Большинство компаний не ограничиваются внутренними системами. Они работают на облачных платформах, пользуются сервисами расчета зарплаты, маркетинговыми инструментами, услугами ИТ-партнеров и десятками аккаунтов SaaS, обеспечивающих повседневную работу. Каждый поставщик решает определенную задачу, но при этом создает новые доверительные отношения.
Управление рисками поставщиков (VRM) — это процесс оценки, утверждения, мониторинга и пересмотра рисков безопасности, возникающих при работе с третьими сторонами. Он помогает компаниям понять, какие поставщики могут получить доступ к конфиденциальным системам или данным, какие меры контроля у них внедрены, достаточно ли надежны их практики безопасности для обоснования такого доступа и как быстро можно изменить доступ, если договор закончится или произойдет инцидент.
Мы расскажем, как выстроить управление рисками поставщиков в вашей компании: как оценивать поставщиков, с которыми вы уже работаете, как классифицировать риски сторонних поставщиков, что включить в чек-лист безопасности поставщиков и как контролировать учетные данные поставщиков, пока они не превратились в долгосрочную угрозу.
Что охватывает управление рисками поставщиков
Руководство по управлению рисками поставщиков
Чек-лист безопасности поставщиков
Как Proton Pass for Business поддерживает контроль доступа поставщиков
Что охватывает управление рисками поставщиков
Управление рисками поставщиков основано на простом принципе: любая внешняя сторона, которая соприкасается с вашими данными, системами или бизнес-процессами, меняет ваш профиль риска.
Большая часть рисков поставщиков возникает в повседневной работе. Например, стороннее агентство может быть подключено к корпоративной сети, потому что команде нужны скорость, экспертиза или программное обеспечение, которого нет внутри компании. Доступ предоставляется, данные передаются, и отношения становятся частью повседневной работы.
Риск возникает, когда неясно, к чему именно имеет доступ поставщик, какие меры контроля стоят между этим доступом и утечкой — многофакторная аутентификация (MFA), именованные аккаунты, шифрование — или как быстро можно обнаружить и отозвать этот доступ. Отзыв обычно происходит внутри самой системы или через SCIM-провижининг; сложность для большинства компаний в том, чтобы знать, где именно искать.
Поставщиком может быть крупный облачный провайдер, нишевая SaaS-платформа, независимый разработчик или бухгалтерская фирма. Размер и отрасль поставщика — не главная проблема. Главное — их доступ.
Риск поставщиков проявляется по-разному:
- Риск данных: Поставщик может просматривать, хранить, обрабатывать, передавать или удалять коммерческие или личные данные.
- Риск доступа: Поставщик может входить в системы, управлять настройками, использовать интеграции или получать доступ к панелям администратора.
- Операционный риск: Бизнес зависит от поставщика в критичном рабочем процессе, сервисе или процессе, ориентированном на клиентов.
- Риск соответствия: Роль поставщика влияет на ваши обязательства по законам о защите данных (например, требованиям GDPR), договорным или отраслевым требованиям.
- Риск учетных данных: Доступ поставщика является общим, используется повторно, не документируется или его сложно отозвать.
Риск поставщиков трудно заметить, потому что он часто складывается из небольших решений о доступе, которые кажутся разумными в моменте: сотрудник делится логином, которым не должен был, или аккаунт поставщика сохраняет разрешения для удобства, или разрешение подрядчика, которое никто не пересматривает после завершения проекта. Со временем такие исключения становятся частью бизнес-среды, даже если никто активно ими не управляет.
Как выстроить процесс управления рисками поставщиков (VRM)
При эффективном подходе управление рисками поставщиков не усложняет каждое решение. Оно создает надежную основу для предоставления доступа с более четкими ограничениями. Мы рассмотрим ключевые шаги, которые ваша компания может предпринять, чтобы оценить собственные риски поставщиков и выстроить стратегию управления рисками.
1. Составьте реестр поставщиков
Вместо того чтобы управление рисками поставщиков становилось реактивной задачей, когда у вас запрашивают доказательства безопасности или вы продлеваете договор, сделайте его проактивной задачей. Начните с понимания поставщиков, которые уже участвуют в ваших процессах.
