المخاطر الرقمية للطرف الثالث: تقييم مورد بالغ الأهمية

ما يُساعد هذا الدليل على تحقيقه

• التمييز بين الموردين المفيدين والأطراف الثالثة بالغة الأهمية.
• التحقق بما يتجاوز التقييم الذاتي.
• مراجعة سلاسل التبعية.
• إعداد خطة خروج عملية.

فحص سريع

• ما الخدمة التي ستتوقف في حال تعطل هذا المورد؟
• ما هي البيانات التي يمكن قراءتها أو تحويلها أو تصديرها؟
• ما هي الجهات الفرعية الأساسية؟
• هل تم إثبات إمكانية استعادة البيانات؟
• هل يمكن استعادة البيانات بتنسيق قابل للاستخدام؟

طريقة خطوة بخطوة

1. 1

   تصنيف الأهمية

   ربط كل مورد بالعمليات والبيانات والمستخدمين والالتزامات ومواعيد الاستعادة. الإنفاق المرتفع ليس دائمًا أمرًا بالغ الأهمية؛ فقد تكون واجهة برمجة التطبيقات الصغيرة كذلك.

   المُخرَج: الخدمة، والأثر، وملف تعريف المالك.

2. 2

   طلب أدلة متناسبة

   البنية المستهدفة، والوصول، والحوادث، والنسخ الاحتياطية، والاختبارات، والشهادات ذات الصلة، والاستثناءات. لا يُغني التصديق عن فهم نطاقه.

   المُخرَج: ملف الأدلة ونقاط التوضيح.

3. 3

   رسم خريطة السلسلة

   تحديد الاستضافة، ومعالجات البيانات، ومكونات البرمجيات كخدمة (SaaS)، والتبعيات الجغرافية. البحث عن تركيز مشترك بين عدة موردين.

   المُخرَج: خريطة التبعية والتركيز.

4. 4

   سيناريوهات الاختبار

   تقييم حالات انقطاع الخدمة، والاختراق، وفقدان البيانات، وتغيير الملكية، وإنهاء العقد. إعطاء كل سيناريو إشارة، وقرار، وخطة بديلة.

   المُخرَج: سيناريوهات الفشل والتدابير التعويضية.

5. 5

   مواءمة العقد مع العمليات التشغيلية.

   التحقق من إمكانية تطبيق مواعيد الإخطار، والوصول إلى الأدلة، والتعاقد من الباطن، والإرجاع، والحذف، ودعم الخروج عمليًا.

   المُخرَج: الضوابط التعاقدية والتشغيلية.

6. 6

   اتخاذ القرار والمتابعة.

   بيان القبول أو المعالجة أو الرفض مع تحديد المسؤول، والموعد النهائي، ودليل الإغلاق. إعادة التقييم بعد أي تغيير جوهري أو حادث.

   المُخرَج: خطة اتخاذ القرار المشروط والمتابعة.

مؤشرات الإدارة

الأخطاء الشائعة

• إرسال نفس الاستبيان إلى جميع الموردين
• اعتبار الشهادة دليلاً على انعدام المخاطر
• تجاهل مقاولي الباطن من الموردين
• التفاوض على الخروج دون اختباره