ธุรกิจส่วนใหญ่ไม่ได้พึ่งพาเฉพาะระบบภายในเท่านั้น แต่ดำเนินงานบนแพลตฟอร์มคลาวด์ ผู้ให้บริการเงินเดือน เครื่องมือการตลาด พันธมิตรด้านไอที และบัญชี SaaS หลายสิบรายที่ช่วยให้งานประจำวันดำเนินต่อไปได้ ผู้ขายแต่ละรายแก้ปัญหาหนึ่งอย่าง และแต่ละรายยังสร้างความสัมพันธ์แห่งความไว้วางใจขึ้นใหม่
การจัดการความเสี่ยงของผู้ขาย (VRM) คือกระบวนการประเมิน อนุมัติ ตรวจสอบ และทบทวนความเสี่ยงด้านความปลอดภัยที่เกิดจากการทำงานร่วมกับบุคคลที่สาม ช่วยให้ธุรกิจเข้าใจว่าผู้ขายรายใดสามารถเข้าถึงระบบหรือข้อมูลที่ละเอียดอ่อนได้ ผู้ขายเหล่านั้นมีมาตรการควบคุมใดอยู่บ้าง แนวปฏิบัติด้านความปลอดภัยของพวกเขามั่นคงเพียงพอที่จะพิสูจน์ความชอบธรรมของการเข้าถึงนั้นหรือไม่ และสามารถเปลี่ยนการเข้าถึงได้เร็วแค่ไหนหากสัญญาสิ้นสุดลงหรือเกิดเหตุการณ์ไม่พึงประสงค์
บทความนี้จะอธิบายวิธีจัดการความเสี่ยงของผู้ขายภายในธุรกิจ วิธีประเมินผู้ขายที่ทำงานด้วยอยู่แล้ว วิธีจำแนกความเสี่ยงของผู้ขายบุคคลที่สาม สิ่งที่ควรใส่ในรายการตรวจสอบความปลอดภัยของผู้ขาย และวิธีควบคุมข้อมูลยืนยันตัวตนของผู้ขายก่อนที่จะกลายเป็นความเสี่ยงระยะยาว
สิ่งที่การจัดการความเสี่ยงของผู้ขายครอบคลุม
คู่มือการจัดการความเสี่ยงของผู้ขาย
รายการตรวจสอบความปลอดภัยของผู้ขาย
Proton Pass for Business ช่วยสนับสนุนการควบคุมการเข้าถึงของผู้ขายได้อย่างไร
สิ่งที่การจัดการความเสี่ยงของผู้ขายครอบคลุม
การจัดการความเสี่ยงของผู้ขายขับเคลื่อนด้วยหลักการง่าย ๆ ว่า ทุกฝ่ายภายนอกที่เกี่ยวข้องกับข้อมูล ระบบ หรือกระบวนการทางธุรกิจของคุณ จะเปลี่ยนโปรไฟล์ความเสี่ยงของคุณ
ความเสี่ยงของผู้ขายส่วนใหญ่เกิดจากงานประจำวัน ตัวอย่างเช่น เอเจนซีบุคคลที่สามอาจถูกนำเข้าสู่เครือข่ายธุรกิจเพราะทีมต้องการความรวดเร็ว ความเชี่ยวชาญ หรือซอฟต์แวร์ที่ธุรกิจไม่มีภายในองค์กร มีการให้สิทธิ์เข้าถึง มีการแชร์ข้อมูล และความสัมพันธ์นี้ก็ถูกสร้างขึ้นเป็นส่วนหนึ่งของงานประจำวัน
ความเสี่ยงจะเกิดขึ้นเมื่อไม่ชัดเจนว่าผู้ขายรายนั้นสามารถเข้าถึงอะไรได้บ้าง มีการควบคุมใดกั้นระหว่างการเข้าถึงนั้นกับการละเมิดข้อมูล — การยืนยันตัวตนหลายปัจจัย (MFA) บัญชีที่ระบุชื่อ การเข้ารหัสลับ — หรือการเข้าถึงนั้นถูกค้นพบและตัดการเข้าถึงได้เร็วแค่ไหน การยกเลิกมักเกิดขึ้นภายในระบบเองหรือผ่านการจัดสรรสิทธิ์ SCIM ส่วนที่ยากสำหรับธุรกิจส่วนใหญ่คือการรู้ว่าจะไปดูที่ไหนจริง ๆ
