Hầu hết doanh nghiệp không chỉ dựa vào hệ thống nội bộ. Họ vận hành trên các nền tảng đám mây, nhà cung cấp dịch vụ lương, công cụ tiếp thị, đối tác IT và hàng chục tài khoản SaaS giúp công việc hàng ngày diễn ra suôn sẻ. Mỗi nhà cung cấp giải quyết một vấn đề, và mỗi bên cũng tạo ra một mối quan hệ tin cậy mới.
Quản lý rủi ro nhà cung cấp (VRM) là quá trình đánh giá, phê duyệt, giám sát và xem xét các rủi ro bảo mật phát sinh từ việc làm việc với bên thứ ba. Nó giúp doanh nghiệp hiểu nhà cung cấp nào có thể truy cập hệ thống hoặc dữ liệu nhạy cảm, nhà cung cấp đó có những kiểm soát nào, liệu các biện pháp bảo mật của họ có đủ vững chắc để biện minh cho quyền truy cập đó hay không, và quyền truy cập có thể được thay đổi nhanh đến mức nào nếu hợp đồng kết thúc hoặc xảy ra sự cố.
Chúng tôi sẽ giải thích cách tiếp cận quản lý rủi ro nhà cung cấp trong doanh nghiệp: cách đánh giá những nhà cung cấp bạn đã làm việc cùng, cách phân loại rủi ro nhà cung cấp bên thứ ba, những gì cần đưa vào danh sách kiểm tra bảo mật nhà cung cấp và cách kiểm soát thông tin đăng nhập của nhà cung cấp trước khi chúng trở thành rủi ro dài hạn.
Quản lý rủi ro nhà cung cấp bao gồm những gì
Hướng dẫn của bạn về quản lý rủi ro nhà cung cấp
Danh sách kiểm tra bảo mật nhà cung cấp của bạn
Proton Pass for Business hỗ trợ kiểm soát quyền truy cập nhà cung cấp như thế nào
Quản lý rủi ro nhà cung cấp bao gồm những gì
Quản lý rủi ro nhà cung cấp dựa trên một nguyên tắc đơn giản: mọi bên bên ngoài tiếp xúc với dữ liệu, hệ thống hoặc quy trình kinh doanh đều thay đổi hồ sơ rủi ro của doanh nghiệp.
Phần lớn rủi ro nhà cung cấp phát sinh từ công việc hằng ngày. Ví dụ, một công ty bên thứ ba có thể được đưa vào mạng doanh nghiệp vì một nhóm cần tốc độ, chuyên môn hoặc phần mềm mà doanh nghiệp không có sẵn nội bộ. Quyền truy cập được cấp, dữ liệu được chia sẻ và mối quan hệ được thiết lập như một phần của công việc hằng ngày.
Rủi ro phát sinh khi không rõ nhà cung cấp đó có thể truy cập những gì, những kiểm soát nào đứng giữa quyền truy cập đó và một vi phạm — xác thực đa yếu tố (MFA), tài khoản được đặt tên, mã hóa — hoặc quyền truy cập đó có thể bị phát hiện và cắt đứt nhanh đến mức nào. Việc thu hồi quyền truy cập thường diễn ra trong chính hệ thống hoặc thông qua cấp phát SCIM; phần khó đối với hầu hết doanh nghiệp là biết cần tìm ở đâu.
Nhà cung cấp có thể là một nhà cung cấp đám mây lớn, một nền tảng SaaS ngách, một nhà phát triển tự do hoặc một công ty kế toán. Quy mô và ngành của nhà cung cấp không phải là vấn đề chính. Quyền truy cập của họ mới là vấn đề.
Rủi ro nhà cung cấp biểu hiện theo nhiều cách khác nhau:
- Rủi ro dữ liệu: Nhà cung cấp có thể xem, lưu trữ, xử lý, chuyển hoặc xóa dữ liệu kinh doanh hoặc dữ liệu cá nhân.
- Rủi ro truy cập: Nhà cung cấp có thể đăng nhập vào hệ thống, quản lý cài đặt, sử dụng tích hợp hoặc truy cập bảng quản trị.
