Sebagian besar bisnis tidak hanya mengandalkan sistem internal. Mereka berjalan di atas platform cloud, penyedia penggajian, alat pemasaran, mitra TI, dan puluhan akun SaaS yang membuat pekerjaan sehari-hari tetap berjalan. Setiap vendor memecahkan masalah, dan masing-masing juga menciptakan hubungan kepercayaan baru.

Manajemen risiko vendor (VRM) adalah proses menilai, menyetujui, memantau, dan meninjau risiko keamanan yang timbul dari bekerja dengan pihak ketiga. Ini membantu bisnis memahami vendor mana yang dapat mengakses sistem atau data sensitif, kontrol apa yang dimiliki vendor tersebut, apakah praktik keamanan mereka cukup baik untuk membenarkan akses tersebut, dan seberapa cepat akses dapat diubah jika kontrak berakhir atau terjadi insiden.

Kami akan menjelaskan cara menerapkan manajemen risiko vendor di bisnis Anda sendiri: cara menilai vendor yang sudah bekerja sama dengan Anda, cara mengklasifikasikan risiko vendor pihak ketiga, apa yang perlu disertakan dalam daftar periksa keamanan vendor, dan cara mengontrol kredensial vendor sebelum menjadi eksposur jangka panjang.

Apa yang dicakup manajemen risiko vendor

Panduan Anda untuk manajemen risiko vendor

Daftar periksa keamanan vendor Anda

Bagaimana Proton Pass for Business mendukung kontrol akses vendor

Apa yang dicakup manajemen risiko vendor

Manajemen risiko vendor didasarkan pada prinsip sederhana: setiap pihak eksternal yang menyentuh data, sistem, atau proses bisnis Anda mengubah profil risiko Anda.

Sebagian besar risiko vendor timbul dari pekerjaan sehari-hari. Misalnya, agensi pihak ketiga mungkin dibawa ke dalam jaringan bisnis karena tim membutuhkan kecepatan, keahlian, atau perangkat lunak yang tidak dimiliki bisnis secara internal. Akses diberikan, data dibagikan, dan hubungan terjalin sebagai bagian dari pekerjaan sehari-hari.

Risiko timbul ketika tidak jelas apa yang dapat diakses vendor tersebut, kontrol apa yang berdiri di antara akses tersebut dan pembobolan, seperti autentikasi multi-faktor (MFA), akun bernama, dan enkripsi, atau seberapa cepat akses tersebut dapat ditemukan dan diputus. Pencabutan biasanya terjadi di dalam sistem itu sendiri atau melalui penyediaan SCIM; bagian tersulit bagi sebagian besar bisnis adalah mengetahui di mana harus mencari.

Vendor bisa berupa penyedia cloud besar, platform SaaS khusus, pengembang lepas, atau firma akuntansi. Ukuran dan industri vendor bukan masalah utama. Akses merekalah yang utama.

Risiko vendor muncul dalam beberapa cara berbeda:

  • Risiko data: Vendor dapat melihat, menyimpan, memproses, mentransfer, atau menghapus data bisnis atau data pribadi.
  • Risiko akses: Vendor dapat masuk ke sistem, mengelola pengaturan, menggunakan integrasi, atau menjangkau panel admin.
  • Risiko operasional: Bisnis bergantung pada vendor untuk alur kerja penting, layanan, atau proses yang berhadapan langsung dengan pelanggan.
  • Risiko kepatuhan: Peran vendor memengaruhi kewajiban Anda berdasarkan undang-undang perlindungan data, seperti persyaratan kepatuhan GDPR, persyaratan kontraktual, atau persyaratan khusus sektor.
  • Risiko kredensial: Akses vendor dibagikan, digunakan ulang, tidak terdokumentasi, atau sulit dicabut.

