Çoğu işletme yalnızca dahili sistemlere güvenmez. Bulut platformları, bordro sağlayıcıları, pazarlama araçları, BT ortakları ve günlük işleri yürüten düzinelerce SaaS hesabıyla çalışır. Her tedarikçi bir sorunu çözer, ama aynı zamanda yeni bir güven ilişkisi yaratır.

Tedarikçi risk yönetimi (VRM), üçüncü taraflarla çalışmaktan kaynaklanan güvenlik risklerini değerlendirme, onaylama, izleme ve gözden geçirme sürecidir. İşletmelerin hangi tedarikçilerin hassas sistemlere veya verilere erişebildiğini, bu tedarikçilerin hangi kontrollere sahip olduğunu, güvenlik uygulamalarının bu erişimi haklı çıkaracak kadar sağlam olup olmadığını ve bir sözleşme sona erdiğinde veya bir olay yaşandığında erişimin ne kadar hızlı değiştirilebileceğini anlamalarına yardımcı olur.

Kendi işletmenizde tedarikçi risk yönetimine nasıl yaklaşacağınızı açıklayacağız: halihazırda çalıştığınız tedarikçileri nasıl değerlendireceğinizi, üçüncü taraf tedarikçi riskini nasıl sınıflandıracağınızı, bir tedarikçi güvenlik kontrol listesine nelerin dahil edileceğini ve tedarikçi kimlik doğrulama bilgileri uzun vadeli riske dönüşmeden önce bunları nasıl kontrol edeceğinizi.

Tedarikçi risk yönetimi neleri kapsar

Tedarikçi risk yönetimi rehberiniz

Tedarikçi güvenlik kontrol listeniz

Proton Pass for Business tedarikçi erişim kontrolünü nasıl destekler

Tedarikçi risk yönetimi neleri kapsar

Tedarikçi risk yönetimi basit bir ilkeye dayanır: verilerinize, sistemlerinize veya iş süreçlerinize dokunan her dış taraf risk profilinizi değiştirir.

Tedarikçi riskinin çoğu günlük işler sırasında oluşur. Örneğin, bir ekip hız, uzmanlık veya işletmenin bünyesinde bulunmayan bir yazılıma ihtiyaç duyduğu için üçüncü taraf bir ajans bir iş ağına dahil edilebilir. Erişim verilir, veriler paylaşılır ve ilişki günlük işlerin bir parçası olarak kurulur.

Risk, o tedarikçinin neye erişebildiği, bu erişim ile bir ele geçirilme arasında hangi kontrollerin durduğu (çok faktörlü kimlik doğrulama (MFA), adlandırılmış hesaplar, şifreleme) veya bu erişimin ne kadar hızlı bulunup kesilebileceği net olmadığında ortaya çıkar. Erişimi geçersiz kılmak genellikle sistemin kendi içinde veya SCIM sağlama yoluyla gerçekleşir; çoğu işletme için zor kısım gerçekte nereye bakılacağını bilmektir.

Tedarikçi büyük bir bulut sağlayıcısı, niş bir SaaS platformu, serbest çalışan bir geliştirici veya bir muhasebe firması olabilir. Tedarikçinin boyutu ve sektörü asıl sorun değildir. Asıl sorun erişimidir.

Tedarikçi riski birkaç farklı şekilde ortaya çıkar:

  • Veri riski: tedarikçi, iş veya kişisel verileri görüntüleyebilir, depolayabilir, işleyebilir, aktarabilir veya silebilir.
  • Erişim riski: tedarikçi sistemlere oturum açabilir, ayarları yönetebilir, entegrasyonları kullanabilir veya yönetici panellerine erişebilir.
  • Operasyonel risk: işletme, kritik bir iş akışı, hizmet veya müşteriye dönük süreç için tedarikçiye bağımlıdır.
  • Uyumluluk riski: tedarikçinin rolü, veri koruma yasaları (örneğin GDPR uyumluluk gereklilikleri), sözleşmesel veya sektöre özgü gereklilikler kapsamındaki yükümlülüklerinizi etkiler.
  • Kimlik doğrulama bilgileri riski: tedarikçi erişimi paylaşılır, yeniden kullanılır, belgelenmez veya geçersiz kılınması zordur.

