cm/controlmapping
हिन्दी
English中文Españolالعربية日本語हिन्दीDeutschFrançaisPortuguês한국어ItalianoBahasa IndonesiaРусский
स्रोत
शासन (GV) · विषय

वेंडर जोखिम प्रबंधन

तृतीय-पक्ष वेंडरों और सेवा प्रदाताओं से आने वाले सुरक्षा जोखिमों का आकलन, निगरानी और प्रबंधन करें।

वेंडर जोखिम प्रबंधन को NIST CSF 2.0 के परिणामों GV.SC-04 (Suppliers are known and prioritized by criticality); GV.SC-06 (Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships); GV.SC-07 (The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship); ID.RA-10 (Critical suppliers are assessed prior to acquisition); DE.CM-06 (External service provider activities and services are monitored to find potentially adverse events) द्वारा परिभाषित किया गया है। क्रॉसवॉक ISO 27001, CIS v8.1, PCI DSS, 800-53, HIPAA और NIS2 में एक प्रकाशित क्रॉसवॉक के माध्यम से मैप किया गया। संपादकीय SOC 2, GDPR, DORA और CPS 234 में संपादकीय रूप से मैप किया गया। ढीले तौर पर संबंधित CMMC में केवल ढीले तौर पर संबंधित। हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में Essential Eight और Cyber Essentials के लिए कोई मैपिंग नहीं।

द्वारा परिभाषितGV.SC-04 GV.SC-06 GV.SC-07 ID.RA-10 DE.CM-06 (NIST CSF 2.0) फ़्रेमवर्क14 में से 11 में मैप की गई आवश्यकताएँ हैं
← कवरेज मैट्रिक्स
फ़्रेमवर्क के अनुसार वेंडर जोखिम प्रबंधन आवश्यकताएँ
फ़्रेमवर्कआवश्यकताशीर्षकलिंकस्रोत / कारण
NIST CSF 2.0GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06Suppliers are known and prioritized by criticality; Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships; The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship…विषय परिभाषा
GV.SC-04
GV.SC-06
GV.SC-07
ID.RA-10
DE.CM-06
ISO 27001A.5.19A.5.20A.5.22Information security in supplier relationships; Addressing information security within supplier agreements; Monitoring, review and change management of supplier servicesक्रॉसवॉक
A.5.19: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10
A.5.20: via GV.SC-06; GV.SC-07; ID.RA-10; NIST 800-53 map: SA-4
A.5.22: via GV.SC-04; GV.SC-07; ID.RA-10; DE.CM-06; NIST 800-53 map: SA-9, SR-6
CIS v8.1CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7Establish and Maintain an Inventory of Service Providers; Assess Service Providers; Monitor Service Providers…क्रॉसवॉक
CIS 15.1: via GV.SC-04
CIS 15.5: via GV.SC-06
CIS 15.6: via GV.SC-07; DE.CM-06
CIS 15.3: via GV.SC-04
CIS 15.4: Service provider contracts must include security requirements.
CIS 15.7: Securely decommission service providers: deactivate accounts, end data flows and dispose of data.
SOC 2CC9.2Managing vendor and business partner riskसंपादकीय
CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text).
PCI DSS12.8.112.8.212.8.312.8.412.8.5List of third-party service providers kept; Written agreements with service providers; Due diligence before engaging service providers…क्रॉसवॉक
12.8.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10
12.8.2: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10
12.8.3: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10
12.8.4: via GV.SC-04; GV.SC-07; DE.CM-06
12.8.5: via GV.SC-04; GV.SC-06; GV.SC-07
CMMCRA.L2-3.11.1CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6SI.L2-3.14.7इस विषय से मैप नहीं किया गयाढीले तौर पर संबंधितये आवश्यकताएँ प्रकाशित crosswalks के माध्यम से केवल इस विषय के CSF परिणामों (GV.SC-04, GV.SC-06, GV.SC-07, ID.RA-10, DE.CM-06) को साझा करती हैं: जाँचने योग्य, मैपिंग नहीं।
800-53SA-4SA-9SR-6Acquisition Process; External System Services; Supplier Assessments and Reviewsक्रॉसवॉक
SA-4: via GV.SC-06; GV.SC-07; DE.CM-06
SA-9: via GV.SC-04; GV.SC-06; GV.SC-07; DE.CM-06
SR-6: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10
HIPAA§164.308(b)(1)§164.314(a)Business Associate Contracts and Other Arrangements; Business Associate Contracts or Other Arrangementsक्रॉसवॉक
§164.308(b)(1): via NIST HIPAA map: SA-9
§164.314(a): via NIST HIPAA map: SA-4, SA-9
GDPRArt.28(1)Art.28(3)Processor; Processorसंपादकीय
No official crosswalk exists for GDPR; ControlMapping editorial mapping.
NIS25.15.26.1Supply chain security policy; Directory of suppliers and service providers; Security in acquisition of ICT services, ICT systems or ICT productsक्रॉसवॉक
5.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10; ENISA ISO map: A.5.19, A.5.20
5.2: via GV.SC-04; ENISA ISO map: A.5.22
6.1: via GV.SC-06; ID.RA-10
Essential Eight—कोई आवश्यकता नहींहमारे डेटा में कोई मैपिंग नहींहमारे डेटा में इस विषय से कोई Essential Eight आवश्यकता मैप नहीं है।
DORAArt.28(3)Art.28(4)Art.28(5)Art.30(2)Art.30(3)Art.28(8)General principles; General principles; General principles…संपादकीय
Art.28(3): A register of information on all contractual arrangements for ICT services.
Art.28(4): Due diligence and risk assessment before contracting.
Art.28(5): Contract only with providers that comply with appropriate information security standards.
Art.30(2): Minimum contractual provisions for all ICT services.
Art.30(3): Further provisions for critical or important functions, including audit rights, TLPT participation and exit.
Art.28(8): Exit strategies and tested exit plans.
CPS 234Para 16Para 22Para 28Para 34Assess third parties' information security capability; Evaluate the design of third parties' controls; Check third parties' control testing is adequate…संपादकीय
Para 16: Assess the security capability of third parties that manage information assets.
Para 22: Evaluate the design of third parties' controls.
Para 28: Check that third parties' control testing meets the entity's own standard.
Para 34: Internal audit assesses third-party assurance it relies on.
Cyber Essentials—कोई आवश्यकता नहींहमारे डेटा में कोई मैपिंग नहींहमारे डेटा में इस विषय से कोई Cyber Essentials आवश्यकता मैप नहीं है।

