Управление рисками цепочки поставок
Управление киберрисками в цепочке поставок.
Тема Управление рисками цепочки поставок определена результатами NIST CSF 2.0: GV.SC-01 (A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders); GV.SC-03 (Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes); GV.SC-05 (Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties); GV.SC-09 (Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle); ID.RA-09 (The authenticity and integrity of hardware and software are assessed prior to acquisition and use). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, CIS v8.1, PCI DSS, 800-53 и NIS2. Редакционные материалы Сопоставлено редакторски в SOC 2, GDPR, DORA и CPS 234. Только косвенная связь в CMMC и HIPAA. Нет сопоставления в наших данных В наших данных нет сопоставления для Essential Eight и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders; Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes; Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties… | Определение темы | GV.SC-01 GV.SC-03 GV.SC-05 GV.SC-09 ID.RA-09 |
| ISO 27001 | A.5.19A.5.21 | Information security in supplier relationships; Managing information security in the ICT supply chain | Соответствия | A.5.19: via GV.SC-01; GV.SC-03; GV.SC-05; GV.SC-09; ID.RA-09; NIST 800-53 map: SR-2 A.5.21: via GV.SC-01; GV.SC-03; GV.SC-09; NIST 800-53 map: SR-2, SR-3 |
| CIS v8.1 | CIS 15.2 | Establish and Maintain a Service Provider Management Policy | Соответствия | CIS 15.2: via GV.SC-01 |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | Редакционные материалы | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 6.3.212.8.1 | Inventory of custom software and its components; List of third-party service providers kept | Соответствия | 6.3.2: via GV.SC-01; GV.SC-03; GV.SC-09 12.8.1: via GV.SC-01; GV.SC-05; GV.SC-09 |
| CMMC | RA.L2-3.11.1 | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (GV.SC-01, GV.SC-03, GV.SC-05, GV.SC-09, ID.RA-09) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| 800-53 | PM-30SR-2SR-3SR-11 | Supply Chain Risk Management Strategy; Supply Chain Risk Management Plan; Supply Chain Controls and Processes… | Соответствия | PM-30: via GV.SC-01; GV.SC-03; GV.SC-09 SR-2: via GV.SC-01; GV.SC-03; GV.SC-09 SR-3: via GV.SC-01; GV.SC-03; GV.SC-05; GV.SC-09 SR-11: via ID.RA-09 |
| HIPAA | §164.308(a)(1)§164.308(a)(1)(ii)(A)§164.308(a)(1)(ii)(B)§164.308(a)(3)§164.308(a)(3)(ii)(A)§164.308(a)(3)(ii)(B) | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (GV.SC-01, GV.SC-03, GV.SC-05, GV.SC-09, ID.RA-09) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| GDPR | Art.28(1) | Processor | Редакционные материалы | Art.28(1): No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.16.1 | Supply chain security policy; Security in acquisition of ICT services, ICT systems or ICT products | Соответствия | 5.1: via GV.SC-01; GV.SC-05; GV.SC-09; ENISA ISO map: A.5.19, A.5.21 6.1: via ID.RA-09; ENISA ISO map: A.5.21 |
| Essential Eight | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Essential Eight не сопоставлено с этой темой. |
| DORA | Art.28(2)Art.29(1)Art.29(2) | General principles; Preliminary assessment of ICT concentration risk at entity level; Preliminary assessment of ICT concentration risk at entity level | Редакционные материалы | Art.28(2): A strategy on ICT third-party risk, with a policy on ICT services supporting critical or important functions. Art.29(1): Assess ICT concentration risk before contracting, such as providers that aren't easily substitutable. Art.29(2): Weigh the risks of subcontracting chains, insolvency law and providers in third countries. |
| CPS 234 | Para 16Para 22 | Assess third parties' information security capability; Evaluate the design of third parties' controls | Редакционные материалы | Para 16: Assess the information security capability of related parties and third parties that manage information assets. Para 22: Evaluate the design of third parties' controls that protect the entity's information assets. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Управление рисками цепочки поставок»
Управление рисками цепочки поставок устраняет уязвимости безопасности, которые вносят сторонние поставщики аппаратного обеспечения, программного обеспечения и услуг, имеющие доступ к системам или данным организации. Организациям следует оценивать состояние безопасности поставщиков до начала сотрудничества, включать требования безопасности в договоры и отслеживать текущее соответствие с помощью опросников, аудитов или инструментов непрерывного мониторинга. Громкие атаки на цепочки поставок, такие как SolarWinds и MOVEit, показали, что даже организации с надёжно защищёнными системами могут быть скомпрометированы через доверительные отношения с поставщиками.