Tedarikçi riskini fark etmek zordur çünkü genellikle o anda mantıklı görünen küçük erişim kararlarıyla birikir: bir ekip üyesi paylaşmaması gereken bir oturum açma bilgisini paylaşır, bir tedarikçi hesabı kolaylık olsun diye izinlerini korur veya bir proje bittikten sonra kimsenin tekrar gözden geçirmediği bir yüklenici izni kalır. Zamanla bu istisnalar, kimse onları aktif olarak yönetmese bile iş ortamının bir parçası haline gelir.

Tedarikçi risk yönetimi (VRM) süreci nasıl oluşturulur

Etkili bir şekilde yapıldığında tedarikçi risk yönetimi her kararı daha karmaşık hale getirmez. İşletmenizin daha net sınırlarla erişim verme biçimine güvenilir bir çerçeve kazandırır. İşletmenizin kendi tedarikçi riskini değerlendirmek ve bir risk yönetimi stratejisi oluşturmak için atabileceği temel adımları inceleyeceğiz.

1. Tedarikçilerinizin envanterini oluşturun

Tedarikçi risk yönetiminin, sizden güvenlik kanıtı istendiğinde veya bir sözleşme yenilendiğinde tepkisel bir göreve dönüşmesine izin vermek yerine onu proaktif bir görev haline getirin. İşletmenizin içinde zaten yer alan tedarikçileri anlamakla başlayın.

Tedarikçi envanteri çıkarmak karmaşık olmak zorunda değildir. Yalnızca şunları gösterecek kadar net olmalıdır:

  • ilişkinin sahibi kim
  • tedarikçinin hangi hizmeti sunduğu
  • hangi sistemlere veya verilere erişebildikleri
  • kişisel verilerin dahil olup olmadığı
  • alt işleyicilerin kullanılıp kullanılmadığı
  • bir sonraki sözleşmenin veya güvenlik incelemesinin ne zaman yapılacağı

Erişim, kaydedilmesi gereken kritik bir bileşendir çünkü tedarikçilerin farklı ayrıcalıkları ve erişim ihtiyaçları vardır. Bazı tedarikçiler adlandırılmış hesaplar kullanır. Diğerleri paylaşılan kimlik doğrulama bilgilerine, yönetici erişimine, API anahtarlarına, paylaşılan gelen kutularına veya asıl ihtiyaç ortadan kalktıktan çok sonra bile etkin kalan geçici oturum açma bilgilerine güvenir. Bu farklılıklar önemlidir çünkü ayrılış sürecinde veya bir olay sırasında erişimin ne kadar hızlı değiştirilebileceğini belirler.

Envanter, resmi satın alma süreçlerinin dışında kalabilecek daha küçük tedarikçileri de içermelidir. Bir uygulama eki, danışman, serbest çalışan geliştirici, ajans veya uzman bir SaaS hizmeti hassas verilere ya da kritik iş akışlarına dokunuyorsa önemli bir risk oluşturabilir.

Bir envanterin temel değeri, daha iyi erişim kontrolleri oluşturmaktır. Bir tedarikçi ilişkisi sona erdiğinde işletmeniz hangi hesapların devre dışı bırakılacağını, hangi kimlik doğrulama bilgilerinin yenileneceğini, hangi entegrasyonların kaldırılacağını ve depolanan verilere ne olacağını bilir.

2. Tedarikçileri kolaylığa göre değil riske göre sınıflandırın

Tedarikçilerinizi haritalandırdıktan sonra onları yarattıkları riske göre gruplandırın. Bu, süreci ölçülü tutar ve her tedarikçiye zararsız ya da kritik muamelesi yapılmasını önler.

Yüksek riskli tedarikçiler genellikle hassas verileri işler, temel operasyonları destekler veya ayrıcalıklı erişime sahiptir. Bunlar arasında bulut altyapısı, kimlik platformları, bordro, finans, İK sistemleri, yönetilen BT, güvenlik hizmetleri veya temel SaaS platformları bulunabilir.

Orta riskli tedarikçiler önemli işleri destekler ancak daha dar erişime sahiptir. Bunlar arasında iş birliği platformları, analitik araçlar, proje yönetimi sistemleri, yardım masası yazılımları veya sınırlı izinlere sahip ajanslar bulunabilir.

Düşük riskli tedarikçiler hassas verilere veya iş açısından kritik sistemlere çok az erişime sahiptir ya da hiç erişemez. Yine de kaydedilmelidirler, ancak rolleri değişmedikçe aynı derinlikte incelemeye ihtiyaç duymazlar.

Seviye, tedarikçinin itibarına, boyutuna veya fiyatına göre değil gerçek erişime göre belirlenmelidir. Tanıdık bir platform hassas verileri depoluyorsa yüksek riskli hale gelebilir. Küçük bir yüklenici yönetici ayrıcalıklarına sahipse yüksek riskli olabilir.