- Rủi ro vận hành: Doanh nghiệp phụ thuộc vào nhà cung cấp cho một quy trình làm việc, dịch vụ hoặc quy trình hướng đến khách hàng quan trọng.
- Rủi ro tuân thủ: Vai trò của nhà cung cấp ảnh hưởng đến nghĩa vụ của doanh nghiệp theo luật bảo vệ dữ liệu, chẳng hạn như các yêu cầu tuân thủ GDPR, các yêu cầu hợp đồng hoặc yêu cầu riêng của ngành.
- Rủi ro thông tin đăng nhập: Quyền truy cập của nhà cung cấp bị chia sẻ, dùng lại, không được ghi lại hoặc khó thu hồi.
Rủi ro nhà cung cấp khó phát hiện vì nó thường tích tụ qua những lựa chọn truy cập nhỏ có vẻ hợp lý tại thời điểm đó: Một thành viên trong nhóm chia sẻ thông tin đăng nhập mà họ không nên chia sẻ, hoặc tài khoản nhà cung cấp giữ quyền vì tiện lợi, hoặc quyền của nhà thầu mà không ai xem lại sau khi dự án kết thúc. Theo thời gian, những ngoại lệ đó trở thành một phần của môi trường kinh doanh, ngay cả khi không ai chủ động quản lý chúng.
Cách xây dựng quy trình quản lý rủi ro nhà cung cấp (VRM)
Khi được thực hiện hiệu quả, quản lý rủi ro nhà cung cấp không khiến mọi quyết định trở nên phức tạp hơn. Nó tạo ra một khuôn khổ đáng tin cậy cho cách doanh nghiệp cấp quyền truy cập với các giới hạn rõ ràng hơn. Dưới đây là các bước chính doanh nghiệp có thể thực hiện để đánh giá rủi ro nhà cung cấp của chính mình và xây dựng chiến lược quản lý rủi ro.
1. Xây dựng danh mục nhà cung cấp
Thay vì để quản lý rủi ro nhà cung cấp trở thành một nhiệm vụ đối phó khi được yêu cầu cung cấp bằng chứng bảo mật hoặc gia hạn hợp đồng, hãy biến nó thành nhiệm vụ chủ động. Bắt đầu bằng việc hiểu rõ các nhà cung cấp đã nằm trong hoạt động của doanh nghiệp.
Việc lập danh mục nhà cung cấp không cần phức tạp. Nó cần đủ rõ ràng để cho thấy:
- Ai phụ trách mối quan hệ
- Nhà cung cấp cung cấp dịch vụ gì
- Họ có thể truy cập hệ thống hoặc dữ liệu nào
- Dữ liệu cá nhân có liên quan hay không
- Có sử dụng bên xử lý phụ hay không
- Khi nào đến hạn hợp đồng hoặc đánh giá bảo mật tiếp theo
Quyền truy cập là thành phần quan trọng cần ghi lại vì các nhà cung cấp có đặc quyền và nhu cầu truy cập khác nhau. Một số nhà cung cấp sử dụng tài khoản được đặt tên. Những nhà cung cấp khác dựa vào thông tin đăng nhập dùng chung, quyền truy cập quản trị, khóa API, hộp thư dùng chung hoặc đăng nhập tạm thời vẫn hoạt động rất lâu sau khi nhu cầu ban đầu đã qua. Những khác biệt này quan trọng vì chúng quyết định mức độ nhanh chóng có thể thay đổi quyền truy cập khi ngừng hợp tác hoặc khi xảy ra sự cố.
Danh mục cũng nên bao gồm các nhà cung cấp nhỏ hơn, những đơn vị có thể nằm ngoài quy trình mua sắm chính thức. Một phần bổ trợ, chuyên gia tư vấn, nhà phát triển tự do, công ty dịch vụ hoặc dịch vụ SaaS chuyên biệt đều có thể tạo ra rủi ro đáng kể nếu tiếp xúc với dữ liệu nhạy cảm hoặc quy trình làm việc quan trọng.
Giá trị chính của danh mục là tạo ra các kiểm soát truy cập tốt hơn. Khi mối quan hệ với nhà cung cấp kết thúc, doanh nghiệp biết cần vô hiệu hóa tài khoản nào, xoay vòng thông tin đăng nhập nào, xóa tích hợp nào và dữ liệu được lưu trữ sẽ được xử lý ra sao.
