Gestione del rischio dei fornitori
Valutare, monitorare e gestire i rischi di sicurezza derivanti da fornitori terzi e fornitori di servizi.
Gestione del rischio dei fornitori è definito dagli esiti GV.SC-04 (Suppliers are known and prioritized by criticality); GV.SC-06 (Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships); GV.SC-07 (The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship); ID.RA-10 (Critical suppliers are assessed prior to acquisition); DE.CM-06 (External service provider activities and services are monitored to find potentially adverse events) di NIST CSF 2.0. Crosswalk Mappato tramite un crosswalk pubblicato in ISO 27001, CIS v8.1, PCI DSS, 800-53, HIPAA e NIS2. Redazione Mappato in modo editoriale in SOC 2, GDPR, DORA e CPS 234. Solo debolmente correlato in CMMC. Nessuna mappatura nei nostri dati Nessuna mappatura nei nostri dati per Essential Eight e Cyber Essentials.
| Framework | Requisito | Titolo | Collegamento | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Suppliers are known and prioritized by criticality; Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships; The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship… | Definizione dell'argomento | GV.SC-04 GV.SC-06 GV.SC-07 ID.RA-10 DE.CM-06 |
| ISO 27001 | A.5.19A.5.20A.5.22 | Information security in supplier relationships; Addressing information security within supplier agreements; Monitoring, review and change management of supplier services | Crosswalk | A.5.19: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 A.5.20: via GV.SC-06; GV.SC-07; ID.RA-10; NIST 800-53 map: SA-4 A.5.22: via GV.SC-04; GV.SC-07; ID.RA-10; DE.CM-06; NIST 800-53 map: SA-9, SR-6 |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Establish and Maintain an Inventory of Service Providers; Assess Service Providers; Monitor Service Providers… | Crosswalk | CIS 15.1: via GV.SC-04 CIS 15.5: via GV.SC-06 CIS 15.6: via GV.SC-07; DE.CM-06 CIS 15.3: via GV.SC-04 CIS 15.4: Service provider contracts must include security requirements. CIS 15.7: Securely decommission service providers: deactivate accounts, end data flows and dispose of data. |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | Redazione | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | List of third-party service providers kept; Written agreements with service providers; Due diligence before engaging service providers… | Crosswalk | 12.8.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.2: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.3: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.4: via GV.SC-04; GV.SC-07; DE.CM-06 12.8.5: via GV.SC-04; GV.SC-06; GV.SC-07 |
| CMMC | RA.L2-3.11.1CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6SI.L2-3.14.7 | Non mappato su questo argomento | Questi requisiti condividono solo gli esiti CSF di questo argomento (GV.SC-04, GV.SC-06, GV.SC-07, ID.RA-10, DE.CM-06) tramite crosswalk pubblicati: da verificare, non è una mappatura. | |
| 800-53 | SA-4SA-9SR-6 | Acquisition Process; External System Services; Supplier Assessments and Reviews | Crosswalk | SA-4: via GV.SC-06; GV.SC-07; DE.CM-06 SA-9: via GV.SC-04; GV.SC-06; GV.SC-07; DE.CM-06 SR-6: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 |
| HIPAA | §164.308(b)(1)§164.314(a) | Business Associate Contracts and Other Arrangements; Business Associate Contracts or Other Arrangements | Crosswalk | §164.308(b)(1): via NIST HIPAA map: SA-9 §164.314(a): via NIST HIPAA map: SA-4, SA-9 |
| GDPR | Art.28(1)Art.28(3) | Processor; Processor | Redazione | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.15.26.1 | Supply chain security policy; Directory of suppliers and service providers; Security in acquisition of ICT services, ICT systems or ICT products | Crosswalk | 5.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10; ENISA ISO map: A.5.19, A.5.20 5.2: via GV.SC-04; ENISA ISO map: A.5.22 6.1: via GV.SC-06; ID.RA-10 |
| Essential Eight | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di Essential Eight è mappato su questo argomento nei nostri dati. |
| DORA | Art.28(3)Art.28(4)Art.28(5)Art.30(2)Art.30(3)Art.28(8) | General principles; General principles; General principles… | Redazione | Art.28(3): A register of information on all contractual arrangements for ICT services. Art.28(4): Due diligence and risk assessment before contracting. Art.28(5): Contract only with providers that comply with appropriate information security standards. Art.30(2): Minimum contractual provisions for all ICT services. Art.30(3): Further provisions for critical or important functions, including audit rights, TLPT participation and exit. Art.28(8): Exit strategies and tested exit plans. |
| CPS 234 | Para 16Para 22Para 28Para 34 | Assess third parties' information security capability; Evaluate the design of third parties' controls; Check third parties' control testing is adequate… | Redazione | Para 16: Assess the security capability of third parties that manage information assets. Para 22: Evaluate the design of third parties' controls. Para 28: Check that third parties' control testing meets the entity's own standard. Para 34: Internal audit assesses third-party assurance it relies on. |
| Cyber Essentials | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di Cyber Essentials è mappato su questo argomento nei nostri dati. |
Definizione dell'argomento Risultati CSF 2.0 che definiscono questo tema · Crosswalk almeno una scelta supportata da una tabella di corrispondenza pubblicata · Redazione Giudizio di ControlMapping, con la motivazione · non mappato, condivide solo gli esiti CSF di questo argomento · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Metodologia.
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Mappatura errata o mancante? Segnalalo
Informazioni su Gestione del rischio dei fornitori
La gestione del rischio dei fornitori offre un approccio strutturato per valutare, integrare e monitorare in modo continuativo le pratiche di sicurezza di fornitori terzi, fornitori di beni e fornitori di servizi che trattano dati dell'organizzazione o hanno accesso ai sistemi. Il programma dovrebbe includere questionari di valutazione della sicurezza standardizzati, la verifica dei report SOC 2 e delle certificazioni ISO 27001, requisiti contrattuali di sicurezza comprensivi di clausole di diritto di audit e un monitoraggio continuo mediante servizi di rating della sicurezza o rivalutazioni periodiche. Poiché le organizzazioni fanno sempre più affidamento su servizi di terze parti, la gestione del rischio dei fornitori è diventata essenziale per mantenere la sicurezza lungo l'intera impresa estesa e per soddisfare i requisiti di conformità previsti da framework come SOC 2, PCI DSS e ISO 27001.