Risiko vendor sulit dikenali karena sering kali terbentuk melalui pilihan akses kecil yang masuk akal pada saat itu: Anggota tim membagikan akses masuk yang seharusnya tidak mereka bagikan, atau akun pemasok mempertahankan izin demi kenyamanan, atau izin kontraktor yang tidak ditinjau kembali setelah proyek berakhir. Seiring waktu, pengecualian tersebut menjadi bagian dari lingkungan bisnis, bahkan ketika tidak ada yang secara aktif mengelolanya.

Cara membangun proses manajemen risiko vendor (VRM)

Jika dilakukan secara efektif, manajemen risiko vendor tidak membuat setiap keputusan menjadi lebih rumit. Ini menciptakan kerangka kerja yang andal tentang bagaimana bisnis Anda memberikan akses dengan batasan yang lebih jelas. Kami akan membahas langkah-langkah utama yang dapat diambil bisnis Anda untuk menilai risiko vendor Anda sendiri dan membangun strategi manajemen risiko.

1. Buat inventaris vendor Anda

Daripada membiarkan manajemen risiko vendor menjadi tugas reaktif saat Anda diminta bukti keamanan atau memperbarui kontrak, jadikan tugas proaktif. Mulailah dengan memahami vendor yang sudah ada dalam operasi Anda.

Membuat inventaris vendor tidak perlu rumit. Inventaris tersebut perlu cukup jelas untuk menunjukkan:

  • Siapa yang memiliki hubungan tersebut
  • Layanan apa yang disediakan vendor
  • Sistem atau data apa yang dapat mereka akses
  • Apakah data pribadi terlibat
  • Apakah subprosesor digunakan
  • Kapan kontrak atau tinjauan keamanan berikutnya jatuh tempo

Akses adalah komponen penting untuk dicatat karena vendor memiliki hak istimewa dan kebutuhan akses yang berbeda. Beberapa vendor menggunakan akun bernama. Yang lain mengandalkan kredensial bersama, akses admin, kunci API, kotak masuk bersama, atau akses masuk sementara yang tetap aktif jauh setelah kebutuhan awal terpenuhi. Perbedaan ini penting karena menentukan seberapa cepat akses dapat diubah selama offboarding atau insiden.

Inventaris juga harus mencakup vendor yang lebih kecil yang mungkin berada di luar pengadaan formal. Plugin, konsultan, pengembang lepas, agensi, atau layanan SaaS khusus dapat menciptakan eksposur yang berarti jika menyentuh data sensitif atau alur kerja penting.

Nilai utama inventaris adalah menciptakan kontrol akses yang lebih baik. Ketika hubungan dengan vendor berakhir, bisnis Anda mengetahui akun mana yang harus dinonaktifkan, kredensial mana yang harus dirotasi, integrasi mana yang harus dihapus, dan apa yang harus terjadi pada data yang tersimpan.

2. Klasifikasikan vendor berdasarkan risiko, bukan kenyamanan

Setelah memetakan vendor Anda, kelompokkan mereka berdasarkan risiko yang mereka timbulkan. Ini menjaga proses tetap proporsional dan menghindari memperlakukan setiap pemasok sebagai tidak berbahaya atau kritis.

Vendor berisiko tinggi biasanya memproses data sensitif, mendukung operasi penting, atau memiliki akses istimewa. Ini dapat mencakup infrastruktur cloud, platform identitas, penggajian, keuangan, sistem SDM, TI terkelola, layanan keamanan, atau platform SaaS inti.

Vendor berisiko sedang mendukung pekerjaan penting tetapi memiliki akses yang lebih terbatas. Mereka dapat mencakup platform kolaborasi, alat analitik, sistem manajemen proyek, perangkat lunak help desk, atau agensi dengan izin terbatas.

Vendor berisiko rendah memiliki sedikit atau tidak ada akses ke data sensitif atau sistem yang kritis bagi bisnis. Mereka tetap harus dicatat, tetapi tidak memerlukan kedalaman tinjauan yang sama kecuali peran mereka berubah.