2. Phân loại nhà cung cấp theo rủi ro, không theo sự tiện lợi
Sau khi lập bản đồ nhà cung cấp, hãy nhóm họ theo rủi ro mà họ tạo ra. Điều này giữ quy trình ở mức tương xứng và tránh việc coi mọi nhà cung cấp là vô hại hoặc quan trọng như nhau.
Nhà cung cấp rủi ro cao thường xử lý dữ liệu nhạy cảm, hỗ trợ hoạt động thiết yếu hoặc nắm giữ quyền truy cập đặc quyền. Nhóm này có thể bao gồm hạ tầng đám mây, nền tảng danh tính, tính lương, tài chính, hệ thống nhân sự, dịch vụ IT được quản lý, dịch vụ bảo mật hoặc nền tảng SaaS cốt lõi.
Nhà cung cấp rủi ro trung bình hỗ trợ công việc quan trọng nhưng có quyền truy cập hẹp hơn. Nhóm này có thể bao gồm nền tảng cộng tác, công cụ phân tích, hệ thống quản lý dự án, phần mềm trợ giúp hoặc các công ty dịch vụ có quyền hạn giới hạn.
Nhà cung cấp rủi ro thấp có ít hoặc không có quyền truy cập vào dữ liệu nhạy cảm hoặc hệ thống quan trọng của doanh nghiệp. Vẫn nên ghi lại thông tin của họ, nhưng họ không cần mức độ đánh giá sâu như vậy trừ khi vai trò của họ thay đổi.
Mức phân loại phải dựa trên quyền truy cập thực tế, không dựa trên danh tiếng, quy mô hay giá của nhà cung cấp. Một nền tảng quen thuộc có thể trở thành rủi ro cao nếu nó lưu trữ dữ liệu nhạy cảm. Một nhà thầu nhỏ có thể thuộc nhóm rủi ro cao nếu họ nắm giữ đặc quyền quản trị.
Sử dụng mức rủi ro để quyết định mức độ đánh giá nhà cung cấp, tần suất xem xét mối quan hệ và các kiểm soát tối thiểu cần áp dụng.
3. Đặt yêu cầu bảo mật trước khi cấp quyền truy cập
Đánh giá nhà cung cấp hiệu quả nhất khi doanh nghiệp biết các yêu cầu tối thiểu trước khi phê duyệt quyền truy cập.
Đối với nhà cung cấp rủi ro cao, các yêu cầu đó phải bao gồm những kiểm soát bảo vệ dữ liệu và đảm bảo quyền truy cập có trách nhiệm: MFA, mã hóa khi truyền và khi lưu trữ, kiểm soát truy cập dựa trên vai trò, nhật ký kiểm toán, quy trình ứng phó sự cố, quản lý lỗ hổng, kiểm soát bên xử lý phụ, cam kết xóa dữ liệu và lập kế hoạch duy trì hoạt động kinh doanh.
Bằng chứng bảo mật có thể hỗ trợ việc đánh giá đó. ISO 27001, SOC 2, các chương trình quốc gia như Cyber Essentials tại Vương quốc Anh, bản tóm tắt kiểm thử xâm nhập hoặc sách trắng bảo mật đều có thể hữu ích, tùy thuộc vào vai trò của nhà cung cấp và mức độ nhạy cảm của mối quan hệ.
Các chứng nhận và báo cáo kiểm toán mô tả cách một nhà cung cấp vận hành. Chúng nói rất ít về việc nhà cung cấp thực sự là ai. Một cuộc điều tra gần đây về mức độ an toàn của Passwork chứng minh rằng sự khác biệt này rất quan trọng: đăng ký tại châu Âu, một trang web bóng bẩy và thông điệp “được xây dựng để tạo niềm tin” đã đủ để vượt qua tiêu chuẩn tại các tổ chức chưa từng truy tìm quyền sở hữu, quyền tài phán hoặc nguồn gốc của mã họ đang cài đặt.
