.RA-10; NIST 800-53 map: SA-4 A.5.22: via GV.SC-04; GV.SC-07; ID.RA-10; DE.CM-06; NIST 800-53 map: SA-9, SR-6 |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Establish and Maintain an Inventory of Service Providers; Assess Service Providers; Monitor Service Providers… | Correspondencia | CIS 15.1: via GV.SC-04 CIS 15.5: via GV.SC-06 CIS 15.6: via GV.SC-07; DE.CM-06 CIS 15.3: via GV.SC-04 CIS 15.4: Service provider contracts must include security requirements. CIS 15.7: Securely decommission service providers: deactivate accounts, end data flows and dispose of data. |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | Editorial | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | List of third-party service providers kept; Written agreements with service providers; Due diligence before engaging service providers… | Correspondencia | 12.8.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.2: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.3: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.4: via GV.SC-04; GV.SC-07; DE.CM-06 12.8.5: via GV.SC-04; GV.SC-06; GV.SC-07 |
| CMMC | RA.L2-3.11.1CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6SI.L2-3.14.7 | No asignado a este tema | Estos requisitos solo comparten los resultados de CSF de este tema (GV.SC-04, GV.SC-06, GV.SC-07, ID.RA-10, DE.CM-06) mediante crosswalks publicados: conviene revisarlos, pero no es una correspondencia. | |
| 800-53 | SA-4SA-9SR-6 | Acquisition Process; External System Services; Supplier Assessments and Reviews | Correspondencia | SA-4: via GV.SC-06; GV.SC-07; DE.CM-06 SA-9: via GV.SC-04; GV.SC-06; GV.SC-07; DE.CM-06 SR-6: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 |
| HIPAA | §164.308(b)(1)§164.314(a) | Business Associate Contracts and Other Arrangements; Business Associate Contracts or Other Arrangements | Correspondencia | §164.308(b)(1): via NIST HIPAA map: SA-9 §164.314(a): via NIST HIPAA map: SA-4, SA-9 |
| GDPR | Art.28(1)Art.28(3) | Processor; Processor | Editorial | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.15.26.1 | Supply chain security policy; Directory of suppliers and service providers; Security in acquisition of ICT services, ICT systems or ICT products | Correspondencia | 5.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10; ENISA ISO map: A.5.19, A.5.20 5.2: via GV.SC-04; ENISA ISO map: A.5.22 6.1: via GV.SC-06; ID.RA-10 |
| Essential Eight | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Essential Eight está asignado a este tema en nuestros datos. |
| DORA | Art.28(3)Art.28(4)Art.28(5)Art.30(2)Art.30(3)Art.28(8) | General principles; General principles; General principles… | Editorial | Art.28(3): A register of information on all contractual arrangements for ICT services. Art.28(4): Due diligence and risk assessment before contracting. Art.28(5): Contract only with providers that comply with appropriate information security standards. Art.30(2): Minimum contractual provisions for all ICT services. Art.30(3): Further provisions for critical or important functions, including audit rights, TLPT participation and exit. Art.28(8): Exit strategies and tested exit plans. |
| CPS 234 | Para 16Para 22Para 28Para 34 | Assess third parties' information security capability; Evaluate the design of third parties' controls; Check third parties' control testing is adequate… | Editorial | Para 16: Assess the security capability of third parties that manage information assets. Para 22: Evaluate the design of third parties' controls. Para 28: Check that third parties' control testing meets the entity's own standard. Para 34: Internal audit assesses third-party assurance it relies on. |
| Cyber Essentials | — | Sin requisito | Sin correspondencia en nuestros datos | Ningún requisito de Cyber Essentials está asignado a este tema en nuestros datos. |
Definición del tema Resultados de CSF 2.0 que definen este tema · Correspondencia al menos una selección respaldada por una tabla de correspondencias publicada · Editorial Criterio editorial de ControlMapping, con el motivo · no asignado; solo comparte los resultados CSF de este tema · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Metodología.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
¿Asignación incorrecta o que falta? Notificarlo
Acerca de Gestión de riesgos de proveedores
La gestión de riesgos de proveedores proporciona un enfoque estructurado para evaluar, incorporar y supervisar de forma continua las prácticas de seguridad de los proveedores externos, suministradores y proveedores de servicios que manejan datos de la organización o tienen acceso a sus sistemas. El programa debe incluir cuestionarios estandarizados de evaluación de seguridad, la revisión de los informes SOC 2 y de las certificaciones ISO 27001, requisitos contractuales de seguridad, incluidas cláusulas de derecho de auditoría, y una supervisión continua mediante servicios de calificación de seguridad o reevaluaciones periódicas. Dado que las organizaciones dependen cada vez más de servicios de terceros, la gestión de riesgos de proveedores se ha vuelto esencial para mantener la seguridad en toda la empresa extendida y cumplir los requisitos de cumplimiento normativo de marcos como SOC 2, PCI DSS e ISO 27001.