벤더 리스크 관리
제3자 벤더 및 서비스 제공업체로부터 발생하는 보안 리스크를 평가하고, 모니터링하며, 관리합니다.
벤더 리스크 관리은 NIST CSF 2.0의 GV.SC-04 (Suppliers are known and prioritized by criticality); GV.SC-06 (Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships); GV.SC-07 (The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship); ID.RA-10 (Critical suppliers are assessed prior to acquisition); DE.CM-06 (External service provider activities and services are monitored to find potentially adverse events) 결과들로 정의됩니다. 대응표 ISO 27001, CIS v8.1, PCI DSS, 800-53, HIPAA 및 NIS2의 공개 크로스워크를 통해 매핑됨. 편집 콘텐츠 SOC 2, GDPR, DORA 및 CPS 234에 편집 방식으로 매핑됨. CMMC에서 느슨하게만 관련됨. 보유 데이터에 매핑 없음 보유 데이터에 Essential Eight 및 Cyber Essentials에 대한 매핑이 없습니다.
| 프레임워크 | 요구사항 | 제목 | 링크 | 출처 / 사유 |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Suppliers are known and prioritized by criticality; Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships; The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship… | 주제 정의 | GV.SC-04 GV.SC-06 GV.SC-07 ID.RA-10 DE.CM-06 |
| ISO 27001 | A.5.19A.5.20A.5.22 | Information security in supplier relationships; Addressing information security within supplier agreements; Monitoring, review and change management of supplier services | 대응표 | A.5.19: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 A.5.20: via GV.SC-06; GV.SC-07; ID.RA-10; NIST 800-53 map: SA-4 A.5.22: via GV.SC-04; GV.SC-07; ID.RA-10; DE.CM-06; NIST 800-53 map: SA-9, SR-6 |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Establish and Maintain an Inventory of Service Providers; Assess Service Providers; Monitor Service Providers… | 대응표 | CIS 15.1: via GV.SC-04 CIS 15.5: via GV.SC-06 CIS 15.6: via GV.SC-07; DE.CM-06 CIS 15.3: via GV.SC-04 CIS 15.4: Service provider contracts must include security requirements. CIS 15.7: Securely decommission service providers: deactivate accounts, end data flows and dispose of data. |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | 편집 콘텐츠 | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | List of third-party service providers kept; Written agreements with service providers; Due diligence before engaging service providers… | 대응표 | 12.8.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.2: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.3: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.4: via GV.SC-04; GV.SC-07; DE.CM-06 12.8.5: via GV.SC-04; GV.SC-06; GV.SC-07 |
| CMMC | RA.L2-3.11.1CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6SI.L2-3.14.7 | 이 주제에 매핑되지 않음 | 이 요구사항들은 게시된 크로스워크를 통해서만 이 주제의 CSF 성과(GV.SC-04, GV.SC-06, GV.SC-07, ID.RA-10, DE.CM-06)를 공유합니다. 확인할 가치는 있으나 매핑은 아닙니다. | |
| 800-53 | SA-4SA-9SR-6 | Acquisition Process; External System Services; Supplier Assessments and Reviews | 대응표 | SA-4: via GV.SC-06; GV.SC-07; DE.CM-06 SA-9: via GV.SC-04; GV.SC-06; GV.SC-07; DE.CM-06 SR-6: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 |
| HIPAA | §164.308(b)(1)§164.314(a) | Business Associate Contracts and Other Arrangements; Business Associate Contracts or Other Arrangements | 대응표 | §164.308(b)(1): via NIST HIPAA map: SA-9 §164.314(a): via NIST HIPAA map: SA-4, SA-9 |
| GDPR | Art.28(1)Art.28(3) | Processor; Processor | 편집 콘텐츠 | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.15.26.1 | Supply chain security policy; Directory of suppliers and service providers; Security in acquisition of ICT services, ICT systems or ICT products | 대응표 | 5.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10; ENISA ISO map: A.5.19, A.5.20 5.2: via GV.SC-04; ENISA ISO map: A.5.22 6.1: via GV.SC-06; ID.RA-10 |
| Essential Eight | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Essential Eight 요구사항이 없습니다. |
| DORA | Art.28(3)Art.28(4)Art.28(5)Art.30(2)Art.30(3)Art.28(8) | General principles; General principles; General principles… | 편집 콘텐츠 | Art.28(3): A register of information on all contractual arrangements for ICT services. Art.28(4): Due diligence and risk assessment before contracting. Art.28(5): Contract only with providers that comply with appropriate information security standards. Art.30(2): Minimum contractual provisions for all ICT services. Art.30(3): Further provisions for critical or important functions, including audit rights, TLPT participation and exit. Art.28(8): Exit strategies and tested exit plans. |
| CPS 234 | Para 16Para 22Para 28Para 34 | Assess third parties' information security capability; Evaluate the design of third parties' controls; Check third parties' control testing is adequate… | 편집 콘텐츠 | Para 16: Assess the security capability of third parties that manage information assets. Para 22: Evaluate the design of third parties' controls. Para 28: Check that third parties' control testing meets the entity's own standard. Para 34: Internal audit assesses third-party assurance it relies on. |
| Cyber Essentials | — | 요구사항 없음 | 보유 데이터에 매핑 없음 | 보유 데이터에서 이 주제에 매핑된 Cyber Essentials 요구사항이 없습니다. |
주제 정의 이 주제를 정의하는 CSF 2.0 결과 · 대응표 공개된 크로스워크로 뒷받침되는 항목을 최소 하나 이상 선택 · 편집 콘텐츠 ControlMapping의 판단과 사유 · 매핑되지 않음, 이 주제의 CSF 성과만 공유함 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 방법론.
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
매핑이 잘못되었거나 누락되었나요? 신고하기
벤더 리스크 관리 소개
벤더 리스크 관리는 조직의 데이터를 처리하거나 시스템에 접근하는 제3자 벤더, 공급업체 및 서비스 제공업체의 보안 관행을 평가하고, 온보딩하며, 지속적으로 모니터링하기 위한 체계적인 접근 방식을 제공합니다. 이 프로그램에는 표준화된 보안 평가 설문지, SOC 2 보고서 및 ISO 27001 인증 검토, 감사 권한 조항을 포함한 계약상 보안 요구사항, 그리고 보안 등급 평가 서비스나 주기적인 재평가를 통한 지속적인 모니터링이 포함되어야 합니다. 조직이 제3자 서비스에 점점 더 의존함에 따라, 벤더 리스크 관리는 확장된 엔터프라이즈 전반의 보안을 유지하고 SOC 2, PCI DSS, ISO 27001과 같은 프레임워크에 따른 컴플라이언스 요구사항을 충족하는 데 필수적인 요소가 되었습니다.