Risiko vendor dan rantai pasok: siapa mewajibkan apa
Pelanggaran melalui pemasok terus naik di grafik insiden, dan kerangka kerja pun mengikutinya. Kebanyakan kini mewajibkan keamanan pemasok, tetapi maknanya berbeda-beda.
Pos ini membahas 11 kerangka kerja yang dipetakan ControlMapping saat ditulis. Sejak itu, DORA, CPS 234, Cyber Essentials telah ditambahkan pada 2026-10-27; halaman masing-masing dan matriks cakupan sudah menyertakannya.
Pemasok telah menjadi salah satu jalur masuk paling umum ke organisasi, mulai dari pembaruan perangkat lunak yang disusupi hingga penyedia layanan terkelola yang dibobol. Kerangka kerja telah merespons, sebagian lebih baik daripada yang lain. ControlMapping melacak hal ini dalam dua topik: manajemen risiko vendor (menilai dan mengelola pemasok individual) dan risiko rantai pasok (program di sekitarnya).
Manajemen risiko vendor
| Kerangka kerja | Manajemen Risiko Vendor | Tautan |
|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Definisi topik |
| ISO 27001 | A.5.19A.5.20A.5.22 | Crosswalk |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Crosswalk |
| SOC 2 | CC9.2 | Editorial |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | Crosswalk |
| CMMC | — | |
| 800-53 | SA-4SA-9SR-6 | Crosswalk |
| HIPAA | §164.308(b)(1)§164.314(a) | Crosswalk |
| GDPR | Art.28(1)Art.28(3) | Editorial |
| NIS2 | 5.15.26.1 | Crosswalk |
| Essential Eight | — | Tidak ada pemetaan dalam data kami |
Detail lengkap dan alasan untuk setiap tautan: Manajemen Risiko Vendor di seluruh kerangka kerja →
Risiko rantai pasok sebagai program
| Kerangka kerja | Risiko Rantai Pasok | Tautan |
|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | Definisi topik |
| ISO 27001 | A.5.19A.5.21 | Crosswalk |
| CIS v8.1 | CIS 15.2 | Crosswalk |
| SOC 2 | CC9.2 | Editorial |
| PCI DSS | 6.3.212.8.1 | Crosswalk |
| CMMC | — | |
| 800-53 | PM-30SR-2SR-3SR-11 | Crosswalk |
| HIPAA | — | |
| GDPR | Art.28(1) | Editorial |
| NIS2 | 5.16.1 | Crosswalk |
| Essential Eight | — | Tidak ada pemetaan dalam data kami |
Detail lengkap dan alasan untuk setiap tautan: Risiko Rantai Pasok di seluruh kerangka kerja →
Di mana mereka sepakat
Kebanyakan kerangka kerja mensyaratkan siklus hidup yang sama: mengetahui siapa pemasok Anda, menilainya sebelum bekerja sama, mencantumkan persyaratan keamanan dalam kontrak, memantaunya, dan mengakhiri hubungan secara aman. ISO 27001 mencakupnya dalam A.5.19 hingga A.5.22; PCI DSS mensyaratkan daftar penyedia layanan, perjanjian tertulis, uji tuntas, pemantauan tahunan, dan pembagian tanggung jawab yang terdokumentasi (12.8.1 hingga 12.8.5); SOC 2 mengharapkan risiko vendor dinilai dan dikelola (CC9.2); CIS Controls mensyaratkan inventaris, klasifikasi, persyaratan kontraktual, penilaian, pemantauan, dan penghentian layanan yang aman (Control 15). Bangun siklus hidup itu sekali, dan proses yang sama dapat melayani sebagian besar kerangka kerja ini.
Di mana mereka berbeda
- GDPR berfokus pada prosesor: kontrak tertulis dengan ketentuan dalam Pasal 28, dan hanya menggunakan prosesor yang memberikan jaminan memadai. Fokusnya adalah data pribadi, bukan pemasok secara umum.
- HIPAA mensyaratkan perjanjian rekan bisnis (§164.308(b)(1), §164.314(a)) dengan pihak mana pun yang menangani ePHI atas nama Anda.