ผู้ขายอาจเป็นผู้ให้บริการคลาวด์รายใหญ่ แพลตฟอร์ม SaaS เฉพาะทาง นักพัฒนาอิสระ หรือบริษัทบัญชี ขนาดและอุตสาหกรรมของผู้ขายไม่ใช่ประเด็นหลัก สิ่งที่สำคัญคือการเข้าถึงของพวกเขา
ความเสี่ยงของผู้ขายปรากฏในหลายรูปแบบที่แตกต่างกัน:
- ความเสี่ยงด้านข้อมูล: ผู้ขายสามารถดู จัดเก็บ ประมวลผล โอน หรือลบข้อมูลทางธุรกิจหรือข้อมูลส่วนบุคคลได้
- ความเสี่ยงด้านการเข้าถึง: ผู้ขายสามารถเข้าสู่ระบบ จัดการการตั้งค่า ใช้การผสานรวม หรือเข้าถึงแผงควบคุมของผู้ดูแลระบบได้
- ความเสี่ยงด้านการดำเนินงาน: ธุรกิจต้องพึ่งพาผู้ขายสำหรับเวิร์กโฟลว์ บริการ หรือกระบวนการที่เกี่ยวข้องกับลูกค้าที่สำคัญ
- ความเสี่ยงด้านการปฏิบัติตามกฎระเบียบ: บทบาทของผู้ขายส่งผลต่อหน้าที่ของคุณภายใต้กฎหมายคุ้มครองข้อมูล เช่น ข้อกำหนดการปฏิบัติตาม GDPR รวมถึงข้อกำหนดตามสัญญาหรือข้อกำหนดเฉพาะภาคส่วน
- ความเสี่ยงด้านข้อมูลยืนยันตัวตน: การเข้าถึงของผู้ขายถูกแชร์ ใช้ซ้ำ ไม่มีการบันทึก หรือยากต่อการยกเลิก
ความเสี่ยงของผู้ขายเป็นเรื่องยากที่จะสังเกต เพราะมักค่อย ๆ ก่อตัวจากทางเลือกเล็ก ๆ เกี่ยวกับการเข้าถึงที่ดูสมเหตุสมผลในขณะนั้น เช่น สมาชิกในทีมแชร์การเข้าสู่ระบบที่ไม่ควรแชร์ หรือบัญชีซัพพลายเออร์ยังคงมีสิทธิ์ไว้เพื่อความสะดวก หรือสิทธิ์ของผู้รับเหมาที่ไม่มีใครกลับมาทบทวนหลังจากโครงการจบลง เมื่อเวลาผ่านไป ข้อยกเว้นเหล่านั้นก็กลายเป็นส่วนหนึ่งของสภาพแวดล้อมทางธุรกิจ แม้จะไม่มีใครจัดการอย่างจริงจัง
วิธีสร้างกระบวนการจัดการความเสี่ยงของผู้ขาย (VRM)
เมื่อทำอย่างมีประสิทธิผล การจัดการความเสี่ยงของผู้ขายไม่ได้ทำให้ทุกการตัดสินใจซับซ้อนขึ้น แต่สร้างกรอบการทำงานที่เชื่อถือได้สำหรับวิธีที่ธุรกิจให้สิทธิ์เข้าถึงโดยมีขอบเขตชัดเจนขึ้น บทความนี้จะสำรวจขั้นตอนสำคัญที่ธุรกิจสามารถทำได้เพื่อประเมินความเสี่ยงของผู้ขายของตนเองและสร้างกลยุทธ์การจัดการความเสี่ยง
1. จัดทำบัญชีรายชื่อผู้ขาย
แทนที่จะปล่อยให้การจัดการความเสี่ยงของผู้ขายกลายเป็นงานที่ต้องตั้งรับเมื่อถูกขอหลักฐานด้านความปลอดภัยหรือต่อสัญญา ควรทำให้เป็นงานเชิงรุก เริ่มต้นด้วยการทำความเข้าใจผู้ขายที่มีอยู่ในการดำเนินงาน
