Majoritatea afacerilor nu se bazează doar pe sisteme interne. Ele funcționează pe platforme cloud, furnizori de salarizare, instrumente de marketing, parteneri IT și zeci de conturi SaaS care mențin activitatea zilnică. Fiecare furnizor rezolvă o problemă și fiecare creează și o nouă relație de încredere.
Gestionarea riscurilor asociate furnizorilor (VRM) este procesul de evaluare, aprobare, monitorizare și revizuire a riscurilor de securitate care apar din colaborarea cu terți. Ajută afacerile să înțeleagă ce furnizori pot accesa sisteme sau date sensibile, ce controale au acești furnizori implementate, dacă practicile lor de securitate sunt suficient de solide pentru a justifica accesul respectiv și cât de repede poate fi modificat accesul dacă un contract se încheie sau are loc un incident.
Vom explica cum să abordați gestionarea riscurilor asociate furnizorilor în propria afacere: cum să evaluați furnizorii cu care lucrați deja, cum să clasificați riscurile furnizorilor terți, ce să includeți într-o listă de verificare pentru securitatea furnizorilor și cum să controlați acreditările furnizorilor înainte de a deveni o expunere pe termen lung.
Ce acoperă gestionarea riscurilor asociate furnizorilor
Ghidul dumneavoastră pentru gestionarea riscurilor asociate furnizorilor
Lista de verificare pentru securitatea furnizorilor
Cum sprijină Proton Pass for Business controlul accesului furnizorilor
Ce acoperă gestionarea riscurilor asociate furnizorilor
Gestionarea riscurilor asociate furnizorilor se bazează pe un principiu simplu: fiecare parte externă care atinge datele, sistemele sau procesele de business vă modifică profilul de risc.
Majoritatea riscurilor asociate furnizorilor apar din activitatea de zi cu zi. De exemplu, o agenție terță poate fi adusă într-o rețea de afaceri pentru că o echipă are nevoie de rapiditate, expertiză sau software pe care afacerea nu îl are intern. Accesul este acordat, datele sunt partajate, iar relația se stabilește ca parte a activității de zi cu zi.
Riscul apare atunci când nu este clar ce poate accesa furnizorul respectiv, ce controale stau între acel acces și o încălcare, precum autentificarea multi-factor (MFA), conturile nominale, criptarea, sau cât de repede ar putea fi găsit și întrerupt acel acces. Revocarea se face de obicei în cadrul sistemului sau prin provisionare SCIM; partea dificilă pentru majoritatea afacerilor este să știe unde să caute de fapt.
Furnizorul poate fi un mare furnizor de cloud, o platformă SaaS de nișă, un dezvoltator independent sau o firmă de contabilitate. Mărimea și sectorul furnizorului nu sunt problema principală. Accesul acestuia este.
Riscul asociat furnizorilor se manifestă în mai multe moduri diferite:
- Risc privind datele: furnizorul poate vizualiza, stoca, prelucra, transfera sau șterge date de afaceri sau date personale.
- Risc de acces: furnizorul se poate conecta la sisteme, poate gestiona setări, poate folosi integrări sau poate ajunge la panouri de administrare.
- Risc operațional: afacerea depinde de furnizor pentru un flux de lucru critic, un serviciu sau un proces orientat către client.
- Risc de conformitate: rolul furnizorului afectează obligațiile dumneavoastră care decurg din legile privind protecția datelor, cum ar fi cerințele de conformitate GDPR, din contracte sau din reglementări specifice sectorului.
- Risc privind acreditările: accesul furnizorilor este partajat, reutilizat, nedocumentat sau dificil de revocat.
Riscul asociat furnizorilor este greu de identificat pentru că adesea se acumulează prin mici decizii privind accesul care par rezonabile la momentul respectiv: un membru al echipei partajează o conectare pe care nu ar trebui, un cont de furnizor păstrează permisiuni din comoditate sau o permisiune de contractor pe care nimeni nu o revizuiește după încheierea proiectului. În timp, aceste excepții devin parte din mediul de afaceri, chiar dacă nimeni nu le gestionează în mod activ.
Cum să construiți un proces de gestionare a riscurilor asociate furnizorilor (VRM)
Atunci când este făcută eficient, gestionarea riscurilor asociate furnizorilor nu face fiecare decizie mai complicată. Creează un cadru fiabil pentru modul în care afacerea dumneavoastră acordă acces cu limite mai clare. Vom explora pașii esențiali pe care îi poate urma afacerea dumneavoastră pentru a-și evalua propriul risc asociat furnizorilor și pentru a construi o strategie de gestionare a riscurilor.