Tingkat risiko harus mengikuti akses sebenarnya, bukan reputasi, ukuran, atau harga vendor. Platform yang sudah dikenal dapat menjadi berisiko tinggi jika menyimpan data sensitif. Kontraktor kecil dapat berisiko tinggi jika memiliki hak istimewa admin.

Gunakan tingkat risiko untuk memutuskan seberapa dalam menilai vendor, seberapa sering meninjau hubungan, dan kontrol minimum mana yang berlaku.

3. Tetapkan persyaratan keamanan sebelum akses diberikan

Penilaian vendor bekerja paling baik ketika bisnis mengetahui persyaratan minimumnya sebelum akses disetujui.

Untuk vendor berisiko tinggi, persyaratan tersebut harus mencakup kontrol yang melindungi data dan menjaga akses tetap akuntabel: MFA, enkripsi saat transit dan saat diam, kontrol akses berbasis peran, log audit, prosedur respons insiden, manajemen kerentanan, kontrol subprosesor, komitmen penghapusan data, dan perencanaan kesinambungan bisnis.

Bukti keamanan dapat mendukung tinjauan tersebut. ISO 27001, SOC 2, skema nasional seperti Cyber Essentials di Inggris, ringkasan uji penetrasi, atau whitepaper keamanan semuanya dapat membantu, tergantung pada peran vendor dan sensitivitas hubungan.

Sertifikasi dan laporan audit menjelaskan bagaimana vendor beroperasi. Namun, keduanya tidak banyak berbicara tentang siapa vendor sebenarnya. Investigasi terbaru terhadap keamanan Passwork membuktikan bahwa perbedaan ini penting: registrasi Eropa, situs web yang rapi, dan pesan “dibangun untuk kepercayaan” cukup untuk memenuhi standar di organisasi yang tidak pernah melacak kepemilikan, yurisdiksi, atau asal kode yang mereka pasang.

Untuk vendor mana pun yang memegang akses sensitif, dua pertanyaan harus disertakan bersama daftar periksa kontrol: siapa yang memiliki dan mengendalikan perusahaan, dan berdasarkan hukum negara mana perusahaan itu beroperasi; serta dapatkah para ahli independen memeriksa kode, atau apakah bisnis mempercayai sistem tertutup hanya berdasarkan kata-kata vendor?

Vendor berisiko sedang mungkin memerlukan tinjauan yang lebih ringan, tetapi mereka tetap harus dapat menjelaskan bagaimana mereka melindungi akun, membatasi akses karyawan, menangani data, memberi tahu pelanggan tentang insiden, dan menghapus akses saat hubungan berakhir.

Untuk vendor berisiko rendah, pemeriksaan utamanya mungkin apakah mereka benar-benar tidak memiliki akses ke sistem sensitif atau data pribadi. Jika itu berubah, vendor harus dinilai kembali.

Proses yang baik bersifat ketat ketika risiko tinggi dan ringan ketika risiko benar-benar rendah. Proses ini tidak boleh mengubah setiap tinjauan pemasok menjadi audit perusahaan, tetapi harus mencegah akses sensitif disetujui hanya berdasarkan kepercayaan.

4. Pantau vendor setelah onboarding

Vendor mengubah sistem, subprosesor, kebijakan, staf, dan kontrol keamanan mereka. Bisnis Anda juga dapat memberi mereka lebih banyak akses seiring waktu. Tanpa monitoring, penilaian awal Anda menjadi usang.

Proses monitoring yang praktis dapat mencakup tinjauan tahunan untuk vendor berisiko tinggi dan berisiko sedang, pemeriksaan sebelum pembaruan kontrak, penilaian ulang saat akses meluas, dan tinjauan setelah insiden yang dilaporkan. Vendor kritis mungkin memerlukan pemeriksaan akses yang lebih sering.