विषय परिभाषा CSF 2.0 परिणाम जो इस विषय को परिभाषित करते हैं · क्रॉसवॉक कम से कम एक चयन, जो प्रकाशित क्रॉसवॉक पर आधारित हो · संपादकीय ControlMapping का निर्णय, कारण सहित · ढीले तौर पर संबंधित मैप नहीं किया गया, केवल इस विषय के CSF परिणाम साझा करता है · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. पद्धति.

आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।

मैपिंग गलत या गायब है? रिपोर्ट करें

वेंडर जोखिम प्रबंधन के बारे में

वेंडर जोखिम प्रबंधन उन तृतीय-पक्ष वेंडरों, आपूर्तिकर्ताओं और सेवा प्रदाताओं की सुरक्षा प्रथाओं के मूल्यांकन, ऑनबोर्डिंग और लगातार निगरानी के लिए एक संरचित दृष्टिकोण प्रदान करता है, जो संगठन का डेटा संभालते हैं या सिस्टमों तक पहुँच रखते हैं। इस कार्यक्रम में मानकीकृत सुरक्षा आकलन प्रश्नावलियाँ, SOC 2 रिपोर्टों और ISO 27001 प्रमाणन की समीक्षा, राइट-टू-ऑडिट क्लॉज़ सहित अनुबंधिक सुरक्षा आवश्यकताएँ, और सुरक्षा रेटिंग सेवाओं या आवधिक पुनर्मूल्यांकन के माध्यम से सतत निगरानी शामिल होनी चाहिए। जैसे-जैसे संगठन तृतीय-पक्ष सेवाओं पर अधिक निर्भर होते जा रहे हैं, विस्तारित उद्यम में सुरक्षा बनाए रखने और SOC 2, PCI DSS और ISO 27001 जैसे फ़्रेमवर्क के तहत अनुपालन आवश्यकताओं को पूरा करने के लिए वेंडर जोखिम प्रबंधन अनिवार्य हो गया है।

संबंधित विषय

शासन नीतिजोखिम प्रबंधनआपूर्ति श्रृंखला जोखिमभूमिकाएँ और उत्तरदायित्वअनुपालनक्लाउड सुरक्षा