การจัดทำบัญชีรายชื่อผู้ขายไม่จำเป็นต้องซับซ้อน แต่ต้องชัดเจนพอที่จะแสดง:
- ใครเป็นเจ้าของความสัมพันธ์
- ผู้ขายให้บริการอะไร
- ระบบหรือข้อมูลใดที่พวกเขาเข้าถึงได้
- มีข้อมูลส่วนบุคคลเกี่ยวข้องหรือไม่
- มีการใช้ผู้ประมวลผลช่วงหรือไม่
- สัญญาหรือการทบทวนความปลอดภัยครั้งถัดไปครบกำหนดเมื่อใด
การเข้าถึงเป็นองค์ประกอบสำคัญที่ต้องบันทึก เพราะผู้ขายมีสิทธิ์และความจำเป็นในการเข้าถึงที่แตกต่างกัน ผู้ขายบางรายใช้บัญชีที่ระบุชื่อ รายอื่นอาศัยข้อมูลยืนยันตัวตนที่แชร์ การเข้าถึงของผู้ดูแลระบบ คีย์ API กล่องจดหมายที่แชร์ หรือการเข้าสู่ระบบชั่วคราวที่ยังคงใช้งานได้นานหลังจากความจำเป็นเดิมผ่านไป ความแตกต่างเหล่านี้สำคัญเพราะเป็นตัวกำหนดว่าสามารถเปลี่ยนการเข้าถึงได้เร็วแค่ไหนระหว่างการเลิกใช้บริการหรือเกิดเหตุการณ์
บัญชีรายชื่อควรรวมผู้ขายรายเล็กที่อาจอยู่นอกกระบวนการจัดซื้อจัดจ้างอย่างเป็นทางการด้วย ปลั๊กอิน ที่ปรึกษา นักพัฒนาอิสระ เอเจนซี หรือบริการ SaaS เฉพาะทางสามารถสร้างความเสี่ยงที่มีนัยสำคัญได้หากเกี่ยวข้องกับข้อมูลที่ละเอียดอ่อนหรือเวิร์กโฟลว์ที่สำคัญ
คุณค่าหลักของบัญชีรายชื่อคือการสร้างการควบคุมการเข้าถึงที่ดีขึ้น เมื่อความสัมพันธ์กับผู้ขายสิ้นสุดลง ธุรกิจจะรู้ว่าต้องปิดใช้งานบัญชีใด หมุนเวียนข้อมูลยืนยันตัวตนใด ลบการผสานรวมใด และควรเกิดอะไรขึ้นกับข้อมูลที่จัดเก็บไว้
2. จำแนกผู้ขายตามความเสี่ยง ไม่ใช่ตามความสะดวก
หลังจากจัดทำแผนผังผู้ขายแล้ว ให้จัดกลุ่มตามความเสี่ยงที่พวกเขาสร้างขึ้น วิธีนี้ช่วยให้กระบวนการมีความเหมาะสมตามสัดส่วน และหลีกเลี่ยงการมองซัพพลายเออร์ทุกรายว่าไม่มีอันตรายหรือสำคัญไปเสียทั้งหมด
ผู้ขายที่มีความเสี่ยงสูงมักประมวลผลข้อมูลที่ละเอียดอ่อน สนับสนุนการดำเนินงานที่จำเป็น หรือถือสิทธิ์เข้าถึงระดับสูง ซึ่งอาจรวมถึงโครงสร้างพื้นฐานคลาวด์ แพลตฟอร์มข้อมูลระบุตัวตน ระบบเงินเดือน การเงิน ระบบ HR บริการไอทีแบบจัดการ บริการด้านความปลอดภัย หรือแพลตฟอร์ม SaaS หลัก
ผู้ขายที่มีความเสี่ยงปานกลางสนับสนุนงานสำคัญแต่มีการเข้าถึงที่แคบกว่า ซึ่งอาจรวมถึงแพลตฟอร์มการทำงานร่วมกัน เครื่องมือวิเคราะห์ ระบบจัดการโครงการ ซอฟต์แวร์เฮลป์เดสก์ หรือเอเจนซีที่มีสิทธิ์จำกัด
