چگونه فروشندگان را وادار کنیم به ارزیابی ریسک پاسخ دهند (سریعتر)

یکی از ناامید کننده ترین چالش های مدیریت ریسک فروشنده، پیگیری پرسشنامه های امنیتی برجسته است. اما با برخی از استراتژی های عملیاتی هوشمندانه، هرگز نیازی به نگرانی در مورد ارزیابی ریسک با تاخیر نخواهید داشت که دوباره بر SLA های شما تأثیر می گذارد.

برای یادگیری نحوه تشویق فروشندگان خود به تکمیل سریعتر ارزیابی ریسک خود، ادامه مطلب را بخوانید.

از ویژگی های ارزیابی ریسک UpGuard >

6 نکته برای وادار کردن فروشندگان به پاسخگویی سریعتر به ارزیابی ریسک

دلایل زیادی وجود دارد که چرا فروشندگان در تکمیل ارزیابی ریسک شکست می خورند. گاهی اوقات به دلیل نگرش ضعیف نسبت به امنیت سایبری است، اما در بیشتر موارد، ترکیبی از درک ضعیف از استانداردهای مدیریت ریسک فروشنده و گردش کار ناکارآمد ارزیابی ریسک است. شش نکته زیر به دومی می پردازد.

1. یک بند TPRM را در تمام قراردادهای فروشنده بگنجانید

یک بند برنامه مدیریت ریسک شخص ثالث (یا برنامه مدیریت ریسک فروشنده) باید در تمام قراردادهای فروشنده، از جمله قراردادهای خدمات اصلی (MSAs)، قراردادهای همکاران تجاری (BSAs) یا هر قرارداد خدمات دیگری که توسط تیم پاسخگویی فروشنده شما استفاده می شود، گنجانده شود. بند TPRM یک شرط جداگانه برای بند حق حسابرسی سالانه در قراردادهای فروشنده است.

بند TPRM باید به وضوح نقش هر فروشنده را در فرآیند ارزیابی ریسک، از جمله انتظارات پاسخ به موقع به همه پرسشنامه های فروشنده، مشخص کند. بند TPRM نیازی به طولانی بودن ندارد. برای اطمینان از خواندن کل بند، بیش از یک خلاصه دو پاراگرافی را هدف قرار ندهید.

بند TPRM باید مختصر و قابل درک باشد. آن را با اصطلاحات حقوقی پیچیده نکنید.

اطلاعات جاری باید در بند TPRM شما مورد توجه قرار گیرد:

• انتظارات کلیدی از فروشنده - پاسخ سریع به پرسشنامه های امنیتی، تکمیل سریع درخواست های اصلاح و غیره.
• فهرستی از انواع ارزیابی ریسک شخص ثالث که فروشنده باید انتظار دریافت آن را داشته باشد - به عنوان مثال، ارزیابی های مبتنی بر چارچوب ها و مقررات محبوب مانند NIST، GDPR، HIPAA، ISO و سایر ارزیابی های راستی آزمایی.

الگوی ارزیابی ریسک فروشنده خود را دانلود کنید >

نمونه ای از بند TPRM

در اینجا نمونه ای از بندهای TPRM آورده شده است که شامل انتظار پاسخ ارزیابی به موقع است. این بند نسبت به عبارت اصلی خود در شرایط و ضوابط Foundation Medicine, Inc کمی تغییر یافته است.

تامین کننده باید یک برنامه مدیریت ریسک و کاهش مناسب برای تامین کنندگان حیاتی خود داشته باشد. تامین کننده معیارهای ریسک مربوطه را با خریدار به اشتراک می گذارد. در موارد منتخب، بنا به درخواست خریدار، تامین کننده با به اشتراک گذاشتن ارزیابی ریسک (ناشناس) و گزارش های حسابرسی شواهدی را در اختیار خریدار قرار می دهد. تامین کننده حداکثر تا X روز پس از دریافت آنها به ارزیابی ریسک پاسخ خواهد داد. ارزیابی های ریسک با برچسب "بحرانی" باید ظرف Y روز پاسخ داده شوند.

