विक्रेता ड्यू डिलिजेंस: कई फ़्रेमवर्क के लिए एक ही प्रक्रिया

हर प्रमुख फ़्रेमवर्क आपसे आपूर्तिकर्ता जोखिम प्रबंधित करने को कहता है, जैसा कि हमारी विक्रेता और आपूर्ति-श्रृंखला आवश्यकताओं की तुलना दिखाती है। इन आवश्यकताओं में इतनी समानता है कि एक बार डिज़ाइन की गई एक प्रक्रिया इन सभी को पूरा कर सकती है। यहाँ एक ऐसा ढाँचा है जो यही करता है।

चरण 1: एक ही सूची

अपनी प्रणालियों, डेटा या सुविधाओं तक पहुँच रखने वाले हर आपूर्तिकर्ता की सूची बनाएँ, और हर एक के लिए लिखें: वह क्या करता है, कौन-सा डेटा छूता है, और कौन-से फ़्रेमवर्क इससे लागू होते हैं (PCI DSS के लिए कार्डधारक डेटा, HIPAA के लिए ePHI, GDPR के लिए व्यक्तिगत डेटा, NIS2-विनियमित सेवा का समर्थन करने वाली सेवाएँ)। PCI DSS (12.8.1), ISO 27001 (A.5.19) और CIS Controls (15.1) सभी यहीं से शुरू होते हैं।

चरण 2: स्तर तय करें

• स्तर 1: संवेदनशील डेटा या प्रोडक्शन सिस्टम तक पहुँच, या आपकी सेवा के लिए महत्वपूर्ण।
• स्तर 2: सीमित पहुँच या मध्यम महत्व।
• स्तर 3: संवेदनशील डेटा तक कोई पहुँच नहीं; विफल होने पर कम प्रभाव।

स्तरीकरण ही प्रक्रिया को अनुपातिक बनाए रखता है। CIS इसे सेवा प्रदाताओं का वर्गीकरण (15.3) कहता है।

चरण 3: स्तर के अनुसार आकलन

• स्तर 1: आपके द्वारा उपयोग की जा रही सेवा को कवर करने वाली स्वतंत्र आश्वासन रिपोर्ट (प्रासंगिक दायरे वाला SOC 2 Type II या ISO 27001 प्रमाणपत्र), साथ ही उन बातों के लिए एक छोटी प्रश्नावली जो रिपोर्ट कवर नहीं करती। रिपोर्ट पढ़ें: दायरा, अवधि, अपवाद, कैरव-आउट और वे नियंत्रण जिन्हें आपसे चलाने की अपेक्षा है।
• स्तर 2: एक मानक प्रश्नावली, या उनके पास रिपोर्ट हो तो वह।
• स्तर 3: ऑनबोर्डिंग के समय एक बुनियादी जाँच।

चरण 4: एक बार अनुबंध करें, सब कुछ कवर करते हुए

सुरक्षा शर्तें इस तरह लिखें कि एक साथ हर फ़्रेमवर्क को कवर करें:

• सेवा के अनुपात में सुरक्षा दायित्व।
• आपको उल्लंघन की सूचना, इतनी छोटी समय-सीमा के साथ कि वह आपकी अपनी बाध्यताओं के अनुरूप रहे (NIS2 के 24 घंटे, GDPR के 72)।
• जहाँ वे आपकी ओर से व्यक्तिगत डेटा संसाधित करते हैं वहाँ GDPR अनुच्छेद 28 की शर्तें; जहाँ HIPAA लागू होता है वहाँ व्यावसायिक सहयोगी समझौता (business associate agreement)।
• ऑडिट या मूल्यांकन के अधिकार, और अनुबंध समाप्ति पर डेटा की वापसी या मिटाना।
• PCI DSS के लिए, कार्डधारक डेटा के प्रति उनकी ज़िम्मेदारियों की स्वीकृति (12.8.2) और ज़िम्मेदारियों के विभाजन का दस्तावेज़ीकृत बँटवारा (12.8.5)।

चरण 5: निगरानी और ऑफ़बोर्डिंग

स्तर 1 के आपूर्तिकर्ताओं का सालाना पुनर्मूल्यांकन करें (PCI DSS को सेवा प्रदाताओं के अनुपालन की वार्षिक निगरानी चाहिए, 12.8.4), स्तर 2 का हर एक या दो साल में, और घटनाओं व बदलावों पर प्रतिक्रिया दें। समाप्ति पर पहुँच हटाएँ, डेटा वापस लें या मिटाएँ, और उसे दर्ज करें (CIS 15.7)।