1. Realizați un inventar al furnizorilor dumneavoastră
În loc să lăsați gestionarea riscurilor asociate furnizorilor să devină o sarcină reactivă atunci când vi se cer dovezi privind securitatea sau când reînnoiți un contract, transformați-o într-o sarcină proactivă. Începeți prin a înțelege furnizorii care fac deja parte din operațiunile dumneavoastră.
Realizarea unui inventar al furnizorilor nu trebuie să fie complexă. Trebuie să fie suficient de clară pentru a arăta:
- Cine deține relația
- Ce serviciu oferă furnizorul
- Ce sisteme sau date pot accesa
- Dacă sunt implicate date personale
- Dacă se folosesc subprocesatori
- Când este scadent următorul contract sau următoarea verificare de securitate
Accesul este o componentă crucială de înregistrat, deoarece furnizorii au privilegii și nevoi de acces diferite. Unii furnizori folosesc conturi nominale. Alții se bazează pe acreditări partajate, acces de administrator, chei API, căsuțe poștale partajate sau conectări temporare care rămân active mult după ce nevoia inițială a trecut. Aceste diferențe contează pentru că determină cât de repede poate fi modificat accesul în timpul offboardingului sau al unui incident.
Inventarul ar trebui să includă și furnizori mai mici care pot fi în afara procesului formal de achiziții. Un plugin, un consultant, un dezvoltator independent, o agenție sau un serviciu SaaS specializat pot crea o expunere semnificativă dacă ating date sensibile sau fluxuri de lucru critice.
Principalul beneficiu al unui inventar este crearea unor controale de acces mai bune. Când o relație cu un furnizor se încheie, afacerea dumneavoastră știe ce conturi să dezactiveze, ce acreditări să rotească, ce integrări să elimine și ce ar trebui să se întâmple cu datele stocate.
2. Clasificați furnizorii după risc, nu după comoditate
După ce ați cartografiat furnizorii, grupați-i în funcție de riscul pe care îl creează. Astfel, procesul rămâne proporțional și se evită tratarea fiecărui furnizor ca fiind fie inofensiv, fie critic.
Furnizorii cu risc ridicat prelucrează de obicei date sensibile, sprijină operațiuni esențiale sau dețin acces privilegiat. Aceștia pot include infrastructură cloud, platforme de identitate, salarizare, finanțe, sisteme de resurse umane, servicii IT gestionate, servicii de securitate sau platforme SaaS principale.
Furnizorii cu risc moderat sprijină activități importante, dar au un acces mai restrâns. Aceștia pot include platforme de colaborare, instrumente de analiză, sisteme de gestionare a proiectelor, software de help desk sau agenții cu permisiuni limitate.
Furnizorii cu risc scăzut au acces redus sau deloc la date sensibile ori la sisteme critice pentru afacere. Aceștia ar trebui totuși înregistrați, dar nu au nevoie de aceeași profunzime de verificare decât dacă rolul lor se schimbă.
Nivelul ar trebui să reflecte accesul real, nu reputația, mărimea sau prețul furnizorului. O platformă cunoscută poate deveni cu risc ridicat dacă stochează date sensibile. Un contractor mic poate avea risc ridicat dacă deține privilegii de administrator.
Folosiți nivelul de risc pentru a decide cât de aprofundat să evaluați furnizorul, cât de des să revizuiți relația și ce controale minime se aplică.
3. Stabiliți cerințele de securitate înainte de acordarea accesului
Evaluările furnizorilor funcționează cel mai bine atunci când afacerea își cunoaște cerințele minime înainte de aprobarea accesului.
Pentru furnizorii cu risc ridicat, aceste cerințe ar trebui să acopere controalele care protejează datele și mențin accesul responsabil: MFA, criptare în tranzit și în repaus, control al accesului bazat pe roluri, jurnale de audit, proceduri de răspuns la incidente, gestionarea vulnerabilităților, controale privind subprocesatorii, angajamente de ștergere a datelor și planificare a continuității afacerii.
Dovezile privind securitatea pot sprijini această verificare. ISO 27001, SOC 2, scheme naționale precum Cyber Essentials în Regatul Unit, rezumate ale testelor de penetrare sau documente tehnice privind securitatea pot fi toate utile, în funcție de rolul furnizorului și de sensibilitatea relației.
Certificările și rapoartele de audit descriu modul în care funcționează un furnizor. Ele spun mult mai puțin despre cine este de fapt furnizorul. O investigație recentă privind siguranța Passwork demonstrează că această distincție contează: o înregistrare europeană, un site web îngrijit și un mesaj „construit pentru încredere” au fost suficiente pentru a trece pragul la organizații care nu au verificat niciodată proprietatea, jurisdicția sau originea codului pe care îl instalau.