- NIS2 memperlakukan keamanan rantai pasok sebagai langkah tersendiri (Pasal 21(2)(d)), dan Peraturan Pelaksana meminta kebijakan keamanan rantai pasok, kriteria pemilihan pemasok, dan persyaratan keamanan kontraktual (poin 5.1 dan 5.2), dengan mempertimbangkan praktik keamanan dan kerentanan pemasok itu sendiri.
- NIST CSF 2.0 paling menyeluruh, dengan sepuluh subkategori Govern tentang manajemen risiko rantai pasok keamanan siber, mulai dari membangun program hingga mengelola pemasok sepanjang siklus hidupnya.
- CMMC Level 2 tidak memiliki praktik untuk pemasok; penerusan persyaratan ke subkontraktor berasal dari klausul kontrak. Essential Eight tidak membahas pemasok.
Seperti apa program yang baik
- Satu inventaris pemasok, dengan apa yang dapat diakses setiap pemasok dan seberapa kritis pemasok tersebut.
- Uji tuntas berjenjang: lebih ketat untuk pemasok yang memiliki akses ke data atau sistem sensitif, lebih longgar untuk sisanya. Terima laporan SOC 2 atau sertifikat ISO mereka jika mencakup layanan tersebut, dan baca lingkupnya.
- Persyaratan kontrak: kewajiban keamanan, pemberitahuan pelanggaran kepada Anda, hak audit, dan pengembalian atau penghapusan data saat pengakhiran (ketentuan Pasal 28 GDPR jika melibatkan data pribadi).
- Pemantauan yang sebanding dengan tingkatnya: tinjauan tahunan untuk pemasok kritis, sebagaimana PCI DSS mensyaratkannya untuk penyedia layanan.
- Offboarding: cabut akses, ambil atau hapus data, dan konfirmasi hal tersebut.
Halaman topik Vendor Risk dan Supply Chain Risk mencantumkan setiap persyaratan beserta sumbernya. Artikel kami tentang mengapa laporan SOC 2 tidak menjawab pertanyaan vendor dengan sendirinya membahas cara membaca jaminan pemasok.
Pertanyaan
Apa yang diwajibkan NIS2 terkait keamanan rantai pasok?
Pasal 21(2)(d) mewajibkan keamanan rantai pasok, termasuk aspek keamanan dalam hubungan dengan pemasok langsung dan penyedia layanan. Peraturan Pelaksana menetapkan kebijakan keamanan rantai pasok, kriteria pemilihan pemasok, dan persyaratan kontrak (poin 5.1 dan 5.2).
Apakah CMMC Level 2 mewajibkan manajemen risiko vendor?
Tidak sebagai program. CMMC Level 2 mewarisi SP 800-171 Rev 2, yang berfokus pada perlindungan CUI di sistem Anda sendiri; penerusan persyaratan ke subkontraktor berasal dari klausul kontrak.
Data per 2026-10-27: angka dalam tulisan ini dihitung dari crosswalk terkini dan diperbarui ketika crosswalk berubah. Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Bukan saran kepatuhan.
Artikel terkait
Analisis · 2026-10-27APRA CPS 234 dan ISO 27001: apa yang dicakup ISMS Anda dan apa yang ditambahkan APRAISMS ISO 27001 mencakup hampir setiap paragraf CPS 234 milik APRA, namun APRA menambahkan kewajiban Dewan Direksi, jaminan pihak ketiga, dan batas waktu notifikasi yang ketat.
Analisis · 2026-10-27Cyber Essentials vs Essential Eight: dua baseline nasional dibandingkanCyber Essentials milik Inggris dan Essential Eight milik Australia sama-sama menargetkan serangan umum, tetapi keduanya mencakup wilayah yang berbeda. Apa yang tumpang tindih, apa yang tidak, dan mengapa.
Analisis · 2026-10-27DORA vs NIS2: apa yang sudah dicakup program NIS2DORA dan NIS2 sama-sama memuat sebagian besar konten keamanan, namun DORA menambah register, ketentuan kontrak, dan pengujian berbasis ancaman. Pasal demi pasal.