एक कारगर छोटी प्रश्नावली

जिन आपूर्तिकर्ताओं के पास स्वतंत्र आश्वासन रिपोर्ट नहीं है, उनके लिए छोटी प्रश्नावली लंबी से बेहतर है, क्योंकि लोग छोटे प्रश्नों के उत्तर सही ढंग से देते हैं। दस प्रश्न लगभग वह सब कवर करते हैं जो हर फ़्रेमवर्क पूछता है:

1. इस सेवा के तहत आप हमारा कौन-सा डेटा एक्सेस, संग्रहीत या संसाधित करेंगे, और कहाँ?
2. क्या आपके पास इस सेवा को कवर करने वाली वर्तमान SOC 2 रिपोर्ट या ISO 27001 प्रमाणपत्र है?
3. क्या हमारा डेटा रखने वाले सिस्टम की सभी पहुँचों के लिए MFA लागू है?
4. महत्वपूर्ण कमज़ोरियों को कितनी जल्दी पैच किया जाता है?
5. क्या हमारा डेटा विश्राम अवस्था और पारगमन में एन्क्रिप्टेड है?
6. क्या बैकअप लिए जाते हैं, सुरक्षित रखे जाते हैं और परखे जाते हैं?
7. हमारे डेटा को प्रभावित करने वाली घटना की सूचना आप हमें कैसे और कितनी जल्दी देंगे?
8. कौन-से उप-ठेकेदार हमारा डेटा संभालते हैं?
9. अनुबंध समाप्त होने पर हमारा डेटा कैसे लौटाया या मिटाया जाता है?
10. आपका सुरक्षा संपर्क कौन है?

हर उत्तर को एक बार अपनी आवश्यकताओं से मैप करें, और हर आपूर्तिकर्ता के लिए वही मैपिंग दोबारा उपयोग करें। गैप विश्लेषण और आपूर्ति श्रृंखला जोखिम विषय दिखाते हैं कि हर फ़्रेमवर्क इन आवश्यकताओं को कैसे लिखता है।

मुख्य बातें

• जोखिम के आधार पर स्तरित एक आपूर्तिकर्ता सूची हर फ़्रेमवर्क की सेवा करती है।
• जहाँ उनका दायरा उपयुक्त हो, स्वतंत्र रिपोर्ट स्वीकार करें, और उन्हें पढ़ें।
• अनुबंध की शर्तें एक बार लिखें ताकि हर दायित्व कवर हो।

हर आपूर्तिकर्ता के लिए एक रिकॉर्ड

हर आपूर्तिकर्ता के लिए सब कुछ (स्तर, आकलन, पढ़ी गई रिपोर्ट, अनुबंध की शर्तें, समीक्षाएँ) एक ही जगह रखें। हर फ़्रेमवर्क के ऑडिटर फिर उसी रिकॉर्ड में अपने साक्ष्य पा सकते हैं।

विक्रेता जोखिम विषय पृष्ठ हर आवश्यकता को उसके स्रोत सहित सूचीबद्ध करता है, और हमारी पोस्ट "SOC 2 certified" सही प्रश्न क्यों नहीं है में आपूर्तिकर्ता रिपोर्ट पढ़ने का तरीका बताया गया है।

प्रश्न

क्या मैं प्रश्नावली के बजाय विक्रेता की SOC 2 रिपोर्ट स्वीकार कर सकता हूँ?

अक्सर, हाँ, यदि रिपोर्ट Type II हो, हाल की हो, आपके द्वारा उपयोग की जा रही सेवा को कवर करती हो, और आप अपवाद तथा पूरक उपयोगकर्ता इकाई नियंत्रण पढ़ें। जो रिपोर्ट आपकी सेवा को कवर नहीं करती, वह आपको बहुत कम बताती है।

किन फ़्रेमवर्क के लिए विक्रेता अनुबंधों में सुरक्षा शर्तें शामिल होना आवश्यक है?

ISO 27001 (A.5.20), PCI DSS (12.8.2), प्रोसेसर के लिए GDPR (अनुच्छेद 28), HIPAA व्यावसायिक सहयोगी समझौते, और NIS2 के आपूर्ति श्रृंखला उपाय, सभी आपूर्तिकर्ता समझौतों में सुरक्षा शर्तों की अपेक्षा करते हैं।

आपूर्तिकर्ताओं का पुनर्मूल्यांकन कितनी बार किया जाना चाहिए?

महत्वपूर्ण आपूर्तिकर्ताओं का कम से कम सालाना (PCI DSS को सेवा प्रदाताओं के अनुपालन की वार्षिक निगरानी चाहिए), अन्य का हर एक या दो साल में, और किसी भी आपूर्तिकर्ता का पुनर्मूल्यांकन किसी बड़ी घटना या सेवा में बदलाव के बाद।