یک خلاصه دو پاراگرافی در هر سناریویی کافی نیست. فروشندگان سطح ریسک بالاتر با تأثیر بالقوه بیشتر بر وضعیت امنیتی شما نیاز به توضیح دقیق تری در مورد استانداردهای امنیت اطلاعات شخص ثالث شما دارند. برای این سناریوها، یک ضمیمه امنیت سایبری باید به قرارداد ضمیمه شود تا بند TPRM را تکمیل کند.

ضمیمه امنیت سایبری باید به تمام کنترل های امنیتی اجباری که یک فروشنده باید برای مجاز بودن یک مشارکت تجاری داشته باشد، ترسیم کند. این کسری کنترل امنیتی با ارزیابی اولیه فروشنده که امنیت داده ها، حریم خصوصی داده ها و سطوح عمومی ریسک امنیتی ذاتی را برای همه فروشندگان بالقوه تجزیه و تحلیل می کند، ارزیابی می شود.

درباره ارزیابی ریسک امنیت سایبری بیشتر بدانید >

اگر هر فروشنده احتمالی یا جدیدی در مورد انتظارات پاسخ ارزیابی ریسک شما نگرانی هایی را مطرح کند، باید پرچم های قرمز را بالا ببرد. تمایل به کمک به موفقیت برنامه مدیریت ریسک فروشنده مشتری، ویژگی فروشنده ای است که امنیت سایبری را جدی می گیرد. اگر یک فروشنده احتمالی نیاز به متقاعد شدن دارد که TPRM یا فرآیندهای ریسک انطباق را در گردش کار بررسی صلاحیت خود بگنجاند، احتمالا بهتر است از این رابطه اجتناب کنید.

2. روابط خود را با فروشندگان شخص ثالث خود توسعه دهید

درست مانند کارمندان شما، فروشندگان شخص ثالث شما باید احساس کنند که بخشی از تیم خود هستند تا به طور فعالانه در یک پروژه مشارکت کنند. هنگامی که ساده ترین و موثرترین راه برای توسعه یک رابطه تجاری قوی از طریق جهت گیری است که چرخه عمر فرآیند برنامه مدیریت ریسک فروشنده شما را خلاصه می کند. فروشندگان شما از شفافیت و هدف شما برای ساده سازی یکپارچه سازی فرآیند با برنامه های امنیتی خود قدردانی خواهند کرد.

در اینجا نمونه ای از یک برنامه جهت گیری برای فروشندگان جدید آورده شده است که می تواند به عنوان یک الگو استفاده شود.

خوش آمدید به برنامه

هدف: برقراری ارتباط با فروشنده جدید.

• تشریح انتظارات برنامه مدیریت ریسک فروشنده
• تمام استانداردهای مربوط به انطباق با مقررات را شناسایی کنید
• ارزیابی ریسک فروشنده و جدول زمانی پاسخ
• تمام فرآیندهای مربوط به راستی آزمایی را شناسایی کنید
• تمام نقاط تماس مربوطه را شناسایی کنید
• از فروشندگان بپرسید که چگونه می توانید به آسان تر شدن تلاش های امنیت سایبری آنها کمک کنید.

یادآوری های پاسخ دهنده

هدف: آگاه کردن فروشنده از فرآیند یادآوری شما برای ارزیابی ریسک ناقص.

• رسانه یادآوری (درون برنامه ای یا از طریق ایمیل) را مشخص کنید.
• تعداد یادآورهای ارسالی ارزیابی و فاصله زمانی بین آنها را مشخص کنید.
• SLA های خود را توضیح دهید
• نمونه هایی از هشدارهای SLA را که در پیام های یادآوری تعبیه می شوند ارائه دهید

خلاصه ریسک فاز 1: ارزیابی اولیه ریسک امنیتی

هدف: توضیح فرآیند ارزیابی ریسک برای فروشنده.

• درخواست گواهینامه های امنیتی
• تعیین سطح ریسک ذاتی و خطر نقض داده ها.

• تکمیل گزارش اطلاعات تهدید
• فروشندگان کم خطر را از فروشندگان مهم جدا کنید (مانند آنهایی که دسترسی بیشتری به داده های مشتری دارند).
• تحمل ریسک را برای هر فروشنده محاسبه کنید.
• گزارش خلاصه ریسک اولیه کامل
• توصیه های ریسک و کنترل را با ذینفعان به اشتراک بگذارید

خلاصه ریسک فاز 2: ارزیابی نهایی ریسک امنیتی

هدف: توضیح فرآیند اصلاح ریسک برای فروشنده.