Tedarikçiyi ne kadar derinlemesine değerlendireceğinize, ilişkiyi ne sıklıkla gözden geçireceğinize ve hangi minimum kontrollerin uygulanacağına karar vermek için risk seviyesini kullanın.

3. Erişim verilmeden önce güvenlik gereksinimlerini belirleyin

Tedarikçi değerlendirmeleri, işletme erişim onaylanmadan önce minimum gereksinimlerini bildiğinde en iyi şekilde çalışır.

Yüksek riskli tedarikçiler için bu gereksinimler, verileri koruyan ve erişimi hesap verebilir kılan kontrolleri kapsamalıdır: MFA, aktarım sırasında ve beklerken şifreleme, rol tabanlı erişim kontrolü, denetim günlükleri, olay müdahale prosedürleri, güvenlik açığı yönetimi, alt işleyici kontrolleri, veri silme taahhütleri ve iş sürekliliği planlaması.

Güvenlik kanıtları bu incelemeyi destekleyebilir. ISO 27001, SOC 2, Birleşik Krallık’taki Cyber Essentials gibi ulusal programlar, sızma testi özetleri veya güvenlik beyaz kitapları, tedarikçinin rolüne ve ilişkinin hassasiyetine bağlı olarak yardımcı olabilir.

Sertifikalar ve denetim raporları bir tedarikçinin nasıl çalıştığını açıklar. Tedarikçinin gerçekte kim olduğu konusunda ise çok daha az şey söyler. Yakın zamanda yapılan Passwork güvenliğine yönelik bir inceleme, bu ayrımın önemli olduğunu kanıtlıyor: Avrupa’da kayıtlı olmak, özenle hazırlanmış bir site ve “güven için tasarlandı” iletisi, kurdukları kodun sahipliğini, yargı yetkisini veya kaynağını hiç araştırmayan kuruluşların eşiğini geçmeye yetmişti.

Hassas erişime sahip her tedarikçi için kontrol listesinin yanında iki soru daha yer almalıdır: şirketin sahibi ve kontrolü kimdedir ve şirket hangi ülkenin yasalarına göre faaliyet gösteriyor; bağımsız uzmanlar kodu inceleyebilir mi, yoksa işletme kapalı bir sisteme yalnızca tedarikçinin sözüne dayanarak mı güveniyor?

Orta riskli tedarikçiler daha hafif bir incelemeye ihtiyaç duyabilir, ancak yine de hesapları nasıl koruduklarını, çalışan erişimini nasıl kısıtladıklarını, verileri nasıl işlediklerini, müşterilere olayları nasıl bildirdiklerini ve ilişki sona erdiğinde erişimi nasıl kaldırdıklarını açıklayabilmelidir.

Düşük riskli tedarikçiler için temel kontrol, hassas sistemlere veya kişisel verilere gerçekten erişimleri olup olmadığı olabilir. Bu değişirse tedarikçi yeniden değerlendirilmelidir.

İyi bir süreç, riskin yüksek olduğu yerde katı, riskin gerçekten düşük olduğu yerde hafiftir. Her tedarikçi incelemesini kurumsal bir denetime dönüştürmemeli, ancak hassas erişimin yalnızca güvene dayanarak onaylanmasını önlemelidir.

4. Tedarikçileri sürece dahil edildikten sonra izleyin

Satıcılar sistemlerini, alt işleyicilerini, ilkelerini, personel yapılarını ve güvenlik kontrollerini değiştirir. İşletmeniz de zamanla onlara daha fazla erişim verebilir. İzleme olmadan, ilk değerlendirmeniz güncelliğini yitirir.

Pratik bir izleme süreci, yüksek riskli ve orta riskli satıcılar için yıllık incelemeler, sözleşme yenilemeden önce kontroller, erişim genişlediğinde yeniden değerlendirme ve bildirilen her olaydan sonra inceleme içerebilir. Kritik satıcılar için daha sık erişim kontrolü gerekebilir.

İzleme, kimlik doğrulama bilgileri katmanını da kapsamalıdır. Satıcı hesaplarının hâlâ etkin kişilere ait olup olmadığını, izinlerin mevcut kapsamla eşleşip eşleşmediğini, paylaşılan kimlik doğrulama bilgilerinin hâlâ mevcut olup olmadığını ve entegrasyonların veya API anahtarlarının hâlâ gerekli olup olmadığını kontrol edin.