ผู้ขายที่มีความเสี่ยงต่ำแทบไม่มีหรือไม่มีการเข้าถึงข้อมูลที่ละเอียดอ่อนหรือระบบที่สำคัญต่อธุรกิจเลย ยังควรบันทึกไว้ แต่ไม่จำเป็นต้องทบทวนในระดับลึกเท่ากัน เว้นแต่บทบาทของพวกเขาเปลี่ยนแปลง
ระดับควรเป็นไปตามการเข้าถึงจริง ไม่ใช่ชื่อเสียง ขนาด หรือราคาของผู้ขาย แพลตฟอร์มที่คุ้นเคยอาจกลายเป็นความเสี่ยงสูงได้หากจัดเก็บข้อมูลที่ละเอียดอ่อน ผู้รับเหมารายเล็กอาจมีความเสี่ยงสูงได้หากถือสิทธิ์ผู้ดูแลระบบ
ใช้ระดับความเสี่ยงเพื่อตัดสินใจว่าจะประเมินผู้ขายลึกเพียงใด ควรทบทวนความสัมพันธ์บ่อยแค่ไหน และต้องใช้มาตรการควบคุมขั้นต่ำใดบ้าง
3. กำหนดข้อกำหนดด้านความปลอดภัยก่อนให้สิทธิ์เข้าถึง
การประเมินผู้ขายได้ผลดีที่สุดเมื่อธุรกิจรู้ข้อกำหนดขั้นต่ำของตนก่อนอนุมัติการเข้าถึง
สำหรับผู้ขายที่มีความเสี่ยงสูง ข้อกำหนดเหล่านั้นควรครอบคลุมมาตรการควบคุมที่ปกป้องข้อมูลและทำให้การเข้าถึงตรวจสอบได้: MFA การเข้ารหัสลับระหว่างส่งและขณะจัดเก็บ การควบคุมการเข้าถึงตามบทบาท บันทึกการตรวจสอบ ขั้นตอนตอบสนองต่อเหตุการณ์ การจัดการช่องโหว่ การควบคุมผู้ประมวลผลช่วง ข้อผูกพันในการลบข้อมูล และการวางแผนความต่อเนื่องทางธุรกิจ
หลักฐานด้านความปลอดภัยสามารถสนับสนุนการทบทวนนั้นได้ ISO 27001 SOC 2 โครงการระดับประเทศ เช่น Cyber Essentials ในสหราชอาณาจักร สรุปผลการทดสอบเจาะระบบ หรือเอกสารไวท์เปเปอร์ด้านความปลอดภัย ล้วนช่วยได้ ขึ้นอยู่กับบทบาทของผู้ขายและความอ่อนไหวของความสัมพันธ์
การรับรองและรายงานการตรวจสอบอธิบายว่าผู้ขายดำเนินงานอย่างไร แต่บอกได้น้อยกว่ามากว่าจริง ๆ แล้วผู้ขายเป็นใคร การสอบสวนความปลอดภัยของ Passwork เมื่อไม่นานมานี้พิสูจน์ว่าความแตกต่างนี้สำคัญ การจดทะเบียนในยุโรป เว็บไซต์ที่ดูดี และข้อความ “สร้างมาเพื่อความไว้วางใจ” ก็เพียงพอที่จะผ่านเกณฑ์ในองค์กรที่ไม่ได้ตรวจสอบความเป็นเจ้าของ เขตอำนาจศาล หรือแหล่งที่มาของรหัสที่พวกเขาติดตั้งเลย
สำหรับผู้ขายรายใดก็ตามที่ถือสิทธิ์เข้าถึงข้อมูลที่ละเอียดอ่อน มีคำถามสองข้อที่ควรอยู่เคียงข้างรายการตรวจสอบมาตรการควบคุม: ใครเป็นเจ้าของและควบคุมบริษัท และบริษัทดำเนินงานภายใต้กฎหมายของประเทศใด และผู้เชี่ยวชาญอิสระสามารถตรวจสอบรหัสได้หรือไม่ หรือธุรกิจกำลังไว้วางใจระบบปิดโดยเชื่อคำพูดของผู้ขายเพียงอย่างเดียว