Monitoring harus mencakup lapisan kredensial. Periksa apakah akun vendor masih terkait dengan kontak aktif, apakah izin sesuai dengan cakupan saat ini, apakah kredensial bersama masih ada, dan apakah integrasi atau kunci API masih diperlukan.

Di sinilah banyak bisnis menemukan eksposur yang dapat dihindari: akun agensi lama, kredensial masuk kontraktor yang tidak digunakan, kata sandi bersama yang tidak dimiliki siapa pun, integrasi yang dibuat untuk proyek masa lalu, dan izin admin yang diberikan demi kenyamanan.

Risiko vendor juga termasuk dalam perencanaan kelangsungan usaha. Jika pemasok kritis menjadi tidak tersedia, melaporkan pembobolan, atau memaksa perubahan akses darurat, bisnis memerlukan cara agar pekerjaan penting tetap berjalan. Panduan Proton tentang strategi kelangsungan bisnis⁠ menjelaskan mengapa ketahanan bergantung pada lebih dari sekadar cadangan, terutama saat akses dan kredensial terlibat.

5. Kendalikan kredensial pihak ketiga

Banyak program risiko vendor terlihat solid di atas kertas, lalu gagal di tingkat kredensial. Vendor dapat terlihat patuh di atas kertas dan tetap menciptakan eksposur melalui cara akses ditangani sehari-hari.

Risiko tersebut terletak pada celah antara proses formal dan proses yang realistis: kredensial yang tersimpan di luar sistem yang disetujui, akun bersama tanpa pemilik yang jelas, atau kunci API yang tetap aktif setelah hubungan vendor berubah.

Jika jalur akses tersebut tidak ditinjau dan dicabut, bisnis mungkin terus menanggung risiko vendor lama setelah pekerjaan awal berakhir.

Akses pihak ketiga harus mengikuti disiplin yang sama dan menggunakan kebijakan kata sandi yang sama seperti akses internal:

  • Beri vendor hanya akses yang mereka butuhkan
  • Gunakan akun bernama jika memungkinkan
  • Hindari kredensial bersama kecuali tidak ada alternatif
  • Simpan kredensial bersama di sistem pengelolaan kredensial yang terkontrol
  • Bagikan file dengan vendor melalui penyimpanan cloud untuk bisnis yang terenkripsi dengan tautan kedaluwarsa, bukan lampiran email
  • Tinjau akses secara rutin
  • Cabut akses saat pekerjaan berakhir
  • Rotasi kredensial setelah perubahan staf vendor atau insiden
  • Wajibkan MFA di mana pun layanan mendukungnya

Pengelola kata sandi untuk bisnis membuat aturan ini mudah diterapkan. Ini memberi tim tempat aman untuk menyimpan kredensial vendor, membagikan akses tanpa mengirim kata sandi melalui chat atau email, merotasi kata sandi, dan menghapus akses saat hubungan vendor berakhir.

Daftar periksa keamanan vendor Anda

Daftar periksa keamanan vendor harus membantu bisnis Anda mengintegrasikan vendor baru dengan aman.

Gunakan untuk memahami hubungan tersebut secara jelas:

  • Data apa yang akan diakses, diproses, atau disimpan oleh vendor?
  • Apakah vendor akan memproses data pribadi atas nama kami?
  • Apakah vendor akan menandatangani perjanjian pemrosesan data (DPA) dan menghapus data kami saat kontrak berakhir?
  • Di mana data akan disimpan dan diproses?
  • Apakah vendor menggunakan subprosesor?
  • Apakah vendor menerapkan MFA?
  • Bagaimana vendor mengontrol akses karyawan ke data pelanggan?
  • Dapatkah bisnis kami menetapkan izin berbasis peran?
  • Dapatkah akses dihapus segera?
  • Apakah vendor menyediakan log audit atau laporan aktivitas admin?
  • Bagaimana vendor mengenkripsi data?
  • Seberapa cepat vendor akan memberi tahu kami tentang insiden keamanan?
  • Apakah vendor memiliki prosedur kelangsungan bisnis atau pemulihan bencana?
  • Dapatkah vendor menyediakan dokumentasi keamanan, sertifikasi, atau ringkasan audit?
  • Pernahkah vendor mengalami insiden keamanan yang dilaporkan secara publik, dan bagaimana mereka menanganinya?
  • Siapa yang memiliki dan mengendalikan perusahaan, dan di bawah yurisdiksi mana perusahaan beroperasi?
  • Apakah produknya open source atau diaudit secara independen, sehingga klaim keamanannya dapat diverifikasi?