Birçok işletmenin önlenebilir riskle karşılaştığı yer burasıdır: eski ajans hesapları, kullanılmayan yüklenici oturum açma bilgileri, kimsenin sahiplenmediği paylaşılan parolalar, geçmiş bir proje için oluşturulmuş entegrasyonlar ve kolaylık olsun diye verilmiş yönetici izinleri.

Satıcı riski aynı zamanda süreklilik planlamasının bir parçasıdır. Kritik bir tedarikçi kullanılamaz hale gelirse, bir ele geçirilme bildirirse veya acil erişim değişikliklerini zorunlu kılarsa, işletmenin temel işlerin devam etmesini sağlayacak bir yola ihtiyacı vardır. Proton’un iş sürekliliği stratejileri⁠ rehberi, dayanıklılığın neden yalnızca yedeklere bağlı olmadığını, özellikle de erişim ve kimlik doğrulama bilgileri söz konusu olduğunda açıklar.

5. Üçüncü taraf kimlik doğrulama bilgilerini kontrol edin

Birçok satıcı risk programı kâğıt üzerinde sağlam görünür ve sonra kimlik doğrulama bilgileri düzeyinde başarısız olur. Bir satıcı kâğıt üzerinde uyumlu görünebilir ve yine de erişimin günlük olarak ele alınma biçimi nedeniyle riske yol açabilir.

Risk, resmi süreç ile gerçekte uygulanan süreç arasındaki boşlukta ortaya çıkar: onaylanmış sistemlerin dışında saklanan kimlik doğrulama bilgileri, net bir sahibi olmayan paylaşılan hesaplar veya satıcı ilişkisi değiştikten sonra etkin kalan API anahtarları.

Bu erişim yolları incelenmez ve geçersiz kılınmazsa, işletme ilk iş sona erdikten çok sonra bile satıcı riskini taşımaya devam edebilir.

Üçüncü taraf erişimi, aynı disiplini izlemeli ve iç erişimle aynı parola ilkelerini kullanmalıdır:

  • Satıcılara yalnızca ihtiyaç duydukları erişimi verin
  • Mümkün olduğunda adlandırılmış hesaplar kullanın
  • Başka bir alternatif yoksa paylaşılan kimlik doğrulama bilgilerinden kaçının
  • Paylaşılan kimlik doğrulama bilgilerini kontrollü bir kimlik doğrulama bilgileri yönetimi sisteminde saklayın
  • Dosyaları satıcılarla e-posta ek dosyaları yerine süresi dolan bağlantılarla şifrelenmiş işletmeler için bulut depolama alanı üzerinden paylaşın
  • Erişimi düzenli olarak inceleyin
  • İş sona erdiğinde erişimi geçersiz kılın
  • Satıcı personel değişikliklerinden veya olaylardan sonra kimlik doğrulama bilgilerini yenileyin
  • Hizmet desteklediği her yerde MFA’yı zorunlu kılın

Bir işletme parola yöneticisi, bu kuralların uygulanmasını kolaylaştırır. Ekiplere satıcı kimlik doğrulama bilgilerini saklamak, parolaları sohbet veya e-posta yoluyla göndermeden erişim paylaşmak, parolaları yenilemek ve satıcı ilişkisi sona erdiğinde erişimi kaldırmak için güvenli bir alan sağlar.

Satıcı güvenliği kontrol listeniz

Bir satıcı güvenliği kontrol listesi, işletmenizin yeni satıcıları güvenli bir şekilde dahil etmesine yardımcı olmalıdır.

İlişkiyi net bir şekilde anlamak için kullanın:

  • Satıcı hangi verilere erişecek, bunları işleyecek veya saklayacak?
  • Satıcı kişisel verileri bizim adımıza işleyecek mi?
  • Satıcı bir veri işleme sözleşmesi (DPA) imzalayacak ve sözleşme sona erdiğinde verilerimizi silecek mi?
  • Veriler nerede saklanacak ve işlenecek?
  • Satıcı alt işleyiciler kullanıyor mu?
  • Satıcı MFA’yı zorunlu tutuyor mu?
  • Satıcı, çalışanların müşteri verilerine erişimini nasıl kontrol ediyor?
  • İşletmemiz rol tabanlı izinler atayabilir mi?
  • Erişim hemen kaldırılabilir mi?
  • Satıcı denetim günlükleri veya yönetici etkinlik raporları sağlıyor mu?
  • Satıcı verileri nasıl şifreliyor?
  • Satıcı bir güvenlik olayını bize ne kadar hızlı bildirecek?
  • Satıcının iş sürekliliği veya felaket kurtarma prosedürleri var mı?
  • Satıcı güvenlik belgeleri, sertifikalar veya denetim özetleri sağlayabilir mi?
  • Satıcı, kamuya bildirilmiş bir güvenlik olayı yaşadı mı ve bunu nasıl ele aldı?
  • Şirketin sahibi ve kontrol edeni kim ve hangi yargı yetkisi altında faaliyet gösteriyor?
  • Ürün açık kaynaklı mı veya bağımsız olarak denetlenmiş mi, böylece güvenlik iddiaları doğrulanabilir mi?