ผู้ขายที่มีความเสี่ยงปานกลางอาจต้องมีการทบทวนที่เบากว่า แต่ยังควรสามารถอธิบายวิธีปกป้องบัญชี จำกัดการเข้าถึงของพนักงาน จัดการข้อมูล แจ้งลูกค้าเมื่อเกิดเหตุการณ์ และลบการเข้าถึงเมื่อความสัมพันธ์สิ้นสุดลง
สำหรับผู้ขายที่มีความเสี่ยงต่ำ การตรวจสอบหลักอาจเป็นว่าพวกเขาไม่มีการเข้าถึงระบบที่ละเอียดอ่อนหรือข้อมูลส่วนบุคคลจริงหรือไม่ หากสิ่งนั้นเปลี่ยนไป ควรประเมินผู้ขายใหม่
กระบวนการที่ดีจะเข้มงวดในจุดที่มีความเสี่ยงสูงและเบาในจุดที่มีความเสี่ยงต่ำจริง ๆ ไม่ควรเปลี่ยนการทบทวนซัพพลายเออร์ทุกรายให้กลายเป็นการตรวจสอบระดับองค์กร แต่ควรป้องกันไม่ให้อนุมัติการเข้าถึงข้อมูลที่ละเอียดอ่อนโดยอาศัยความไว้วางใจเพียงอย่างเดียว
4. ตรวจสอบผู้ขายหลังการเริ่มต้นใช้งาน
ผู้ขายเปลี่ยนแปลงระบบ ผู้ประมวลผลช่วงต่อ นโยบาย บุคลากร และมาตรการควบคุมความปลอดภัยอยู่เสมอ ธุรกิจของคุณอาจให้สิทธิ์เข้าถึงแก่ผู้ขายมากขึ้นเมื่อเวลาผ่านไป หากไม่มีการตรวจสอบ การประเมินเดิมก็จะล้าสมัย
กระบวนการตรวจสอบที่ใช้ได้จริงอาจรวมถึงการทบทวนรายปีสำหรับผู้ขายที่มีความเสี่ยงสูงและปานกลาง การตรวจสอบก่อนต่อสัญญา การประเมินซ้ำเมื่อการเข้าถึงขยายขึ้น และการทบทวนหลังมีเหตุการณ์ที่ถูกรายงาน ผู้ขายที่สำคัญอาจต้องตรวจสอบการเข้าถึงบ่อยขึ้น
การตรวจสอบควรรวมถึงชั้นข้อมูลยืนยันตัวตน ตรวจสอบว่าบัญชีของผู้ขายยังเป็นของผู้ติดต่อที่ยังใช้งานอยู่หรือไม่ สิทธิ์ต่าง ๆ ตรงกับขอบเขตปัจจุบันหรือไม่ ยังมีข้อมูลยืนยันตัวตนที่แชร์อยู่หรือไม่ และยังจำเป็นต้องใช้การเชื่อมต่อหรือคีย์ API อยู่หรือไม่
นี่คือจุดที่ธุรกิจจำนวนมากพบความเสี่ยงที่หลีกเลี่ยงได้ เช่น บัญชีเก่าของเอเจนซี การเข้าสู่ระบบของพนักงานรับเหมาที่ไม่ได้ใช้ รหัสผ่านที่แชร์โดยไม่มีใครเป็นเจ้าของ การเชื่อมต่อที่สร้างขึ้นสำหรับโปรเจกต์ในอดีต และสิทธิ์ผู้ดูแลระบบที่ให้ไปเพราะความสะดวก
ความเสี่ยงจากผู้ขายยังควรอยู่ในแผนความต่อเนื่องทางธุรกิจด้วย หากซัพพลายเออร์รายสำคัญไม่พร้อมให้บริการ รายงานการละเมิดข้อมูล หรือบังคับให้เปลี่ยนแปลงการเข้าถึงในกรณีฉุกเฉิน ธุรกิจจำเป็นต้องมีวิธีทำให้งานที่สำคัญดำเนินต่อไปได้ คู่มือ กลยุทธ์ความต่อเนื่องทางธุรกิจ ของ Proton อธิบายว่าทำไมความสามารถในการฟื้นตัวจึงไม่ได้ขึ้นอยู่กับการสำรองข้อมูลเพียงอย่างเดียว โดยเฉพาะเมื่อเกี่ยวข้องกับการเข้าถึงและข้อมูลยืนยันตัวตน