Pentru orice furnizor care deține acces la date sensibile, două întrebări ar trebui să însoțească lista de verificare a controalelor: cine deține și controlează compania și conform legilor cărei țări funcționează; și pot experții independenți inspecta codul sau afacerea are încredere într-un sistem închis doar pe baza promisiunii furnizorului?
Furnizorii cu risc moderat pot avea nevoie de o verificare mai ușoară, dar ar trebui totuși să poată explica cum protejează conturile, restricționează accesul angajaților, gestionează datele, notifică clienții cu privire la incidente și elimină accesul atunci când relația se încheie.
Pentru furnizorii cu risc scăzut, principala verificare poate fi dacă aceștia nu au într-adevăr acces la sisteme sensibile sau la date personale. Dacă acest lucru se schimbă, furnizorul ar trebui reevaluat.
Un proces bun este strict acolo unde riscul este ridicat și lejer acolo unde riscul este cu adevărat scăzut. Nu ar trebui să transforme fiecare verificare a furnizorilor într-un audit de întreprindere, dar ar trebui să împiedice aprobarea accesului la date sensibile doar pe bază de încredere.
4. Monitorizați furnizorii după onboarding
Furnizorii își schimbă sistemele, subprocesatorii, politicile, personalul și controalele de securitate. Afacerea dumneavoastră le poate acorda, de asemenea, mai multe drepturi de accesare în timp. Fără monitorizare, evaluarea inițială devine depășită.
Un proces practic de monitorizare poate include evaluări anuale pentru furnizorii cu risc ridicat și moderat, verificări înainte de reînnoirea contractului, reevaluare atunci când accesarea se extinde și revizuire după orice incident raportat. Furnizorii critici pot necesita verificări de accesare mai frecvente.
Monitorizarea ar trebui să includă și nivelul acreditărilor. Verificați dacă conturile furnizorilor mai aparțin unor persoane de contact active, dacă permisiunile corespund domeniului actual, dacă mai există acreditări partajate și dacă integrările sau cheile API mai sunt necesare.
Aici multe afaceri descoperă expunere evitabilă: conturi vechi de agenții, conectări de contractori nefolosite, parole partajate pe care nu le deține nimeni, integrări create pentru un proiect trecut și permisiuni de administrator acordate din comoditate.
Riscul legat de furnizori face parte și din planificarea continuității. Dacă un furnizor critic devine indisponibil, raportează o încălcare sau impune modificări de accesare de urgență, afacerea are nevoie de o modalitate de a menține activitatea esențială în mișcare. Ghidul Proton despre strategii de continuitate a afacerii explică de ce reziliența depinde de mai mult decât backupurile, mai ales când sunt implicate accesarea și acreditările.
5. Controlul acreditărilor terților
Multe programe de gestionare a riscului furnizorilor par solide pe hârtie, dar nu rezistă la nivelul acreditărilor. Un furnizor poate părea conform pe hârtie și totuși poate crea expunere prin modul în care este gestionată accesarea de zi cu zi.
Riscul există în diferența dintre procesul formal și cel realist: acreditări stocate în afara sistemelor aprobate, conturi partajate fără un proprietar clar sau chei API care rămân active după ce relația cu furnizorul se schimbă.
Dacă acele căi de accesare nu sunt revizuite și revocate, afacerea poate continua să suporte riscul legat de furnizori mult timp după ce activitatea inițială s-a încheiat.
Accesarea de către terți ar trebui să respecte aceeași disciplină și să utilizeze aceleași politici de parole ca accesarea internă:
- Acordați furnizorilor doar accesarea de care au nevoie
- Utilizați conturi nominale acolo unde este posibil
- Evitați acreditările partajate dacă nu există alternativă
- Stocați acreditările partajate într-un sistem controlat de gestionare a acreditărilor
- Partajați fișiere cu furnizorii prin stocare în cloud pentru afaceri criptată, cu linkuri care expiră, nu prin atașamente de e-mail
- Revizuiți accesarea în mod regulat
- Revocați drepturile de accesare când activitatea se încheie
- Rotiți acreditările după schimbările de personal ale furnizorului sau incidente
- Solicitați MFA oriunde serviciul îl acceptă
Un manager de parole pentru afaceri face aceste reguli ușor de implementat. Oferă echipelor un loc sigur pentru stocarea acreditărilor furnizorilor, partajarea accesării fără trimiterea parolelor prin chat sau e-mail, rotirea parolelor și eliminarea accesării când relația cu un furnizor se încheie.