Kontrol listesi, işletmenizin kabul ettiği her türlü riski göstermelidir. Resmi sertifikası olmayan bir satıcı, düşük riskli işler için yine de uygun olabilir. Yönetici erişimi, zayıf kimlik doğrulama, belirsiz olay zaman çizelgeleri veya net bir silme süreci olmayan bir satıcı ise tamamen farklı bir karardır.

Hâlihazırda kullanılan satıcılar için kontrol listesini yenileme ve planlanmış incelemeler sırasında tekrar gündeme getirin. İlk onay, aracın bugün kullanılma şeklini artık yansıtmıyor olabilir. Küçük bir proje için dahil edilen bir satıcı, sessizce müşteri operasyonlarının, finans iş akışlarının veya kritik entegrasyonların bir parçası haline gelebilir.

Proton Pass for Business satıcı erişim kontrolünü nasıl destekliyor

Üçüncü taraf erişimi kontrollü bir sistemin dışında yönetildiğinde satıcı risk yönetimi çok daha zorlaşır. Bir satıcı onaylanmış, belgelenmiş ve sözleşmeyle güvence altına alınmış olabilir, ancak gerçek risk genellikle günlük erişim yollarına bağlıdır: paylaşılan kimlik doğrulama bilgileri, izinler, geçiş anahtarları, kurtarma kodları, API anahtarları ve ilişki değiştikçe incelenmesi veya kaldırılması gereken hesaplar.

Proton Pass for Business⁠ gibi bir işletme parola yöneticisi, işletmelerin bu erişimi daha güvenli ve denetlenebilir bir sürece taşımasına yardımcı olur. Ekipler satıcı kimlik doğrulama bilgilerini uçtan uca şifrelenmiş kasalarda saklayabilir, güçlü ve benzersiz parolalar oluşturabilir, manuel işlemleri azaltmak için otomatik doldurmayı kullanabilir, geçiş anahtarlarını yönetebilir ve parolaları e-posta, sohbet veya proje belgeleri üzerinden göndermeden erişim paylaşabilir.

Özellikle satıcı erişimi için paylaşılan kasalar, kimlik doğrulama bilgilerini tedarikçiye, projeye, ekibe veya hassasiyet düzeyine göre ayırmaya yardımcı olabilir. Bu, erişimi düzenli tutmayı, kimin neye erişimi olduğunu incelemeyi ve sözleşme sona erdiğinde, satıcı irtibat kişisi değiştiğinde veya bir olay hızlı kontrol gerektirdiğinde erişimi kaldırmayı kolaylaştırır.

Süreç daha resmi hale geldikçe ihtiyaç duyulan yönetim katmanını bir BT ekipleri için parola yöneticisi⁠ ekler. İlkeler, raporlama, günlükler, rol tabanlı erişim kontrolü, SCIM sağlama ve tek oturum açma entegrasyonu, işletmelerin bireysel alışkanlıklara güvenmek yerine ekipler genelinde erişimi tutarlı bir şekilde yönetmesine yardımcı olur.

Proton Pass for Business, satıcıların işletmenizle çalışmak için kullandığı kimlik doğrulama bilgilerini ve erişim yollarını kontrol ederek işletmenizi destekler. Ayrıca açık kaynaklıdır ve bağımsız olarak denetlenmiştir, böylece kendi satıcılarınıza uygulamanızı önerdiğimiz kontrol listesinin aynısını geçer. Tedarikçi erişimi kontrollü bir ortamda saklandığında, paylaşıldığında, incelendiğinde ve geçersiz kılındığında, satıcı riskini ilk değerlendirmenin ötesinde yönetmek kolaylaşır.

Üçüncü taraf kimlik doğrulama bilgilerine erişimi bir işletme parola yöneticisi⁠ ile güvenli bir şekilde kontrol edin.