5. ควบคุมข้อมูลยืนยันตัวตนของบุคคลที่สาม
โปรแกรมจัดการความเสี่ยงจากผู้ขายจำนวนมากดูมั่นคงบนกระดาษ แต่กลับล้มเหลวในระดับข้อมูลยืนยันตัวตน ผู้ขายอาจดูเป็นไปตามข้อกำหนดบนกระดาษ แต่ยังสร้างความเสี่ยงผ่านวิธีจัดการการเข้าถึงในแต่ละวัน
ความเสี่ยงเกิดขึ้นในช่องว่างระหว่างกระบวนการอย่างเป็นทางการกับกระบวนการที่เกิดขึ้นจริง เช่น ข้อมูลยืนยันตัวตนที่จัดเก็บไว้นอกระบบที่ได้รับอนุมัติ บัญชีที่แชร์โดยไม่มีเจ้าของชัดเจน หรือคีย์ API ที่ยังใช้งานอยู่หลังจากความสัมพันธ์กับผู้ขายเปลี่ยนไป
หากไม่มีการทบทวนและยกเลิกเส้นทางการเข้าถึงเหล่านั้น ธุรกิจอาจยังแบกความเสี่ยงจากผู้ขายต่อไปอีกนานหลังจากงานเดิมสิ้นสุดลง
การเข้าถึงของบุคคลที่สามควรมีวินัยแบบเดียวกัน และใช้นโยบายรหัสผ่านชุดเดียวกับการเข้าถึงภายใน:
- ให้สิทธิ์การเข้าถึงแก่ผู้ขายเท่าที่จำเป็น
- ใช้บัญชีที่ระบุชื่อบุคคลเมื่อทำได้
- หลีกเลี่ยงการใช้ข้อมูลยืนยันตัวตนที่แชร์ เว้นแต่ไม่มีทางเลือกอื่น
- จัดเก็บข้อมูลยืนยันตัวตนที่แชร์ไว้ในระบบการจัดการข้อมูลยืนยันตัวตนที่ถูกควบคุม
- แชร์ไฟล์กับผู้ขายผ่านพื้นที่จัดเก็บคลาวด์สำหรับธุรกิจที่เข้ารหัส พร้อมลิงก์ที่หมดอายุ ไม่ใช่ไฟล์แนบในอีเมล
- ทบทวนการเข้าถึงอย่างสม่ำเสมอ
- ยกเลิกการเข้าถึงเมื่องานสิ้นสุด
- หมุนเวียนข้อมูลยืนยันตัวตนหลังจากผู้ขายเปลี่ยนบุคลากรหรือเกิดเหตุการณ์
- กำหนดให้ใช้ MFA ทุกที่ที่บริการรองรับ
โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจทำให้กฎเหล่านี้ใช้งานได้ง่าย ช่วยให้ทีมมีพื้นที่ปลอดภัยสำหรับจัดเก็บข้อมูลยืนยันตัวตนของผู้ขาย แชร์การเข้าถึงโดยไม่ต้องส่งรหัสผ่านผ่านแชตหรืออีเมล หมุนเวียนรหัสผ่าน และลบการเข้าถึงเมื่อความสัมพันธ์กับผู้ขายสิ้นสุดลง
รายการตรวจสอบความปลอดภัยของผู้ขาย
รายการตรวจสอบความปลอดภัยของผู้ขายควรช่วยให้ธุรกิจของคุณรับผู้ขายรายใหม่เข้าสู่ระบบได้อย่างปลอดภัย
ใช้รายการนี้เพื่อทำความเข้าใจความสัมพันธ์ให้ชัดเจน:
- ผู้ขายจะเข้าถึง ประมวลผล หรือจัดเก็บข้อมูลใด?
