بهترین شیوه های ارزیابی ریسک شخص ثالث در سال 2023

ارزیابی ریسک امنیت سایبری ناشی از فروشندگان و ارائه دهندگان خدمات شخص ثالث زمان بر، از نظر عملیاتی پیچیده و اغلب مملو از خطا است.

شما باید درخواست هایی را که ارسال می کنید پیگیری کنید، فروشندگانی را که پاسخ نداده اند تعقیب کنید و اطمینان حاصل کنید که وقتی پاسخ می دهند به موقع و دقیق پاسخ می دهند. همراه با پرسشنامه های ارزیابی ریسک فروشنده، سازمان ها به یک فرآیند جمع آوری اطلاعات استاندارد نیاز دارند که وضعیت امنیتی خارجی فروشندگان را در برابر استانداردهای صنعت، سیاست های امنیتی و شیوه های امنیتی تثبیت شده به طور دقیق ارزیابی کند.

هر برنامه مدیریت ریسک شخص ثالث قوی باید فرآیندها و دستورالعمل هایی را ایجاد کند که شامل فرآیند ورود فروشندگان، جمع آوری داده ها، بررسی پاسخ ها و درخواست اصلاح باشد.

خبر خوب این است که نرم افزاری وجود دارد که می تواند فرآیند را ساده کند. UpGuard Vendor Risk می تواند به شما کمک کند وضعیت امنیتی خارجی فروشندگان خود را در زمان واقعی نظارت کنید، ارزیابی های امنیتی را خودکار کنید و ریسک ها را اولویت بندی و اصلاح کنید.

بدون یک فرآیند ارزیابی واضح، CISO ها و تیم های مدیریت ریسک فروشنده با ایمیل های ثابت و صفحات گسترده متعددی که برای جمع آوری، تجزیه و تحلیل و اصلاح مسائل در سراسر زنجیره تامین استفاده می شوند، تحت فشار قرار می گیرند.

و همانطور که می دانید، هنگامی که تیم ها در پیچیدگی عملیاتی تحت تأثیر قرار می گیرند، بررسی دقیق به حاشیه می رود، فروشندگان پرخطر نادیده گرفته می شوند و اثربخشی برنامه امنیتی شما کاهش می یابد.

برای کمک به شما در توسعه فرآیندهای ارزیابی ریسک فروشنده، فهرستی از پنج روش برتر برای انجام پرسشنامه های ارزیابی ریسک شخص ثالث و مدیریت فروشنده را گردآوری کرده ایم.

بیاموزید که چگونه UpGuard مدیریت ریسک فروشنده را ساده >

نمونه کارها فروشنده شخص ثالث خود را درک کنید

قبل از اینکه بتوانید ارزیابی های فروشنده را ارسال کنید، باید موجودی دقیقی از تمام روابط شخص ثالث خود داشته باشید. بدون یکی، اندازه گیری دقیق سطح ریسک سایبری فروشندگان شما تقریبا غیرممکن است.

درک این نکته مهم است که حوادث امنیتی مربوط به فروشندگان می تواند منجر به نقض قابل توجه داده ها شود، حتی اگر داده های حساس را مدیریت نکنند. همانطور که در مورد Target دیدیم، حتی یک فروشنده غیر فنی مانند ارائه دهنده HVAC می تواند منجر به افشای بیش از 110 میلیون کارت اعتباری و داده های شخصی مصرف کننده شود.

به خاطر داشته باشید، فروشندگان لزوما مجبور نیستند همان اقدامات امنیت اطلاعات را مانند شما داشته باشند. شما فقط باید راحت باشید که آنها امنیت داده ها و کنترل های حفاظت از داده ها را در محل دارند.

الگوی ارزیابی ریسک فروشنده خود را دانلود کنید >

یک نقطه شروع خوب سرمایه گذاری در یک ابزار نظارت امنیتی خودکار مانند UpGuard Vendor Risk است که می تواند کنترل های امنیتی حیاتی فروشندگان شخص سوم و چهارم شما را پیگیری و به طور مداوم نظارت کند. این ابزارها نه تنها می توانند به شما در برقراری ارتباط با فروشندگان کمک کنند، بلکه می توانند با کمک به تعیین اینکه کدام فروشندگان بیشترین خطر را از طریق رتبه بندی های امنیتی خودکار و همیشه به روز دارند، به مقیاس بندی برنامه مدیریت ریسک فروشنده شما کمک کنند.