Với bất kỳ nhà cung cấp nào nắm giữ quyền truy cập nhạy cảm, có hai câu hỏi cần đặt cùng danh sách kiểm tra kiểm soát: ai sở hữu và kiểm soát công ty, và công ty hoạt động theo luật pháp quốc gia nào; và liệu các chuyên gia độc lập có thể kiểm tra mã nguồn hay không, hay doanh nghiệp đang tin vào một hệ thống đóng chỉ dựa vào lời của nhà cung cấp?
Nhà cung cấp rủi ro trung bình có thể cần đánh giá nhẹ hơn, nhưng họ vẫn phải có khả năng giải thích cách họ bảo vệ tài khoản, hạn chế quyền truy cập của nhân viên, xử lý dữ liệu, thông báo cho khách hàng về sự cố và xóa quyền truy cập khi mối quan hệ kết thúc.
Đối với nhà cung cấp rủi ro thấp, kiểm tra chính có thể là liệu họ có thực sự không có quyền truy cập vào hệ thống nhạy cảm hoặc dữ liệu cá nhân hay không. Nếu điều đó thay đổi, cần đánh giá lại nhà cung cấp.
Một quy trình tốt sẽ nghiêm ngặt ở nơi rủi ro cao và nhẹ nhàng ở nơi rủi ro thực sự thấp. Quy trình không nên biến mọi đánh giá nhà cung cấp thành một cuộc kiểm toán doanh nghiệp, nhưng phải ngăn chặn việc phê duyệt quyền truy cập nhạy cảm chỉ dựa vào niềm tin.
4. Giám sát nhà cung cấp sau khi tiếp nhận
Các nhà cung cấp thay đổi hệ thống, bên xử lý phụ, chính sách, nhân sự và kiểm soát bảo mật. Doanh nghiệp cũng có thể cấp cho họ nhiều quyền truy cập hơn theo thời gian. Nếu không giám sát, đánh giá ban đầu sẽ trở nên lỗi thời.
Quy trình giám sát thực tế có thể bao gồm đánh giá hằng năm đối với nhà cung cấp rủi ro cao và rủi ro trung bình, kiểm tra trước khi gia hạn hợp đồng, đánh giá lại khi phạm vi truy cập mở rộng và xem xét sau mọi sự cố được báo cáo. Nhà cung cấp trọng yếu có thể cần kiểm tra truy cập thường xuyên hơn.
Hoạt động giám sát cần bao gồm cả lớp thông tin đăng nhập. Hãy kiểm tra xem tài khoản nhà cung cấp còn thuộc về người liên hệ đang hoạt động hay không, quyền có khớp với phạm vi hiện tại hay không, thông tin đăng nhập dùng chung còn tồn tại hay không và các tích hợp hoặc khóa API có còn cần thiết hay không.
Đây là nơi nhiều doanh nghiệp phát hiện rủi ro có thể tránh được: tài khoản cũ của đại lý, thông tin đăng nhập của nhà thầu không còn dùng, mật khẩu dùng chung không ai quản lý, các tích hợp được tạo cho một dự án cũ và quyền quản trị viên được cấp chỉ vì tiện.
Rủi ro từ nhà cung cấp cũng thuộc phạm vi lập kế hoạch duy trì hoạt động. Nếu một nhà cung cấp trọng yếu trở nên không khả dụng, báo cáo vi phạm hoặc buộc phải thay đổi quyền truy cập khẩn cấp, doanh nghiệp cần một cách để duy trì công việc thiết yếu. Hướng dẫn của Proton về chiến lược duy trì hoạt động kinh doanh giải thích vì sao khả năng phục hồi phụ thuộc vào nhiều hơn bản sao lưu, đặc biệt khi liên quan đến quyền truy cập và thông tin đăng nhập.
5. Kiểm soát thông tin đăng nhập của bên thứ ba
Nhiều chương trình quản lý rủi ro nhà cung cấp trông vững chắc trên giấy tờ nhưng lại thất bại ở lớp thông tin đăng nhập. Một nhà cung cấp có thể trông tuân thủ trên giấy tờ mà vẫn tạo ra rủi ro qua cách quyền truy cập được xử lý hằng ngày.
