Управление рисками поставщиков
Оценка, мониторинг и управление рисками информационной безопасности, связанными с поставщиками третьих сторон и поставщиками услуг.
Тема Управление рисками поставщиков определена результатами NIST CSF 2.0: GV.SC-04 (Suppliers are known and prioritized by criticality); GV.SC-06 (Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships); GV.SC-07 (The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship); ID.RA-10 (Critical suppliers are assessed prior to acquisition); DE.CM-06 (External service provider activities and services are monitored to find potentially adverse events). Соответствия Сопоставлено по опубликованной таблице соответствия в ISO 27001, CIS v8.1, PCI DSS, 800-53, HIPAA и NIS2. Редакционные материалы Сопоставлено редакторски в SOC 2, GDPR, DORA и CPS 234. Только косвенная связь в CMMC. Нет сопоставления в наших данных В наших данных нет сопоставления для Essential Eight и Cyber Essentials.
| Стандарт | Требование | Название | Связь | Источник / основание |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Suppliers are known and prioritized by criticality; Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships; The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship… | Определение темы | GV.SC-04 GV.SC-06 GV.SC-07 ID.RA-10 DE.CM-06 |
| ISO 27001 | A.5.19A.5.20A.5.22 | Information security in supplier relationships; Addressing information security within supplier agreements; Monitoring, review and change management of supplier services | Соответствия | A.5.19: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 A.5.20: via GV.SC-06; GV.SC-07; ID.RA-10; NIST 800-53 map: SA-4 A.5.22: via GV.SC-04; GV.SC-07; ID.RA-10; DE.CM-06; NIST 800-53 map: SA-9, SR-6 |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Establish and Maintain an Inventory of Service Providers; Assess Service Providers; Monitor Service Providers… | Соответствия | CIS 15.1: via GV.SC-04 CIS 15.5: via GV.SC-06 CIS 15.6: via GV.SC-07; DE.CM-06 CIS 15.3: via GV.SC-04 CIS 15.4: Service provider contracts must include security requirements. CIS 15.7: Securely decommission service providers: deactivate accounts, end data flows and dispose of data. |
| SOC 2 | CC9.2 | Managing vendor and business partner risk | Редакционные материалы | CC9.2: AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | List of third-party service providers kept; Written agreements with service providers; Due diligence before engaging service providers… | Соответствия | 12.8.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.2: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.3: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 12.8.4: via GV.SC-04; GV.SC-07; DE.CM-06 12.8.5: via GV.SC-04; GV.SC-06; GV.SC-07 |
| CMMC | RA.L2-3.11.1CA.L2-3.12.3CM.L2-3.4.9SI.L2-3.14.6SI.L2-3.14.7 | Не сопоставлено с этой темой | Эти требования разделяют с темой только результаты CSF (GV.SC-04, GV.SC-06, GV.SC-07, ID.RA-10, DE.CM-06) через опубликованные кросс-маппинги: стоит проверить, но это не соответствие. | |
| 800-53 | SA-4SA-9SR-6 | Acquisition Process; External System Services; Supplier Assessments and Reviews | Соответствия | SA-4: via GV.SC-06; GV.SC-07; DE.CM-06 SA-9: via GV.SC-04; GV.SC-06; GV.SC-07; DE.CM-06 SR-6: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10 |
| HIPAA | §164.308(b)(1)§164.314(a) | Business Associate Contracts and Other Arrangements; Business Associate Contracts or Other Arrangements | Соответствия | §164.308(b)(1): via NIST HIPAA map: SA-9 §164.314(a): via NIST HIPAA map: SA-4, SA-9 |
| GDPR | Art.28(1)Art.28(3) | Processor; Processor | Редакционные материалы | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 5.15.26.1 | Supply chain security policy; Directory of suppliers and service providers; Security in acquisition of ICT services, ICT systems or ICT products | Соответствия | 5.1: via GV.SC-04; GV.SC-06; GV.SC-07; ID.RA-10; ENISA ISO map: A.5.19, A.5.20 5.2: via GV.SC-04; ENISA ISO map: A.5.22 6.1: via GV.SC-06; ID.RA-10 |
| Essential Eight | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Essential Eight не сопоставлено с этой темой. |
| DORA | Art.28(3)Art.28(4)Art.28(5)Art.30(2)Art.30(3)Art.28(8) | General principles; General principles; General principles… | Редакционные материалы | Art.28(3): A register of information on all contractual arrangements for ICT services. Art.28(4): Due diligence and risk assessment before contracting. Art.28(5): Contract only with providers that comply with appropriate information security standards. Art.30(2): Minimum contractual provisions for all ICT services. Art.30(3): Further provisions for critical or important functions, including audit rights, TLPT participation and exit. Art.28(8): Exit strategies and tested exit plans. |
| CPS 234 | Para 16Para 22Para 28Para 34 | Assess third parties' information security capability; Evaluate the design of third parties' controls; Check third parties' control testing is adequate… | Редакционные материалы | Para 16: Assess the security capability of third parties that manage information assets. Para 22: Evaluate the design of third parties' controls. Para 28: Check that third parties' control testing meets the entity's own standard. Para 34: Internal audit assesses third-party assurance it relies on. |
| Cyber Essentials | — | Нет требования | Нет сопоставления в наших данных | В наших данных ни одно требование Cyber Essentials не сопоставлено с этой темой. |
Определение темы Результаты CSF 2.0, определяющие эту тему · Соответствия как минимум один выбор, подтверждённый опубликованной таблицей соответствий · Редакционные материалы Суждение ControlMapping с указанием причины · не сопоставлено, есть только общие результаты CSF по этой теме · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Методология.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Ошибочное или отсутствующее сопоставление? Сообщить
О теме «Управление рисками поставщиков»
Управление рисками поставщиков обеспечивает структурированный подход к оценке, подключению и постоянному мониторингу практик информационной безопасности сторонних поставщиков, поставщиков комплектующих и поставщиков услуг, которые обрабатывают данные организации или имеют доступ к её системам. Программа должна включать стандартизированные анкеты для оценки безопасности, анализ отчётов SOC 2 и сертификатов ISO 27001, договорные требования к безопасности, в том числе положения о праве на аудит, а также постоянный мониторинг с помощью сервисов рейтингов безопасности или периодических повторных оценок. Поскольку организации всё больше полагаются на сторонние сервисы, управление рисками поставщиков стало необходимым для поддержания безопасности во всём расширенном контуре предприятия и для выполнения требований комплаенса в рамках стандартов вроде SOC 2, PCI DSS и ISO 27001.