بیاموزید که چگونه تأثیر نقض های شخص ثالث را کاهش دهید.

یک الگوی پرسشنامه فروشنده پیدا کنید که برای شما مناسب باشد

هنگامی که موجودی از فروشندگان خود را دارید، باید در مورد نوع پرسشنامه مدیریت ریسک فروشنده که استفاده می کنید تصمیم بگیرید. این می تواند یکی از برترین پرسشنامه های ارزیابی فروشنده یا یک پرسشنامه سفارشی باشد.

اگر نیاز به رعایت مقرراتی مانند GDPR، LGPD، CCPA و غیره یا روندهای خاص صنعت مانند ISO 27001 و NIST SP 800-171 دارید، پرسشنامه های استاندارد عالی هستند. با این حال، برخی از سازمان ها به بینش عمیق تر TPRM و توسعه پرسشنامه های سفارشی نیاز دارند.

مشکل پرسشنامه های سفارشی این است که تکمیل آنها می تواند مشکل باشد زیرا فروشندگان اغلب می خواهند از پرسشنامه های گذشته برای پاسخ به پرسشنامه ها استفاده کنند.

صرف نظر از اینکه از چه پرسشنامه ای استفاده می کنید، باید توجه داشته باشید که فروشندگان باید پرسشنامه ها را زیاد پر کنند. به سرمایه گذاری در ابزاری فکر کنید که مدیریت پاسخ های فروشندگان را آسان می کند.

اگر مطمئن نیستید از کجا شروع کنید، الگوهای محبوب ارزیابی ریسک فروشنده عبارتند از:

  • کنترل های امنیتی حیاتی CIS (CIS First 5/CIS Top 20): کنترل های CIS برای دفاع سایبری موثر مجموعه ای از اقدامات اولویت بندی شده است که مجموعه ای عمیق از بهترین شیوه های خاص و عملی را برای کاهش رایج ترین حملات سایبری تشکیل می دهد. کنترل های CIS به بسیاری از چارچوب های انطباق اصلی مانند چارچوب امنیت سایبری NIST ، NIST 800-53 ، سری ISO 27000 و مقرراتی مانند PCI-DSS ، HIPAA ، NERC CIP و FISMA نقشه برداری می کند.
  • پرسشنامه ابتکار ارزیابی اجماع (CAIQ): پرسشنامه ابتکار ارزیابی اجماع (CAIQ) یک ارزیابی امنیتی است که توسط Cloud Security Alliance (CSA)، یک سازمان پیشرو که به تعریف و افزایش آگاهی از بهترین شیوه های رایانش ابری ایمن اختصاص دارد، ارائه می شود. CAIQ به مصرف کنندگان و حسابرسان ابری کمک می کند تا قابلیت های امنیت اطلاعات مراکز داده و ارائه دهندگان ابر را ارزیابی کنند.

  • ابزار ارزیابی فروشنده جامعه آموزش عالی (HECVAT/HECVAT Lite): ابزار ارزیابی فروشنده جامعه آموزش عالی (HECVAT) یک الگوی ارزیابی امنیتی است که سوالات امنیت اطلاعات آموزش عالی و حفاظت از داده ها و همچنین مسائل مربوط به خدمات ابری را برای سازگاری و سهولت استفاده تعمیم می دهد.