Rủi ro nằm ở khoảng cách giữa quy trình chính thức và quy trình thực tế: thông tin đăng nhập được lưu trữ ngoài các hệ thống được phê duyệt, tài khoản dùng chung không có chủ sở hữu rõ ràng hoặc khóa API vẫn hoạt động sau khi mối quan hệ với nhà cung cấp thay đổi.
Nếu các đường dẫn truy cập đó không được xem xét và thu hồi, doanh nghiệp có thể vẫn tiếp tục gánh chịu rủi ro từ nhà cung cấp rất lâu sau khi công việc ban đầu đã kết thúc.
Quyền truy cập của bên thứ ba cần tuân theo cùng kỷ luật và sử dụng cùng chính sách mật khẩu như quyền truy cập nội bộ:
- Chỉ cấp cho nhà cung cấp quyền truy cập họ cần
- Sử dụng tài khoản có tên riêng khi có thể
- Tránh dùng thông tin đăng nhập dùng chung trừ khi không có lựa chọn nào khác
- Lưu trữ thông tin đăng nhập dùng chung trong một hệ thống quản lý thông tin đăng nhập được kiểm soát
- Chia sẻ tệp với nhà cung cấp qua lưu trữ đám mây cho doanh nghiệp được mã hóa với liên kết hết hạn, không dùng tệp đính kèm email
- Xem xét quyền truy cập thường xuyên
- Thu hồi quyền truy cập khi công việc kết thúc
- Luân chuyển thông tin đăng nhập sau khi nhân sự nhà cung cấp thay đổi hoặc xảy ra sự cố
- Yêu cầu MFA ở mọi nơi dịch vụ hỗ trợ
Một trình quản lý mật khẩu cho doanh nghiệp giúp việc áp dụng các quy tắc này trở nên dễ dàng. Nó mang đến cho nhóm một nơi an toàn để lưu trữ thông tin đăng nhập của nhà cung cấp, chia sẻ quyền truy cập mà không gửi mật khẩu qua chat hoặc email, luân chuyển mật khẩu và xóa quyền truy cập khi mối quan hệ với nhà cung cấp kết thúc.
Danh sách kiểm tra bảo mật nhà cung cấp của bạn
Danh sách kiểm tra bảo mật nhà cung cấp phải giúp doanh nghiệp của bạn tiếp nhận nhà cung cấp mới một cách an toàn.
Hãy dùng danh sách này để hiểu rõ mối quan hệ:
- Nhà cung cấp sẽ truy cập, xử lý hoặc lưu trữ dữ liệu gì?
- Nhà cung cấp có xử lý dữ liệu cá nhân thay mặt chúng ta không?
- Nhà cung cấp có ký thỏa thuận xử lý dữ liệu (DPA) và xóa dữ liệu của chúng ta khi hợp đồng kết thúc không?
- Dữ liệu sẽ được lưu trữ và xử lý ở đâu?
- Nhà cung cấp có sử dụng đơn vị xử lý phụ không?
- Nhà cung cấp có bắt buộc MFA không?
- Nhà cung cấp kiểm soát quyền truy cập của nhân viên vào dữ liệu khách hàng như thế nào?
- Doanh nghiệp của chúng ta có thể gán quyền theo vai trò không?
- Có thể xóa quyền truy cập ngay lập tức không?
- Nhà cung cấp có cung cấp nhật ký kiểm tra hoặc báo cáo hoạt động của quản trị viên không?
- Nhà cung cấp mã hóa dữ liệu như thế nào?
- Nhà cung cấp sẽ thông báo cho chúng ta về sự cố bảo mật nhanh đến mức nào?
- Nhà cung cấp có quy trình duy trì hoạt động kinh doanh hoặc khôi phục sau thảm họa không?
- Nhà cung cấp có thể cung cấp tài liệu bảo mật, chứng nhận hoặc bản tóm tắt kiểm tra không?
- Nhà cung cấp từng gặp sự cố bảo mật được báo cáo công khai chưa, và họ đã xử lý sự cố đó như thế nào?
- Ai sở hữu và kiểm soát công ty, và công ty hoạt động dưới quyền tài phán nào?