• شناسایی آسیب پذیری های کلیدی که نیاز به نظارت دارند.
• توضیح دهید که چگونه اصلاح ریسک به صورت داخلی ردیابی می شود.

خلاصه ریسک فاز 3: به روز رسانی وضعیت بلوغ وضعیت وضعیت امنیتی

هدف: برای توضیح فرآیند ردیابی بهبود وضعیت امنیتی با فروشنده.

• پیگیری پیشرفت درخواست های اصلاح.
• اثربخشی تلاش های اصلاحی را با رتبه بندی های امنیتی تأیید کنید.
• رتبه بندی بحرانی فروشنده داخلی را بر اساس بهبود/عدم وجود وضعیت امنیتی تنظیم کنید.

درباره موتور رتبه بندی امنیتی UpGuard بیشتر بدانید >

این جهت گیری فرصتی است برای توضیح انتظارات ارزیابی ریسک خود با جزئیات بیشتر و پاسخ به هر گونه سوال در مورد آنها. این اطمینان حاصل می کند که سوء تفاهم از فرآیندهای مدیریت ریسک شما هرگز دلیل تأخیر در پاسخ ها نیست.

این فرآیند ارتباط اضافی فروشنده باید به وضوح به ذینفعان و تیم های تدارکات شما اطلاع داده شود، بنابراین هیچ شگفتی در مورد اطلاعات داخلی که با فروشندگان به اشتراک می گذارید وجود ندارد.

3. یک نقطه تماس داشته باشید

هنگام ارسال ارزیابی ریسک، نباید در مورد نقطه تماس امنیت سایبری هر فروشنده یاد بگیرید. این اطلاعات باید در طول فرآیند ورود فروشنده یا جلسه جهت گیری که در نکته قبلی ذکر شد درخواست شود و در بررسی های سالانه فروشنده شخص ثالث تأیید شود.

نقطه تماس شما باید یک فرد باشد، نه یک بخش امنیتی کامل، و تمام مکاتبات امنیتی فروشنده باید مستقیما به آن فرد ارسال شود، نه آدرس ایمیل عمومی بخش آنها.

یادگیری نحوه تکمیل سریعتر پرسشنامه های فروشنده >

4. از مکاتبات ایمیل خودداری کنید

صندوق ورودی ایمیل بدترین محیط برای ردیابی کارهای حساس به زمان است. ارتباطات ارزیابی ریسک شما باید به پلتفرمی ارسال شود که پیام های مهم شما را پایین نمی آورد و لیست رو به رشدی از پیام های امنیتی نامرتبط. یک کانال ارزیابی ریسک اختصاصی در Slack یک پله بالاتر از ایمیل است زیرا ارتباطات ریسک شخص ثالث را در یک کانال واحد ادغام می کند، اما ایده آل نیست - درخواست های مهم هنوز هم ممکن است در میان لیست پیام های رو به رشد از دست بروند.

روش ایده آل برای مدیریت ارتباطات ریسک فروشنده از طریق پیام های درون برنامه ای در یک پلت فرم مدیریت ریسک شخص ثالث است. مزیت این رویکرد این است که به شما امکان می دهد پاسخ به پرس و جوهای ریسک امنیتی خاص را ردیابی کنید و پاسخ های ارزیابی را به تأخیر بیندازید.

در اینجا نمونه ای از چنین قابلیت ارتباط درون برنامه ای در ویژگی مکاتبات پرسشنامه درون خطی در پلتفرم UpGuard آورده شده است.

یک تور خودراهنما از ریسک فروشنده توسط UpGuard >

5. فرآیند اعلان را خودکار کنید

ادغام هایی که گردش کار ارزیابی ریسک را بهینه می کنند، تکمیل ارزیابی ریسک را برای فروشندگان آسان تر می کند و آنها را تشویق می کند تا ارزیابی ها را سریعتر ارسال کنند. این ادغام ها با یک پلت فرم مدیریت ریسک شخص ثالث که دامنه کامل فرآیند ارزیابی ریسک را مدیریت می کند، بهترین عملکرد را دارد.