    نحوه انطباق با > HECVAT را بیاموزید

  • پرسشنامه ISO 27001: ISO/IEC 27001 یکی از شناخته شده ترین و پرکاربردترین استانداردهای امنیت اطلاعات است و بخشی از خانواده استانداردهای ISO/IEC 27000 است. توسط سازمان بین المللی استاندارد (ISO) و کمیسیون بین المللی الکتروتکنیک (IEC) منتشر می شود.
  • NIST SP 800-171: انتشارات ویژه NIST 800-171، حفاظت از اطلاعات طبقه بندی نشده کنترل شده در سیستم ها و سازمان های غیرفدرال (NIST SP 800-171) مجموعه ای از دستورالعمل ها را در اختیار آژانس های فدرال قرار می دهد که برای اطمینان از محرمانه، در دسترس بودن و بدون تغییر در سیستم ها و سازمان های غیرفدرال طراحی شده اند. با رعایت NIST SP 800-171، اکثر معیارهای NIST SP 800-53 را نیز برآورده خواهید کرد و انطباق با NIST SP 800-53 بخش عمده ای از انطباق FISMA و FedRAMP است.
  • پرسشنامه جمع آوری اطلاعات استاندارد (SIG/SIG-Lite): پرسشنامه جمع آوری اطلاعات استاندارد (SIG) برای انجام ارزیابی اولیه فروشندگان، جمع آوری اطلاعات برای تعیین نحوه مدیریت ریسک های امنیتی در 18 حوزه ریسک مختلف استفاده می شود. SIG توسط Shared Assessments توسعه یافته است و ابزاری جامع برای ارزیابی مدیریت ریسک امنیت سایبری، فناوری اطلاعات، حریم خصوصی، امنیت داده ها و تداوم کسب و کار است.
  • پرسشنامه VSA (VSA): پرسشنامه اتحاد امنیت فروشنده (VSA) توسط ائتلافی از شرکت های متعهد به بهبود امنیت اینترنت ایجاد شده است. برخلاف سایر پرسشنامه ها، فرآیند ارزیابی VSA با در نظر گرفتن فروشنده ایجاد شده است. تمرکز آن بر حذف سؤالات نامربوط و کاهش زمان لازم برای تکمیل پرسشنامه برای InfoSec و تیم های امنیتی است.
  • پرسشنامه استانداردهای امنیت داده های صنعت کارت پرداخت (PCI DSS): استانداردهای امنیت داده های صنعت کارت پرداخت (PCI-DSS) یک استاندارد امنیت اطلاعات و امنیت داده ها برای سازمان هایی است که کارت های اعتباری مارک دار را از طرح های اصلی کارت مدیریت می کنند.

راهنمای کامل ما را در مورد پرسشنامه های ارزیابی فروشنده برتر بخوانید >

این ویدیو را تماشا کنید تا بدانید چگونه UpGuard گردش کار ارزیابی ریسک را ساده می کند.

از ویژگی های ارزیابی ریسک UpGuard >

آنچه را که ارسال می کنید پیگیری کنید

در گذشته، پرسشنامه ها به راحتی در رگبار رفت و برگشت بین صندوق های ورودی گم می شدند یا به سادگی فایل های تکمیل شده اکسل را اشتباه می گذاشتند. به همین دلیل مهم است که یک سیستم متمرکز ایجاد کنید که در آن بتوانید به طور مداوم پیشرفت فروشندگان در پرسشنامه ها را نظارت و بررسی کنید.

>

نرم افزار مدیریت ریسک فروشنده خوب راهی ساده برای تماس با تیم شما در مورد هر گونه نگرانی و همچنین ارائه شواهد اضافی یا اثبات کنترل های امنیتی آنها در اختیار فروشندگان قرار می دهد.

علاوه بر این، توصیه می کنیم یک ضرب الاجل مشخص و یک پیگیری خودکار تعیین کنید تا شما و فروشنده دقیقا بدانید چه انتظاری دارید و چه زمانی.

بیاموزید که چگونه ریسک شخص ثالث را به ذینفعان منتقل کنید >

از فناوری برای ساده سازی فرآیندها استفاده کنید

پرسشنامه های ارزیابی ریسک جدید نیستند. احتمالا پرسشنامه هایی را از طریق ایمیل ارسال کرده اید و چندین صفحه گسترده اکسل را برای بررسی پاسخ ها مدیریت کرده اید. با این حال، فناوری هایی مانند UpGuard Vendor Risk می تواند به شما کمک کند تا فرآیندهای خود را افزایش دهید و به رایانه ها اجازه می دهد تا چیزها را برای شما پیگیری کنند.

یک ابزار خوب به شما و فروشندگان شخص ثالث شما می دهد:

  • راهی برای ارائه پاسخ، شواهد و پرسیدن هر سوالی که ممکن است در یک محیط متمرکز داشته باشند
  • راهی برای تفویض پاسخ به افراد جدید در سازمان ، بنابراین فرد صحیح می تواند به هر سوال پاسخ دهد.
  • ابزار نظارت مداوم (یا نظارت مداوم) بر تمام سطوح ریسک، در طول فرآیندهای بررسی دقیق و فراتر از آن.
  • راهی برای اصلاح و بحث در مورد مسائل، بررسی شواهد، و درخواست اطلاعات اضافی یا اثبات سؤالات خاص، به عنوان مثال چه سیاست های کنترل دسترسی دارید؟
استراتژی مدیریت ریسک شخص ثالث شما باید بتواند خطرات بالقوه فروشندگان جدید را قبل از ورود شناسایی کند. نظارت بر ریسک راستی آزمایی باید یک معیار اولیه در فرآیندهای مدیریت ریسک فروشنده باشد.