Составление реестра поставщиков не должно быть сложным. Он должен быть достаточно четким, чтобы показать:
- Кто отвечает за взаимодействие с поставщиком
- Какую услугу предоставляет поставщик
- К каким системам или данным у них есть доступ
- Задействованы ли персональные данные
- Используются ли субпроцессоры
- Когда предстоит следующая проверка договора или безопасности
Доступ — важнейший компонент, который нужно фиксировать, поскольку у поставщиков разные привилегии и потребности в доступе. Некоторые поставщики используют именованные аккаунты. Другие полагаются на общие учетные данные, доступ администратора, ключи API, общие почтовые ящики или временные учетные записи, которые остаются активными спустя долгое время после того, как необходимость в них отпала. Эти различия важны, потому что определяют, как быстро можно изменить доступ при отключении или инциденте.
В реестр также следует включать небольших поставщиков, которые могут оставаться за рамками официальных закупок. Плагин, консультант, независимый разработчик, агентство или специализированный сервис SaaS могут создать существенный риск, если они соприкасаются с конфиденциальными данными или критичными рабочими процессами.
Главная ценность реестра — создание более эффективного контроля доступа. Когда отношения с поставщиком заканчиваются, ваша компания знает, какие аккаунты отключить, какие учетные данные сменить, какие интеграции удалить и что должно произойти с сохраненными данными.
2. Классифицируйте поставщиков по риску, а не по удобству
После составления карты поставщиков сгруппируйте их по создаваемому риску. Это позволяет сохранять соразмерность процесса и избегать подхода, при котором каждый поставщик считается либо безобидным, либо критичным.
Поставщики с высоким риском обычно обрабатывают конфиденциальные данные, поддерживают критически важные операции или обладают привилегированным доступом. К ним могут относиться облачная инфраструктура, платформы управления идентификацией, расчет заработной платы, финансы, HR-системы, управляемые ИТ-услуги, сервисы безопасности или ключевые SaaS-платформы.
Поставщики со средним риском поддерживают важную работу, но имеют более узкий доступ. К ним могут относиться платформы для совместной работы, аналитические инструменты, системы управления проектами, программное обеспечение для службы поддержки или агентства с ограниченными разрешениями.
Поставщики с низким риском имеют незначительный доступ к конфиденциальным данным или критически важным для бизнеса системам или не имеют его вовсе. Их все равно следует фиксировать в реестре, но им не нужна такая же глубокая проверка, если только их роль не изменится.
Уровень должен определяться фактическим доступом, а не репутацией, размером или ценой поставщика. Знакомая платформа может стать высокорисковой, если она хранит конфиденциальные данные. Небольшой подрядчик может быть высокорисковым, если у него есть права администратора.
Используйте уровень риска, чтобы определить, насколько глубоко оценивать поставщика, как часто пересматривать отношения и какие минимальные меры контроля применять.
3. Установите требования безопасности до предоставления доступа
Оценка поставщиков наиболее эффективна, когда компания знает свои минимальные требования до утверждения доступа.
Для поставщиков с высоким риском эти требования должны охватывать меры контроля, которые защищают данные и обеспечивают подотчетность доступа: MFA, шифрование при передаче и хранении, управление доступом на основе ролей, журналы аудита, процедуры реагирования на инциденты, управление уязвимостями, контроль субпроцессоров, обязательства по удалению данных и планирование непрерывности бизнеса.
Подтверждения безопасности могут помочь в такой проверке. ISO 27001, SOC 2, национальные схемы, такие как Cyber Essentials в Великобритании, отчеты о тестировании на проникновение или аналитические материалы по безопасности — все это может помочь в зависимости от роли поставщика и чувствительности отношений.
Сертификаты и отчеты об аудите описывают, как работает поставщик. Они гораздо меньше говорят о том, кем поставщик является на самом деле. Недавнее расследование безопасности Passwork доказывает, что это различие имеет значение: европейская регистрация, отполированный веб-сайт и сообщение «создано для доверия» оказались достаточными, чтобы пройти проверку в организациях, которые никогда не отслеживали владельцев, юрисдикцию или происхождение кода, который устанавливали.
