Due diligence vendor: satu proses untuk banyak kerangka kerja

Setiap kerangka kerja utama meminta Anda mengelola risiko pemasok, seperti yang ditunjukkan perbandingan persyaratan vendor dan rantai pasok. Persyaratannya saling tumpang tindih sehingga satu proses, yang dirancang sekali, dapat memenuhi semuanya. Berikut struktur yang melakukannya.

Langkah 1: satu inventaris

Daftarkan setiap pemasok yang memiliki akses ke sistem, data, atau fasilitas Anda, dan untuk masing-masing: apa yang mereka lakukan, data apa yang mereka sentuh, dan kerangka kerja apa yang ikut terlibat (data pemegang kartu untuk PCI DSS, ePHI untuk HIPAA, data pribadi untuk GDPR, layanan yang mendukung layanan yang diatur NIS2). PCI DSS (12.8.1), ISO 27001 (A.5.19), dan CIS Controls (15.1) semuanya dimulai dari sini.

Langkah 2: kelompokkan berjenjang

• Tingkat 1: akses ke data sensitif atau sistem produksi, atau kritis bagi layanan Anda.
• Tingkat 2: akses terbatas atau kekritisan sedang.
• Tingkat 3: tidak ada akses ke data sensitif; dampak rendah jika mereka gagal.

Penjenjangan menjaga agar proses tetap proporsional. CIS menyebutnya mengklasifikasikan penyedia layanan (15.3).

Langkah 3: nilai sesuai tingkat

• Tingkat 1: laporan asurans independen yang mencakup layanan yang Anda gunakan (laporan SOC 2 Tipe II atau sertifikat ISO 27001 dengan cakupan yang relevan), ditambah kuesioner singkat untuk hal-hal yang tidak dicakup laporan. Baca laporannya: cakupan, periode, pengecualian, carve-out, dan kontrol yang diharapkan Anda jalankan.
• Tingkat 2: kuesioner standar, atau laporan jika mereka memilikinya.
• Tingkat 3: pemeriksaan dasar saat onboarding.

Langkah 4: kontrak sekali, mencakup semuanya

Tulis ketentuan keamanan yang mencakup setiap kerangka kerja sekaligus:

• Kewajiban keamanan yang proporsional terhadap layanan.
• Pemberitahuan pelanggaran kepada Anda, dengan tenggat yang cukup singkat untuk memenuhi kewajiban Anda sendiri (24 jam untuk NIS2, 72 jam untuk GDPR).
• Ketentuan Pasal 28 GDPR jika mereka memproses data pribadi atas nama Anda; perjanjian mitra bisnis jika HIPAA berlaku.
• Hak audit atau penilaian, serta pengembalian atau penghapusan data saat pengakhiran.
• Untuk PCI DSS, pengakuan atas tanggung jawab mereka terhadap data pemegang kartu (12.8.2) dan pembagian tanggung jawab yang terdokumentasi (12.8.5).

Langkah 5: pantau dan akhiri hubungan

Nilai ulang pemasok Tingkat 1 setiap tahun (PCI DSS mewajibkan pemantauan tahunan atas kepatuhan penyedia layanan, 12.8.4), pemasok Tingkat 2 setiap tahun atau dua tahun sekali, dan tanggapi insiden serta perubahan. Saat pengakhiran, cabut akses, pulihkan atau hapus data, dan catat hal tersebut (CIS 15.7).

Kuesioner singkat yang efektif

Untuk pemasok tanpa laporan asurans independen, kuesioner singkat lebih baik daripada yang panjang, karena orang menjawab yang singkat dengan benar. Sepuluh pertanyaan mencakup sebagian besar yang diminta setiap kerangka kerja:

1. Data milik kami apa yang akan Anda akses, simpan, atau proses, dan di mana?
2. Apakah Anda memiliki laporan SOC 2 atau sertifikat ISO 27001 terkini yang mencakup layanan ini?
3. Apakah MFA diberlakukan untuk semua akses ke sistem yang menyimpan data kami?
4. Seberapa cepat kerentanan kritis ditambal?
5. Apakah data kami dienkripsi saat disimpan dan saat ditransmisikan?
6. Apakah cadangan dibuat, dilindungi, dan diuji?
7. Bagaimana dan seberapa cepat Anda akan memberi tahu kami tentang insiden yang memengaruhi data kami?
8. Subkontraktor mana yang menangani data kami?
9. Bagaimana data kami dikembalikan atau dihapus saat kontrak berakhir?
10. Siapa kontak keamanan Anda?

Petakan setiap jawaban ke persyaratan Anda sekali, dan gunakan kembali pemetaan itu untuk setiap pemasok. Analisis kesenjangan dan topik risiko rantai pasok menunjukkan bagaimana setiap kerangka kerja merumuskan persyaratan ini.

Poin utama

• Satu inventaris pemasok, dikelompokkan berdasarkan risiko, melayani setiap kerangka kerja.
• Terima laporan independen jika cakupannya sesuai, dan baca laporan tersebut.
• Tulis ketentuan kontrak sekali untuk mencakup setiap kewajiban.

Satu catatan per pemasok

Simpan semuanya (tingkat, penilaian, laporan yang dibaca, ketentuan kontrak, tinjauan) di satu tempat per pemasok. Auditor dari setiap kerangka kerja kemudian dapat menemukan bukti mereka dalam catatan yang sama.

Topik Vendor Risk mencantumkan setiap persyaratan beserta sumbernya, dan artikel kami tentang mengapa "SOC 2 certified" adalah pertanyaan yang salah membahas cara membaca laporan pemasok.

Pertanyaan

Bolehkah saya menerima laporan SOC 2 vendor sebagai pengganti kuesioner?

Seringkali boleh, jika laporannya Tipe II, terbaru, mencakup layanan yang Anda gunakan, dan Anda membaca pengecualian serta complementary user entity controls. Laporan yang tidak mencakup layanan Anda hanya memberi sedikit informasi.

Kerangka kerja mana yang mewajibkan kontrak vendor memuat ketentuan keamanan?

ISO 27001 (A.5.20), PCI DSS (12.8.2), GDPR untuk prosesor (Pasal 28), perjanjian mitra bisnis HIPAA, dan langkah rantai pasok NIS2 mewajibkan ketentuan keamanan dalam perjanjian pemasok.

Seberapa sering pemasok perlu dinilai ulang?

Pemasok kritis setidaknya setiap tahun (PCI DSS mewajibkan pemantauan tahunan atas kepatuhan penyedia layanan), pemasok lainnya setiap tahun atau dua tahun sekali, dan pemasok mana pun setelah insiden besar atau perubahan layanan.