आपूर्ति श्रृंखला जोखिम
आपूर्ति श्रृंखला में साइबर सुरक्षा जोखिमों का प्रबंधन करें।
आपूर्ति श्रृंखला जोखिम को NIST CSF 2.0 के परिणामों GV.SC-01 (A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders); GV.SC-03 (Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes); GV.SC-05 (Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties); GV.SC-09 (Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle); ID.RA-09 (The authenticity and integrity of hardware and software are assessed prior to acquisition and use) द्वारा परिभाषित किया गया है। क्रॉसवॉक ISO 27001, CIS v8.1, PCI DSS, 800-53 और NIS2 में एक प्रकाशित क्रॉसवॉक के माध्यम से मैप किया गया। संपादकीय SOC 2, GDPR, DORA और CPS 234 में संपादकीय रूप से मैप किया गया। CMMC और HIPAA में केवल ढीले तौर पर संबंधित। हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में Essential Eight और Cyber Essentials के लिए कोई मैपिंग नहीं।
| फ़्रेमवर्क | आवश्यकता | शीर्षक | लिंक | स्रोत / कारण |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders; Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes; Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties… | विषय परिभाषा | GV.SC-01 GV.SC-03 GV.SC-05 GV.SC-09 ID.RA-09 |
| ISO 27001 | A.5.19A.5.21 | Information security in supplier relationships; Managing information security in the ICT supply chain | क्रॉसवॉक | A.5.19: via GV.SC-01; GV.SC-03; GV.SC-05; GV.SC-09; ID.RA-09; NIST 800-53 map: SR-2 A.5.21: via GV.SC-01; GV.SC-03; GV.SC-09; NIST 800-53 map: SR-2, SR-3 |
| CIS v8.1 | CIS 15.2 | Establish and Maintain a Service Provider Management Policy | क्रॉसवॉक | CIS 15.2: via GV.SC-01 |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | संपादकीय | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.212.8.1 | Inventory of custom software and its components; List of third-party service providers kept | क्रॉसवॉक | 6.3.2: via GV.SC-01; GV.SC-03; GV.SC-09 12.8.1: via GV.SC-01; GV.SC-05; GV.SC-09 |
| CMMC | RA.L2-3.11.1 | इस विषय से मैप नहीं किया गया | ये आवश्यकताएँ प्रकाशित crosswalks के माध्यम से केवल इस विषय के CSF परिणामों (GV.SC-01, GV.SC-03, GV.SC-05, GV.SC-09, ID.RA-09) को साझा करती हैं: जाँचने योग्य, मैपिंग नहीं। | |
| 800-53 | PM-30SR-2SR-3SR-11 | Supply Chain Risk Management Strategy; Supply Chain Risk Management Plan; Supply Chain Controls and Processes… | क्रॉसवॉक | PM-30: via GV.SC-01; GV.SC-03; GV.SC-09 SR-2: via GV.SC-01; GV.SC-03; GV.SC-09 SR-3: via GV.SC-01; GV.SC-03; GV.SC-05; GV.SC-09 SR-11: via ID.RA-09 |
| HIPAA | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B) | इस विषय से मैप नहीं किया गया | ये आवश्यकताएँ प्रकाशित crosswalks के माध्यम से केवल इस विषय के CSF परिणामों (GV.SC-01, GV.SC-03, GV.SC-05, GV.SC-09, ID.RA-09) को साझा करती हैं: जाँचने योग्य, मैपिंग नहीं। | |
| GDPR | Art.28(1) | Processor | संपादकीय | Art.28(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.16.1 | Supply chain security policy; Security in acquisition of ICT services, ICT systems or ICT products | क्रॉसवॉक | 5.1: via GV.SC-01; GV.SC-05; GV.SC-09; ENISA ISO map: A.5.19, A.5.21 6.1: via ID.RA-09; ENISA ISO map: A.5.21 |
| Essential Eight | — | कोई आवश्यकता नहीं | हमारे डेटा में कोई मैपिंग नहीं | हमारे डेटा में इस विषय से कोई Essential Eight आवश्यकता मैप नहीं है। |
| DORA | Art.28(2)Art.29(1)Art.29(2) | General principles; Preliminary assessment of ICT concentration risk at entity level; Preliminary assessment of ICT concentration risk at entity level | संपादकीय | Art.28(2): A strategy on ICT third-party risk, with a policy on ICT services supporting critical or important functions. Art.29(1): Assess ICT concentration risk before contracting, such as providers that aren't easily substitutable. Art.29(2): Weigh the risks of subcontracting chains, insolvency law and providers in third countries. |
| CPS 234 | Para 16Para 22 | Assess third parties' information security capability; Evaluate the design of third parties' controls | संपादकीय | Para 16: Assess the information security capability of related parties and third parties that manage information assets. Para 22: Evaluate the design of third parties' controls that protect the entity's information assets. |
| Cyber Essentials | — | कोई आवश्यकता नहीं | हमारे डेटा में कोई मैपिंग नहीं | हमारे डेटा में इस विषय से कोई Cyber Essentials आवश्यकता मैप नहीं है। |
विषय परिभाषा CSF 2.0 परिणाम जो इस विषय को परिभाषित करते हैं · क्रॉसवॉक कम से कम एक चयन, जो प्रकाशित क्रॉसवॉक पर आधारित हो · संपादकीय ControlMapping का निर्णय, कारण सहित · मैप नहीं किया गया, केवल इस विषय के CSF परिणाम साझा करता है · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. पद्धति.
आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।
मैपिंग गलत या गायब है? रिपोर्ट करें
आपूर्ति श्रृंखला जोखिम के बारे में
आपूर्ति श्रृंखला जोखिम प्रबंधन उन सुरक्षा कमज़ोरियों से निपटता है जो उन तृतीय-पक्ष हार्डवेयर, सॉफ़्टवेयर और सेवा प्रदाताओं द्वारा उत्पन्न होती हैं जिनकी संगठनात्मक प्रणालियों या डेटा तक पहुँच होती है। संगठनों को ऑनबोर्डिंग से पहले आपूर्तिकर्ताओं की सुरक्षा स्थिति का मूल्यांकन करना चाहिए, अनुबंधों में सुरक्षा आवश्यकताओं को शामिल करना चाहिए, और प्रश्नावलियों, ऑडिट या निरंतर निगरानी उपकरणों के माध्यम से चल रहे अनुपालन की निगरानी करनी चाहिए। SolarWinds और MOVEit जैसे उच्च-प्रोफ़ाइल आपूर्ति श्रृंखला हमलों ने दिखाया है कि अच्छी तरह से सुरक्षित संगठन भी भरोसेमंद विक्रेता संबंधों के माध्यम से समझौता किए जा सकते हैं।