वेंडर और आपूर्ति-श्रृंखला जोखिम: कौन क्या माँगता है

आपूर्तिकर्ता संगठनों में घुसने के सबसे आम रास्तों में से एक बन गए हैं, दूषित सॉफ़्टवेयर अपडेट से लेकर सेंध लगे प्रबंधित सेवा प्रदाताओं तक। फ़्रेमवर्क ने प्रतिक्रिया दी है, कुछ ने दूसरों से अधिक। ControlMapping इसे दो विषयों में ट्रैक करता है: वेंडर जोखिम प्रबंधन (व्यक्तिगत आपूर्तिकर्ताओं का आकलन और प्रबंधन) और आपूर्ति-श्रृंखला जोखिम (उनके आसपास का कार्यक्रम)।

वेंडर जोखिम प्रबंधन

फ़्रेमवर्क	वेंडर जोखिम प्रबंधन	लिंक
NIST CSF 2.0	GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06	विषय परिभाषा
ISO 27001	A.5.19A.5.20A.5.22	क्रॉसवॉक
CIS v8.1	CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7	क्रॉसवॉक
SOC 2	CC9.2	संपादकीय
PCI DSS	12.8.112.8.212.8.312.8.412.8.5	क्रॉसवॉक
CMMC	—	ढीले तौर पर संबंधित
800-53	SA-4SA-9SR-6	क्रॉसवॉक
HIPAA	§164.308(b)(1)§164.314(a)	क्रॉसवॉक
GDPR	Art.28(1)Art.28(3)	संपादकीय
NIS2	5.15.26.1	क्रॉसवॉक
Essential Eight	—	हमारे डेटा में कोई मैपिंग नहीं

पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में वेंडर जोखिम प्रबंधन →

कार्यक्रम के रूप में आपूर्ति-श्रृंखला जोखिम

फ़्रेमवर्क	आपूर्ति श्रृंखला जोखिम	लिंक
NIST CSF 2.0	GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09	विषय परिभाषा
ISO 27001	A.5.19A.5.21	क्रॉसवॉक
CIS v8.1	CIS 15.2	क्रॉसवॉक
SOC 2	CC9.2	संपादकीय
PCI DSS	6.3.212.8.1	क्रॉसवॉक
CMMC	—	ढीले तौर पर संबंधित
800-53	PM-30SR-2SR-3SR-11	क्रॉसवॉक
HIPAA	—	ढीले तौर पर संबंधित
GDPR	Art.28(1)	संपादकीय
NIS2	5.16.1	क्रॉसवॉक
Essential Eight	—	हमारे डेटा में कोई मैपिंग नहीं

पूर्ण विवरण और हर संबंध का कारण: फ़्रेमवर्क में आपूर्ति श्रृंखला जोखिम →

जहाँ वे सहमत हैं

अधिकांश फ़्रेमवर्क एक ही जीवनचक्र की माँग करते हैं: जानें कि आपके आपूर्तिकर्ता कौन हैं, जुड़ने से पहले उनका आकलन करें, अनुबंधों में सुरक्षा आवश्यकताएँ रखें, उनकी निगरानी करें, और संबंध को सुरक्षित तरीके से समाप्त करें। ISO 27001 इसे A.5.19 से A.5.22 में कवर करता है; PCI DSS सेवा प्रदाताओं की सूची, लिखित समझौते, उचित जाँच (due diligence), वार्षिक निगरानी और ज़िम्मेदारियों के दस्तावेज़ीकृत विभाजन की माँग करता है (12.8.1 से 12.8.5); SOC 2 अपेक्षा करता है कि वेंडर जोखिम का आकलन और प्रबंधन हो (CC9.2); CIS Controls को सूची, वर्गीकरण, अनुबंधीय आवश्यकताएँ, आकलन, निगरानी और सुरक्षित डिकमीशनिंग चाहिए (Control 15)। यह जीवनचक्र एक बार बना लें, और वही प्रक्रिया इन फ़्रेमवर्क में से अधिकांश को पूरा करेगी।