- Sản phẩm có mã nguồn mở hoặc được kiểm tra độc lập để có thể xác minh các tuyên bố bảo mật của sản phẩm không?
Danh sách kiểm tra phải thể hiện mọi rủi ro mà doanh nghiệp của bạn đang chấp nhận. Một nhà cung cấp thiếu chứng nhận chính thức vẫn có thể phù hợp cho công việc rủi ro thấp. Một nhà cung cấp có quyền quản trị viên, xác thực yếu, mốc thời gian xử lý sự cố mơ hồ hoặc không có quy trình xóa rõ ràng là một quyết định hoàn toàn khác.
Với những nhà cung cấp đang được sử dụng, hãy đưa danh sách kiểm tra trở lại trong các lần gia hạn và đánh giá theo lịch. Phê duyệt ban đầu có thể không còn phản ánh cách công cụ được sử dụng hiện nay. Một nhà cung cấp được đưa vào cho một dự án nhỏ có thể âm thầm trở thành một phần trong vận hành khách hàng, quy trình tài chính hoặc các tích hợp trọng yếu.
Cách Proton Pass for Business hỗ trợ kiểm soát quyền truy cập nhà cung cấp
Quản lý rủi ro nhà cung cấp trở nên khó khăn hơn nhiều khi quyền truy cập của bên thứ ba được quản lý bên ngoài một hệ thống được kiểm soát. Một nhà cung cấp có thể đã được phê duyệt, ghi nhận và ràng buộc bằng hợp đồng, nhưng rủi ro thực tế thường phụ thuộc vào các đường dẫn truy cập hằng ngày: thông tin đăng nhập dùng chung, quyền, mã khóa, mã khôi phục, khóa API và tài khoản cần được xem xét hoặc xóa khi mối quan hệ thay đổi.
Một trình quản lý mật khẩu cho doanh nghiệp như Proton Pass for Business giúp doanh nghiệp đưa quyền truy cập đó vào một quy trình an toàn hơn và có thể kiểm tra. Nhóm có thể lưu trữ thông tin đăng nhập của nhà cung cấp trong các kho mã hóa đầu cuối, tạo mật khẩu mạnh và duy nhất, dùng tự động điền để giảm thao tác thủ công, quản lý mã khóa và chia sẻ quyền truy cập mà không gửi mật khẩu qua email, chat hoặc tài liệu dự án.
Cụ thể với quyền truy cập của nhà cung cấp, các kho dùng chung có thể giúp tách biệt thông tin đăng nhập theo nhà cung cấp, dự án, nhóm hoặc mức độ nhạy cảm. Điều này giúp tổ chức quyền truy cập dễ dàng hơn, xem xét ai có quyền truy cập vào thứ gì và xóa quyền truy cập khi hợp đồng kết thúc, người liên hệ của nhà cung cấp thay đổi hoặc sự cố cần được ngăn chặn nhanh chóng.
Một trình quản lý mật khẩu cho nhóm IT bổ sung lớp quản trị cần thiết khi quy trình trở nên chính thức hơn. Chính sách, báo cáo, nhật ký, kiểm soát truy cập theo vai trò, cấp phát SCIM và tích hợp đăng nhập một lần giúp doanh nghiệp quản lý quyền truy cập nhất quán giữa các nhóm thay vì phụ thuộc vào thói quen của từng cá nhân.
Proton Pass for Business hỗ trợ doanh nghiệp của bạn bằng cách kiểm soát thông tin đăng nhập và đường dẫn truy cập mà nhà cung cấp dùng để làm việc với doanh nghiệp. Sản phẩm cũng có mã nguồn mở và được kiểm tra độc lập, nên đáp ứng cùng danh sách kiểm tra mà chúng tôi khuyên bạn áp dụng cho nhà cung cấp của chính mình. Khi quyền truy cập của nhà cung cấp được lưu trữ, chia sẻ, xem xét và thu hồi từ một môi trường được kiểm soát, rủi ro nhà cung cấp sẽ dễ quản lý hơn ngoài đánh giá ban đầu.
Kiểm soát quyền truy cập thông tin đăng nhập của bên thứ ba một cách an toàn bằng trình quản lý mật khẩu cho doanh nghiệp.