Для любого поставщика с доступом к конфиденциальным данным к чек-листу контроля следует добавить два вопроса: кто владеет компанией и контролирует ее и по законам какой страны она работает; и могут ли независимые эксперты проверить код, или бизнес доверяет закрытой системе только со слов поставщика?
Поставщики со средним риском могут требовать менее глубокой проверки, но они все равно должны уметь объяснить, как они защищают аккаунты, ограничивают доступ сотрудников, обрабатывают данные, уведомляют клиентов об инцидентах и отзывают доступ при завершении отношений.
Для поставщиков с низким риском основная проверка может сводиться к тому, действительно ли у них нет доступа к конфиденциальным системам или персональным данным. Если это изменится, поставщика следует переоценить.
Хороший процесс строг там, где риск высок, и необременителен там, где риск действительно низок. Он не должен превращать каждую проверку поставщика в корпоративный аудит, но должен препятствовать утверждению доступа к конфиденциальным данным на основе одного лишь доверия.
4. Мониторинг поставщиков после подключения
Поставщики меняют свои системы, субпроцессоров, политики, персонал и средства обеспечения безопасности. Со временем ваш бизнес может предоставить им более широкий доступ. Без мониторинга первоначальная оценка устаревает.
Практичный процесс мониторинга может включать ежегодные проверки для поставщиков с высоким и умеренным риском, проверки перед продлением договора, переоценку при расширении доступа и разбор после любого зафиксированного инцидента. Для критически важных поставщиков может потребоваться более частая проверка доступа.
Мониторинг должен охватывать и уровень учетных данных. Проверьте, принадлежат ли аккаунты поставщиков действующим контактам, соответствуют ли разрешения текущему объему работ, остались ли общие учетные данные и нужны ли еще интеграции или ключи API.
Именно здесь многие компании обнаруживают риски, которых можно было избежать: старые аккаунты агентств, неиспользуемые логины подрядчиков, общие пароли, за которые никто не отвечает, интеграции, созданные для завершенного проекта, и права администратора, выданные для удобства.
Риск, связанный с поставщиками, также относится к планированию непрерывности бизнеса. Если критически важный поставщик становится недоступен, сообщает об утечке или вынуждает срочно изменить доступ, бизнесу нужен способ поддерживать ключевые процессы. Руководство Proton по стратегиям обеспечения непрерывности бизнеса объясняет, почему устойчивость зависит не только от резервных копий, особенно когда речь идет о доступе и учетных данных.
5. Контроль учетных данных третьих сторон
Многие программы управления рисками поставщиков выглядят надежно на бумаге, но дают сбой на уровне учетных данных. Поставщик может выглядеть соответствующим требованиям на бумаге и при этом создавать риски из-за того, как доступ управляется в повседневной работе.
Риск возникает в разрыве между формальным процессом и реальной практикой: учетные данные, хранящиеся вне утвержденных систем, общие аккаунты без явного владельца или ключи API, которые остаются активными после изменения отношений с поставщиком.
Если эти пути доступа не проверяются и не отзываются, бизнес может продолжать нести риски поставщика еще долго после завершения первоначальной работы.
Доступ третьих сторон должен подчиняться той же дисциплине и тем же политикам паролей, что и внутренний доступ:
- Предоставляйте поставщикам только необходимый доступ
- По возможности используйте именные аккаунты
- Избегайте общих учетных данных, если нет альтернативы
- Храните общие учетные данные в контролируемой системе управления учетными данными
- Передавайте файлы поставщикам через зашифрованное облачное хранилище для бизнеса с истекающими ссылками, а не во вложениях к письмам
- Регулярно проверяйте доступ
- Отзывайте доступ после завершения работы
- Меняйте учетные данные после смены персонала поставщика или инцидентов
- Требуйте MFA везде, где сервис ее поддерживает
Менеджер паролей для бизнеса упрощает реализацию этих правил. Он дает командам безопасное место для хранения учетных данных поставщиков, позволяет делиться доступом, не отправляя пароли через чаты или электронную почту, менять пароли и удалять доступ при завершении отношений с поставщиком.