जहाँ वे भिन्न हैं

• GDPR प्रोसेसरों पर केंद्रित है: अनुच्छेद 28 की शर्तों वाले लिखित अनुबंध, और केवल ऐसे प्रोसेसरों का उपयोग जो पर्याप्त गारंटी देते हों। यह व्यक्तिगत डेटा के बारे में है, सामान्य रूप से आपूर्तिकर्ताओं के बारे में नहीं।
• HIPAA के लिए ऐसे किसी भी व्यक्ति के साथ, जो आपकी ओर से ePHI संभालता है, व्यवसाय सहयोगी समझौते (§164.308(b)(1), §164.314(a)) आवश्यक हैं।
• NIS2 आपूर्ति-श्रृंखला सुरक्षा को अपने आप में एक उपाय मानता है (Article 21(2)(d)), और कार्यान्वयन विनियमन आपूर्ति-श्रृंखला सुरक्षा नीति, आपूर्तिकर्ता चयन मानदंड और अनुबंधीय सुरक्षा आवश्यकताओं की माँग करता है (बिंदु 5.1 और 5.2), जिसमें आपूर्तिकर्ताओं की अपनी सुरक्षा प्रथाओं और कमज़ोरियों पर विचार शामिल है।
• NIST CSF 2.0 सबसे आगे जाता है, साइबर सुरक्षा आपूर्ति-श्रृंखला जोखिम प्रबंधन पर शासन करें फ़ंक्शन की दस उप-श्रेणियों के साथ, कार्यक्रम स्थापित करने से लेकर पूरे जीवनचक्र में आपूर्तिकर्ताओं के प्रबंधन तक।
• CMMC Level 2 में आपूर्तिकर्ता संबंधी कोई प्रैक्टिस नहीं है; उप-ठेकेदारों तक आवश्यकताएँ पहुँचाना (flow-down) अनुबंध की धाराओं से आता है। Essential Eight आपूर्तिकर्ताओं को संबोधित नहीं करता।

एक अच्छे कार्यक्रम की रूपरेखा

1. एक आपूर्तिकर्ता सूची, जिसमें हर आपूर्तिकर्ता की पहुँच और उसकी महत्ता दर्ज हो।
2. स्तरीय उचित जाँच: संवेदनशील डेटा या प्रणालियों तक पहुँच वाले आपूर्तिकर्ताओं के लिए अधिक, बाकी के लिए कम। उनकी SOC 2 रिपोर्ट या ISO प्रमाणपत्र स्वीकार करें जहाँ वह सेवा को कवर करता हो, और दायरा पढ़ें।
3. अनुबंध आवश्यकताएँ: सुरक्षा दायित्व, आपको उल्लंघन की सूचना, ऑडिट अधिकार, और समाप्ति पर डेटा लौटाना या मिटाना (जहाँ व्यक्तिगत डेटा शामिल हो वहाँ GDPR अनुच्छेद 28 की शर्तें)।
4. निगरानी जो स्तर के अनुपात में हो: महत्वपूर्ण आपूर्तिकर्ताओं की वार्षिक समीक्षा, जैसा PCI DSS सेवा प्रदाताओं से माँगता है।
5. ऑफ़बोर्डिंग: पहुँच रद्द करें, डेटा वापस लें या मिटाएँ, और उसकी पुष्टि करें।

वेंडर जोखिम और आपूर्ति-श्रृंखला जोखिम विषय पृष्ठ हर आवश्यकता को उसके स्रोत के साथ सूचीबद्ध करते हैं। आपूर्तिकर्ता आश्वासन पढ़ने पर हमारा लेख SOC 2 रिपोर्ट वेंडर प्रश्न का अकेले उत्तर क्यों नहीं देती देखें।

प्रश्न

NIS2 आपूर्ति-श्रृंखला सुरक्षा पर क्या आवश्यक करता है?

Article 21(2)(d) आपूर्ति-श्रृंखला सुरक्षा की माँग करता है, जिसमें प्रत्यक्ष आपूर्तिकर्ताओं और सेवा प्रदाताओं के साथ संबंधों के सुरक्षा पहलू शामिल हैं। कार्यान्वयन विनियमन एक आपूर्ति-श्रृंखला सुरक्षा नीति, आपूर्तिकर्ता चयन मानदंड और अनुबंध आवश्यकताएँ निर्धारित करता है (बिंदु 5.1 और 5.2)।

क्या CMMC Level 2 के लिए वेंडर जोखिम प्रबंधन आवश्यक है?

एक कार्यक्रम के रूप में नहीं। CMMC Level 2 SP 800-171 Rev 2 को अपनाता है, जो आपकी अपनी प्रणालियों में CUI की सुरक्षा पर केंद्रित है; आवश्यकताओं को उप-ठेकेदारों तक पहुँचाना इसके बजाय अनुबंध की धाराओं से होता है।