دو تعامل اعلان که معمولا در ابزارهای امنیت سایبری استفاده می شود، Jira و Zapier هستند.

ادغام های Jira ارسال و پیگیری درخواست های اصلاح ارزیابی ریسک را آسان تر می کند.

درباره ادغام Jira UpGuard بیشتر بدانید >

ادغام Zapier رویدادها را بر اساس اقدامات گردش کار ارزیابی ریسک خاص راه اندازی می کند. این ادغام بار اداری مرتبط با ارزیابی ریسک را به حداقل می رساند و به فروشندگان کمک می کند تا آنها را سریعتر تکمیل کنند.

درباره > یکپارچه سازی Zapier UpGuard بیشتر بدانید

6. ارزیابی ریسک را در اسرع وقت ارسال کنید

ارزیابی های ریسک در صورتی که در اسرع وقت برای فروشندگان ارسال شوند، بیشترین شانس تکمیل را در SLA دارند. برای فروشندگان جدید، این کار در حالت ایده آل باید در کنار فرآیندهای RFx انجام شود. برای فروشندگان موجود، درخواست های ارزیابی ریسک باید بلافاصله پس از تشخیص تخریب وضعیت امنیتی از ابزارهای نظارتی مانند اسکن های امنیتی یا افشای تهدیدات روز صفر، مانند آسیب پذیری های Spring4Shell و Log4J که زنجیره های تامین جهانی را ویران می کنند، دنبال کنند.

بیاموزید که چگونه فرآیند پرسشنامه فروشنده را ساده >

پلت فرم مدیریت ریسک فروشنده (VRM) UpGuard کل چرخه عمر ارزیابی ریسک شخص ثالث را هم برای تیم های امنیتی داخلی و هم برای فروشندگان شخص ثالث شما ساده می کند.

UpGuard با لیست رو به رشدی از ادغام های گردش کار، ابزار نظارت بر سطح حمله، و ویژگی نمایه مشترک که ثبت نام در پلتفرم را برای فروشندگان آسان تر می کند، کل گردش کار VRM را در یک پلتفرم واحد ساده می کند و ناامیدی های رایج فرآیند را که ارسال ارزیابی ریسک را به تاخیر می اندازد، از بین می برد.

UpGuard به طور مداوم ویژگی های موجود خود را بهبود می بخشد و قابلیت های جدیدی را برای کمک به مشتریان در بهبود بیشتر تجربه مدیریت ریسک فروشنده خود اضافه می کند. در میان مجموعه ویژگی های آن که چرخه عمر ارزیابی ریسک را کاهش می دهد، یک ویژگی AIEnhance وجود دارد که به فروشندگان اجازه می دهد تا پاسخ های ارزیابی واضح و جامعی را از ورودی متشکل از مجموعه ای از نقاط گلوله یا یک پیش نویس تقریبا نوشته شده - همه فقط با یک کلیک تولید کنند. با AIEhance، ارزیابی ریسک شما سریعتر و با کیفیت بالاتر تکمیل می شود و کارایی کلی برنامه مدیریت ریسک فروشنده شما را بهبود می بخشد.

ویژگی تکمیل خودکار هوش مصنوعی UpGuard یک تغییر دهنده قابل توجه بازی در فضای مدیریت ریسک فروشنده است. این ابزار با تولید پیشنهادات پاسخ بر اساس پرسشنامه های ارسال شده قبلی، زمانی را که فروشندگان صرف تکمیل پرسشنامه می کنند، کاهش می دهد.

با کاهش نیاز به حفظ یک مخزن به روز از پاسخ های پرسشنامه تاریخی در صفحات گسترده - و تمام فرآیندهای ناامید کننده و دستی مرتبط با این عمل، ویژگی تکمیل خودکار UpGuard زمان تکمیل پرسشنامه امنیتی را به شدت کاهش می دهد و کارایی کلی برنامه مدیریت ریسک فروشنده شما را بهبود می بخشد.

این ویدیو را برای بررسی ویژگی تکمیل خودکار هوش مصنوعی UpGuard تماشا کنید.