Чек-лист безопасности поставщиков
Чек-лист безопасности поставщиков поможет вашему бизнесу безопасно подключать новых поставщиков.
С его помощью можно четко понять характер отношений:
- К каким данным поставщик получит доступ, какие будет обрабатывать или хранить?
- Будет ли поставщик обрабатывать персональные данные от нашего имени?
- Подпишет ли поставщик соглашение об обработке данных (DPA) и удалит ли наши данные по окончании договора?
- Где будут храниться и обрабатываться данные?
- Использует ли поставщик субпроцессоров?
- Требует ли поставщик MFA?
- Как поставщик контролирует доступ сотрудников к данным клиентов?
- Может ли наша компания назначать разрешения на основе ролей?
- Можно ли немедленно удалить доступ?
- Предоставляет ли поставщик журналы аудита или отчеты об активности администраторов?
- Как поставщик шифрует данные?
- Как быстро поставщик уведомит нас об инциденте безопасности?
- Есть ли у поставщика процедуры обеспечения непрерывности бизнеса и аварийного восстановления?
- Может ли поставщик предоставить документацию по безопасности, сертификаты или отчеты об аудите?
- Были ли у поставщика публично освещенные инциденты безопасности и как он с ними справился?
- Кому принадлежит компания и кто ею управляет и в какой юрисдикции она работает?
- Открыт ли исходный код продукта или проводился ли его независимый аудит, чтобы заявления о безопасности можно было проверить?
Чек-лист должен показывать, какие риски принимает на себя ваш бизнес. Поставщик без формальной сертификации может подойти для работы с низким риском. Поставщик с правами администратора, слабой аутентификацией, размытыми сроками уведомления об инцидентах или отсутствием четкого процесса удаления данных — это совсем другое решение.
Для поставщиков, которые уже используются, возвращайтесь к чек-листу при продлении договоров и плановых проверках. Первоначальное одобрение может уже не отражать то, как инструмент используется сегодня. Поставщик, привлеченный для небольшого проекта, может незаметно стать частью клиентских процессов, финансовых операций или критически важных интеграций.
Как Proton Pass for Business помогает контролировать доступ поставщиков
Управлять рисками поставщиков становится намного сложнее, когда доступ третьих сторон управляется вне контролируемой системы. Поставщик может быть одобрен, задокументирован и связан договором, но реальный риск часто зависит от повседневных путей доступа: общих учетных данных, разрешений, ключей доступа, кодов восстановления, ключей API и аккаунтов, которые нужно проверять или удалять по мере изменения отношений.
Менеджер паролей для бизнеса, такой как Proton Pass for Business, помогает компаниям перевести этот доступ в более безопасный и проверяемый процесс. Команды могут хранить учетные данные поставщиков в хранилищах со сквозным шифрованием, создавать надежные и уникальные пароли, использовать автозаполнение, чтобы реже вводить данные вручную, управлять ключами доступа и делиться доступом, не отправляя пароли по электронной почте, в чатах или проектных документах.
Что касается доступа поставщиков, общие хранилища помогают разделять учетные данные по поставщику, проекту, команде или уровню конфиденциальности. Так проще поддерживать порядок в доступе, проверять, у кого к чему есть доступ, и удалять доступ, когда заканчивается договор, меняется контактное лицо поставщика или инцидент требует быстрого реагирования.
Менеджер паролей для ИТ-команд добавляет административный уровень, необходимый по мере формализации процесса. Политики, отчетность, журналы, управление доступом на основе ролей, подготовка пользователей через SCIM и интеграция с единым входом помогают компаниям управлять доступом единообразно во всех командах, а не полагаться на привычки отдельных сотрудников.
Proton Pass for Business помогает вашему бизнесу, контролируя учетные данные и пути доступа, которые поставщики используют в работе с вами. Он также имеет открытый исходный код и прошел независимый аудит, поэтому соответствует тому же чек-листу, который мы рекомендуем применять к вашим поставщикам. Когда доступ поставщиков хранится, передается, проверяется и отзывается в контролируемой среде, рисками поставщиков становится проще управлять и после первоначальной оценки.
Контролируйте доступ третьих сторон к учетным данным с помощью менеджера паролей для бизнеса.