- ผู้ขายจะประมวลผลข้อมูลส่วนบุคคลในนามของเราหรือไม่
- ผู้ขายจะลงนามในข้อตกลงการประมวลผลข้อมูล (DPA) และลบข้อมูลของเราเมื่อสัญญาสิ้นสุดหรือไม่
- ข้อมูลจะถูกจัดเก็บและประมวลผลที่ใด
- ผู้ขายใช้ผู้ประมวลผลช่วงต่อหรือไม่
- ผู้ขายบังคับใช้ MFA หรือไม่
- ผู้ขายควบคุมการเข้าถึงข้อมูลลูกค้าของพนักงานอย่างไร
- ธุรกิจของเรากำหนดสิทธิ์ตามบทบาทได้หรือไม่
- สามารถลบการเข้าถึงได้ทันทีหรือไม่
- ผู้ขายมีบันทึกการตรวจสอบหรือรายงานกิจกรรมของผู้ดูแลระบบให้หรือไม่
- ผู้ขายเข้ารหัสข้อมูลอย่างไร
- ผู้ขายจะแจ้งเหตุการณ์ด้านความปลอดภัยให้เราทราบเร็วเพียงใด
- ผู้ขายมีกระบวนการความต่อเนื่องทางธุรกิจหรือการกู้คืนหลังภัยพิบัติหรือไม่
- ผู้ขายสามารถให้เอกสารด้านความปลอดภัย การรับรอง หรือสรุปผลการตรวจสอบได้หรือไม่
- ผู้ขายเคยประสบเหตุการณ์ด้านความปลอดภัยที่ถูกรายงานต่อสาธารณะหรือไม่ และจัดการกับเหตุการณ์นั้นอย่างไร
- ใครเป็นเจ้าของและควบคุมบริษัท และบริษัทดำเนินงานภายใต้เขตอำนาจตามกฎหมายใด
- ผลิตภัณฑ์เป็นโอเพนซอร์สหรือได้รับการตรวจสอบอย่างอิสระหรือไม่ เพื่อให้สามารถตรวจสอบคำกล่าวอ้างด้านความปลอดภัยได้
รายการตรวจสอบควรแสดงความเสี่ยงใด ๆ ที่ธุรกิจของคุณกำลังยอมรับ ผู้ขายที่ไม่มีการรับรองอย่างเป็นทางการอาจยังเหมาะกับงานความเสี่ยงต่ำ ผู้ขายที่มีการเข้าถึงระดับผู้ดูแลระบบ การยืนยันตัวตนที่อ่อนแอ กรอบเวลาแจ้งเหตุการณ์ที่ไม่ชัดเจน หรือไม่มีกระบวนการลบข้อมูลที่ชัดเจน ถือเป็นการตัดสินใจที่แตกต่างออกไปโดยสิ้นเชิง
สำหรับผู้ขายที่ใช้งานอยู่แล้ว ให้นำรายการตรวจสอบกลับมาใช้ระหว่างการต่อสัญญาและการทบทวนตามกำหนด การอนุมัติเดิมอาจไม่สะท้อนวิธีใช้เครื่องมือในปัจจุบันอีกต่อไป ผู้ขายที่เริ่มใช้สำหรับโปรเจกต์เล็ก ๆ อาจกลายเป็นส่วนหนึ่งของการดำเนินงานกับลูกค้า ขั้นตอนการเงิน หรือการเชื่อมต่อที่สำคัญได้อย่างเงียบ ๆ
Proton Pass for Business ช่วยสนับสนุนการควบคุมการเข้าถึงของผู้ขายอย่างไร