Daftar periksa tersebut harus menampilkan risiko apa pun yang diterima bisnis Anda. Vendor yang tidak memiliki sertifikasi formal mungkin masih cocok untuk pekerjaan berisiko rendah. Vendor dengan akses admin, autentikasi lemah, linimasa insiden yang tidak jelas, atau proses penghapusan yang tidak jelas adalah keputusan yang sepenuhnya berbeda.

Untuk vendor yang sudah digunakan, bawa kembali daftar periksa saat pembaruan dan tinjauan terjadwal. Persetujuan awal mungkin tidak lagi mencerminkan cara alat tersebut digunakan saat ini. Vendor yang awalnya didatangkan untuk proyek kecil dapat diam-diam menjadi bagian dari operasi pelanggan, alur kerja keuangan, atau integrasi kritis.

Bagaimana Proton Pass for Business mendukung kontrol akses vendor

Pengelolaan risiko vendor menjadi jauh lebih sulit ketika akses pihak ketiga dikelola di luar sistem yang terkontrol. Vendor mungkin sudah disetujui, didokumentasikan, dan dilindungi kontrak, tetapi eksposur sebenarnya sering bergantung pada jalur akses sehari-hari: kredensial bersama, izin, kunci sandi, kode pemulihan, kunci API, dan akun yang perlu ditinjau atau dihapus saat hubungan berubah.

Pengelola kata sandi bisnis seperti Proton Pass for Business⁠ membantu bisnis membawa akses tersebut ke dalam proses yang lebih aman dan dapat diaudit. Tim dapat menyimpan kredensial vendor di brankas terenkripsi secara end-to-end, membuat kata sandi yang kuat dan unik, menggunakan isi otomatis untuk mengurangi penanganan manual, mengelola kunci sandi, dan membagikan akses tanpa mengirim kata sandi melalui email, chat, atau dokumen proyek.

Khusus untuk akses vendor, brankas bersama dapat membantu memisahkan kredensial berdasarkan pemasok, proyek, tim, atau tingkat sensitivitas. Ini memudahkan untuk menjaga akses tetap teratur, meninjau siapa yang memiliki akses ke apa, dan menghapus akses saat kontrak berakhir, kontak vendor berubah, atau insiden memerlukan penanganan cepat.

Pengelola kata sandi untuk tim TI⁠ menambahkan lapisan administratif yang diperlukan saat prosesnya menjadi lebih formal. Kebijakan, pelaporan, log, kontrol akses berbasis peran, penyediaan SCIM, dan integrasi single sign-on membantu bisnis mengelola akses secara konsisten di seluruh tim alih-alih mengandalkan kebiasaan individu.

Proton Pass for Business mendukung bisnis Anda dengan mengontrol kredensial dan jalur akses yang digunakan vendor untuk bekerja dengan bisnis Anda. Produk ini juga open source dan diaudit secara independen, sehingga lulus daftar periksa yang sama yang kami sarankan Anda terapkan pada vendor Anda sendiri. Ketika akses pemasok disimpan, dibagikan, ditinjau, dan dicabut dari lingkungan yang terkontrol, risiko vendor menjadi lebih mudah dikelola di luar penilaian awal.

Kontrol akses kredensial pihak ketiga secara aman dengan pengelola kata sandi bisnis⁠.