هرچه قابلیت استفاده از ابزار بهتر باشد، می توانید زمان بیشتری را صرف رفع خطرات با فروشندگان کنید تا تمرکز بر ریزه کاری جمع آوری داده ها.

برای دستیابی به سطحی از مدیریت شخص ثالث که مشارکت های جدید را به دست می آورد، به دنبال فرصت های اتوماسیون در زمینه هایی از چارچوب مدیریت ریسک باشید که به دلیل ناکارآمدی و تأثیرات بالقوه منفی بر توافق نامه های سطح خدمات (SLA) شناخته شده است. اخلالگرانی مانند استفاده از صفحات گسترده اکسل برای مدیریت پرسشنامه، ریسک های عملیاتی و مدیریت چرخه عمر فروشنده ضعیف، روابط فروشنده را تحت فشار قرار می دهد و توجه منفی مدیریت ارشد را می طلبد.

یادگیری نحوه مدیریت ریسک های ارائه دهنده خدمات >

UpGuard شامل بسیاری از ویژگی های طراحی شده برای فشرده سازی چرخه عمر ارزیابی ریسک است، از جمله AIEnhace - فناوری هوش مصنوعی که به فروشندگان کمک می کند تا پاسخ های واضح و جامعی را از ورودی متشکل از یک پیش نویس تقریبا نوشته شده یا نقاط گلوله تولید کنند.

AIEnhance توسط UpGuard

ویدیوی زیر را تماشا کنید تا بدانید UpGuard چگونه به ناامیدی های رایج روابط فروشنده رسیدگی می کند.

اعتماد کنید اما تأیید کنید

فقط به این دلیل که یک پرسشنامه امنیتی تکمیل شده دریافت کرده اید به این معنی نیست که کار شما انجام شده است. گام بعدی این است که پروفایل های ریسک را تأیید کنید تا صحت آنچه می گویند تأیید شود. در حالی که نمی توانید این کار را برای کنترل های امنیتی داخلی انجام دهید، مجموعه ای از نقاط داده قابل مشاهده خارجی وجود دارد که شما تأیید می کنید.

اسکن خودکار و رتبه بندی امنیتی UpGuard موارد زیر را بررسی می کند:

  • حساسیت به حملات مرد میانی
  • گواهینامه های SSL/TLS ناامن
  • تنظیمات SPF، DKIM و DMARC
  • امنیت حمل و نقل دقیق HTTP (HSTS)
  • جعل ایمیل و خطر فیشینگ
  • آسیب پذیری
  • حساسیت به بدافزار
  • امنیت شبکه
  • پورت های مدیریت باز غیر ضروری، پایگاه داده، برنامه، ایمیل و اشتراک گذاری فایل
  • قرار گرفتن در معرض نقض داده های شناخته شده و نشت داده ها
  • نرم افزارهای آسیب پذیر
  • دسترسی به HTTP
  • پیکربندی ایمن کوکی

برای ارزیابی کنترل های امنیت اطلاعات فروشندگان شما، UpGuard Vendor Risk می تواند با خودکارسازی پرسشنامه های فروشنده و ارائه الگوهای پرسشنامه فروشنده، مدت زمانی را که سازمان شما صرف ارزیابی کنترل های امنیت اطلاعات مرتبط و شخص ثالث می کند، به حداقل برساند.

ما همچنین می توانیم به شما کمک کنیم تا فورا فروشندگان فعلی و بالقوه خود را در برابر صنعت آنها محک بزنید، بنابراین می توانید ببینید که چگونه روی هم چیده می شوند.

برای ارزیابی خود، UpGuard BreachSight می تواند سازمان شما را برای 70+ کنترل امنیتی با ارائه یک رتبه بندی امنیت سایبری ساده و قابل درک نظارت کند و به طور خودکار اعتبارنامه های فاش شده و قرار گرفتن در معرض داده ها را در سطل های S3، سرورهای Rsync، مخازن GitHub و موارد دیگر شناسایی کند.

تخصص ما در روزنامه هایی مانند نیویورک تایمز، وال استریت ژورنال، بلومبرگ، واشنگتن، فوربس، رویترز و TechCrunch به نمایش درآمده است.

می توانید در مورد آنچه مشتریان ما می گویند در بررسی های گارتنر بیشتر بخوانید.