Lista de verificare pentru securitatea furnizorilor
O listă de verificare pentru securitatea furnizorilor ar trebui să ajute afacerea dumneavoastră să integreze în siguranță furnizori noi.
Folosiți-o pentru a înțelege clar relația:
- Ce date va accesa, prelucra sau stoca furnizorul?
- Va prelucra furnizorul date personale în numele nostru?
- Va semna furnizorul un acord de prelucrare a datelor (DPA) și va șterge datele noastre la încheierea contractului?
- Unde vor fi stocate și prelucrate datele?
- Folosește furnizorul subprocesatori?
- Impune furnizorul MFA?
- Cum controlează furnizorul accesarea datelor clienților de către angajați?
- Poate afacerea noastră să atribuie permisiuni bazate pe roluri?
- Poate fi eliminată accesarea imediat?
- Oferă furnizorul jurnale de audit sau rapoarte privind activitatea administratorilor?
- Cum criptează furnizorul datele?
- Cât de repede ne va notifica furnizorul cu privire la un incident de securitate?
- Are furnizorul proceduri de continuitate a afacerii sau de recuperare în caz de dezastru?
- Poate furnizorul să ofere documentație de securitate, certificări sau rezumate de audit?
- A fost implicat furnizorul într-un incident de securitate raportat public și cum l-a gestionat?
- Cine deține și controlează compania și sub ce jurisdicție își desfășoară activitatea?
- Produsul este cu cod sursă public sau auditat independent, astfel încât afirmațiile sale privind securitatea să poată fi verificate?
Lista de verificare ar trebui să arate orice risc pe care și-l asumă afacerea dumneavoastră. Un furnizor care nu are certificare formală poate fi totuși potrivit pentru activități cu risc scăzut. Un furnizor cu drepturi de accesare de administrator, autentificare slabă, termene vagi pentru incidente sau fără un proces clar de ștergere reprezintă o cu totul altă decizie.
Pentru furnizorii deja utilizați, reveniți la listă de verificare la reînnoiri și evaluări programate. Aprobarea inițială poate să nu mai reflecte modul în care instrumentul este utilizat astăzi. Un furnizor adus pentru un proiect mic poate deveni, fără să se observe, parte din operațiunile cu clienții, fluxurile financiare sau integrările critice.
Cum sprijină Proton Pass for Business controlul accesării furnizorilor
Gestionarea riscului furnizorilor devine mult mai dificilă atunci când accesarea terților este gestionată în afara unui sistem controlat. Un furnizor poate fi aprobat, documentat și acoperit printr-un contract, dar expunerea reală depinde adesea de căile de accesare cotidiene: acreditări partajate, permisiuni, chei de acces, coduri de recuperare, chei API și conturi care trebuie revizuite sau eliminate pe măsură ce relația se schimbă.
Un manager de parole pentru afaceri precum Proton Pass for Business ajută afacerile să aducă acea accesare într-un proces mai sigur și auditabil. Echipele pot stoca acreditările furnizorilor în seifuri criptate de la un capăt la altul, pot genera parole puternice și unice, pot folosi completarea automată pentru a reduce manipularea manuală, pot gestiona chei de acces și pot partaja accesarea fără a trimite parole prin e-mail, chat sau documente de proiect.
Pentru accesarea furnizorilor în special, seifurile partajate pot ajuta la separarea acreditărilor în funcție de furnizor, proiect, echipă sau nivel de sensibilitate. Astfel, este mai ușor să mențineți accesarea organizată, să verificați cine are drepturi de accesare la ce și să eliminați accesarea când se încheie un contract, se schimbă o persoană de contact a furnizorului sau un incident necesită izolare rapidă.
Un manager de parole pentru echipele IT adaugă nivelul administrativ necesar pe măsură ce procesul devine mai formal. Politicile, raportarea, jurnalele, controlul accesării bazat pe roluri, provizionarea SCIM și integrarea cu autentificarea unică ajută afacerile să gestioneze accesarea în mod consecvent între echipe, în loc să se bazeze pe obiceiurile individuale.
Proton Pass for Business sprijină afacerea dumneavoastră prin controlul acreditărilor și al căilor de accesare pe care le folosesc furnizorii pentru a lucra cu afacerea dumneavoastră. Este, de asemenea, cu cod sursă public și auditat independent, astfel încât trece aceeași listă de verificare pe care vă recomandăm să o aplicați propriilor furnizori. Atunci când accesarea furnizorilor este stocată, partajată, revizuită și revocată dintr-un mediu controlat, riscul legat de furnizori devine mai ușor de gestionat dincolo de evaluarea inițială.
Controlați în siguranță accesarea acreditărilor terților cu un manager de parole pentru afaceri.
