Risco na cadeia de suprimentos
Gerenciar os riscos de segurança cibernética na cadeia de suprimentos.
Risco na cadeia de suprimentos é definido pelos resultados do NIST CSF 2.0 GV.SC-01 (A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders); GV.SC-03 (Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes); GV.SC-05 (Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties); GV.SC-09 (Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle); ID.RA-09 (The authenticity and integrity of hardware and software are assessed prior to acquisition and use). Correspondência Mapeado por meio de um crosswalk publicado em ISO 27001, CIS v8.1, PCI DSS, 800-53 e NIS2. Editorial Mapeado editorialmente em SOC 2, GDPR, DORA e CPS 234. Apenas vagamente relacionado em CMMC e HIPAA. Sem mapeamento em nossos dados Sem mapeamento em nossos dados para Essential Eight e Cyber Essentials.
| Framework | Requisito | Título | Vínculo | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders; Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes; Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties… | Definição do tópico | GV.SC-01 GV.SC-03 GV.SC-05 GV.SC-09 ID.RA-09 |
| ISO 27001 | A.5.19A.5.21 | Information security in supplier relationships; Managing information security in the ICT supply chain | Correspondência | A.5.19: via GV.SC-01; GV.SC-03; GV.SC-05; GV.SC-09; ID.RA-09; NIST 800-53 map: SR-2 A.5.21: via GV.SC-01; GV.SC-03; GV.SC-09; NIST 800-53 map: SR-2, SR-3 |
| CIS v8.1 | CIS 15.2 | Establish and Maintain a Service Provider Management Policy | Correspondência | CIS 15.2: via GV.SC-01 |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | Editorial | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.212.8.1 | Inventory of custom software and its components; List of third-party service providers kept | Correspondência | 6.3.2: via GV.SC-01; GV.SC-03; GV.SC-09 12.8.1: via GV.SC-01; GV.SC-05; GV.SC-09 |
| CMMC | RA.L2-3.11.1 | Não mapeado para este tema | Esses requisitos compartilham apenas os resultados do CSF deste tópico (GV.SC-01, GV.SC-03, GV.SC-05, GV.SC-09, ID.RA-09) por meio de crosswalks publicados: vale verificar, mas não é um mapeamento. | |
| 800-53 | PM-30SR-2SR-3SR-11 | Supply Chain Risk Management Strategy; Supply Chain Risk Management Plan; Supply Chain Controls and Processes… | Correspondência | PM-30: via GV.SC-01; GV.SC-03; GV.SC-09 SR-2: via GV.SC-01; GV.SC-03; GV.SC-09 SR-3: via GV.SC-01; GV.SC-03; GV.SC-05; GV.SC-09 SR-11: via ID.RA-09 |
| HIPAA | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B) | Não mapeado para este tema | Esses requisitos compartilham apenas os resultados do CSF deste tópico (GV.SC-01, GV.SC-03, GV.SC-05, GV.SC-09, ID.RA-09) por meio de crosswalks publicados: vale verificar, mas não é um mapeamento. | |
| GDPR | Art.28(1) | Processor | Editorial | Art.28(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.16.1 | Supply chain security policy; Security in acquisition of ICT services, ICT systems or ICT products | Correspondência | 5.1: via GV.SC-01; GV.SC-05; GV.SC-09; ENISA ISO map: A.5.19, A.5.21 6.1: via ID.RA-09; ENISA ISO map: A.5.21 |
| Essential Eight | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Essential Eight está mapeado para este tema em nossos dados. |
| DORA | Art.28(2)Art.29(1)Art.29(2) | General principles; Preliminary assessment of ICT concentration risk at entity level; Preliminary assessment of ICT concentration risk at entity level | Editorial | Art.28(2): A strategy on ICT third-party risk, with a policy on ICT services supporting critical or important functions. Art.29(1): Assess ICT concentration risk before contracting, such as providers that aren't easily substitutable. Art.29(2): Weigh the risks of subcontracting chains, insolvency law and providers in third countries. |
| CPS 234 | Para 16Para 22 | Assess third parties' information security capability; Evaluate the design of third parties' controls | Editorial | Para 16: Assess the information security capability of related parties and third parties that manage information assets. Para 22: Evaluate the design of third parties' controls that protect the entity's information assets. |
| Cyber Essentials | — | Nenhum requisito | Sem mapeamento em nossos dados | Nenhum requisito de Cyber Essentials está mapeado para este tema em nossos dados. |
Definição do tópico Resultados do CSF 2.0 que definem este tópico · Correspondência pelo menos uma escolha respaldada por um crosswalk publicado · Editorial Juízo editorial da ControlMapping, com a justificação · não mapeado, compartilha apenas os resultados do CSF deste tópico · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Metodologia.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Mapeamento incorreto ou ausente? Reportar
Sobre Risco na cadeia de suprimentos
A gestão de riscos da cadeia de suprimentos trata das vulnerabilidades de segurança introduzidas por fornecedores terceirizados de hardware, software e serviços que têm acesso aos sistemas ou dados da organização. As organizações devem avaliar a postura de segurança dos fornecedores antes da contratação, incluir requisitos de segurança nos contratos e monitorar a conformidade contínua por meio de questionários, auditorias ou ferramentas de monitoramento contínuo. Ataques de grande repercussão à cadeia de suprimentos, como os casos da SolarWinds e da MOVEit, demonstraram que até organizações bem protegidas podem ser comprometidas por meio de relações de confiança com fornecedores.