การจัดการความเสี่ยงจากผู้ขายจะยากขึ้นมากเมื่อการเข้าถึงของบุคคลที่สามถูกจัดการนอกระบบที่ถูกควบคุม ผู้ขายอาจได้รับอนุมัติ มีเอกสารครบ และมีสัญญาคุ้มครอง แต่ความเสี่ยงที่แท้จริงมักขึ้นอยู่กับเส้นทางการเข้าถึงในชีวิตประจำวัน เช่น ข้อมูลยืนยันตัวตนที่แชร์ สิทธิ์ต่าง ๆ พาสคีย์ รหัสกู้คืน คีย์ API และบัญชีที่ต้องได้รับการทบทวนหรือลบออกเมื่อความสัมพันธ์เปลี่ยนไป
โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจอย่าง Proton Pass for Business ช่วยให้ธุรกิจนำการเข้าถึงนั้นเข้าสู่กระบวนการที่ปลอดภัยและตรวจสอบได้มากขึ้น ทีมสามารถจัดเก็บข้อมูลยืนยันตัวตนของผู้ขายในห้องนิรภัยที่เข้ารหัสลับจากต้นทางถึงปลายทาง สร้างรหัสผ่านที่รัดกุมและไม่ซ้ำใคร ใช้การป้อนอัตโนมัติเพื่อลดการจัดการด้วยมือ จัดการพาสคีย์ และแชร์การเข้าถึงโดยไม่ต้องส่งรหัสผ่านทางอีเมล แชต หรือเอกสารโปรเจกต์
สำหรับการเข้าถึงของผู้ขายโดยเฉพาะ ห้องนิรภัยที่แชร์สามารถช่วยแยกข้อมูลยืนยันตัวตนตามซัพพลายเออร์ โปรเจกต์ ทีม หรือระดับความอ่อนไหวได้ ซึ่งทำให้จัดระเบียบการเข้าถึงได้ง่ายขึ้น ตรวจสอบว่าใครเข้าถึงอะไรได้บ้าง และลบการเข้าถึงเมื่อสัญญาสิ้นสุด ผู้ติดต่อของผู้ขายเปลี่ยนไป หรือเกิดเหตุการณ์ที่ต้องควบคุมอย่างรวดเร็ว
โปรแกรมจัดการรหัสผ่านสำหรับทีมไอที เพิ่มชั้นการบริหารจัดการที่จำเป็นเมื่อกระบวนการเป็นทางการมากขึ้น นโยบาย การรายงาน บันทึก การควบคุมการเข้าถึงตามบทบาท การจัดเตรียมผู้ใช้ด้วย SCIM และการเชื่อมต่อระบบลงชื่อเข้าใช้ครั้งเดียว ช่วยให้ธุรกิจจัดการการเข้าถึงได้อย่างสม่ำเสมอทั่วทั้งทีม แทนที่จะพึ่งพานิสัยของแต่ละคน
Proton Pass for Business ช่วยสนับสนุนธุรกิจของคุณโดยควบคุมข้อมูลยืนยันตัวตนและเส้นทางการเข้าถึงที่ผู้ขายใช้ในการทำงานร่วมกับธุรกิจของคุณ ผลิตภัณฑ์นี้ยังเป็นโอเพนซอร์สและได้รับการตรวจสอบอย่างอิสระ จึงผ่านรายการตรวจสอบชุดเดียวกับที่เราแนะนำให้คุณนำไปใช้กับผู้ขายของคุณเอง เมื่อการเข้าถึงของซัพพลายเออร์ถูกจัดเก็บ แชร์ ทบทวน และยกเลิกจากสภาพแวดล้อมที่ถูกควบคุม ความเสี่ยงจากผู้ขายก็จะจัดการได้ง่ายขึ้นนอกเหนือจากการประเมินครั้งแรก
ควบคุมการเข้าถึงข้อมูลยืนยันตัวตนของบุคคลที่สามอย่างปลอดภัยด้วยโปรแกรมจัดการรหัสผ่านสำหรับธุรกิจ
