Resurssit · 07
Kolmannen osapuolen digitaalinen riski: arvioi kriittinen toimittaja
Yhdistä todisteet, riippuvuudet, alihankkijat, jatkuvuus ja palautuvuus ennen arkaluonteisen palvelun tai tietojoukon uskomista.
Päivitetty · 2 min
Mitä tämä opas auttaa saavuttamaan
- Erota hyödylliset toimittajat aidosti kriittisistä kolmansista osapuolista.
- Varmista itsearviointia pidemmälle.
- Katso riippuvuusketjut.
- Valmistele toimiva poistumissuunnitelma.
Pikatarkistus
- Mikä palvelu pysähtyy, jos tämä toimittaja epäonnistuu?
- Mitä tietoja se voi lukea, muuttaa tai viedä?
- Mitkä alihankkijat ovat välttämättömiä?
- Onko palauttaminen osoitettu?
- Voidaanko tiedot palauttaa käyttökelpoiseen muotoon?
Vaiheittainen menetelmä
- 1
Kriittisyyden luokittelu
Yhdistä jokainen toimittaja prosesseihin, dataan, käyttäjiin, velvoitteisiin ja palautumisaikoihin. Suuret kulut eivät ole aina kriittisiä; pieni API voi olla.
Tuotos: palvelu, vaikutus ja omistajaprofiili.
- 2
Pyydä oikeasuhteista näyttöä
Kohdearkkitehtuuri, käyttöoikeudet, tapaukset, varmuuskopiot, testit, asiaankuuluvat sertifioinnit ja poikkeukset. Todennus ei korvaa sen laajuuden ymmärtämistä.
Tuotos: näyttötiedosto ja selvennykset.
- 3
Ketjun kartoitus
Tunnista hosting, tietojenkäsittelijät, SaaS-komponentit ja maantieteelliset riippuvuudet. Etsi yhteistä keskittymää useiden toimittajien välillä.
Tuotos: riippuvuus- ja keskittymäkartta.
- 4
Testiskenaariot
Arvioi käyttökatkoksia, vaarantumisia, tietojen menetyksiä, omistajuuden muutoksia ja sopimuksen irtisanomista. Anna jokaiselle skenaariolle signaali, päätös ja vararatkaisu.
Tuotanto: vikatilanteet ja korvaavat toimenpiteet.
- 5
Sopimuksen ja toiminnan yhteensovittaminen.
Tarkistetaan, että ilmoitusmääräajat, todisteiden saatavuus, alihankinta, palautus, poistaminen ja poistumistuki toimivat käytännössä.
Tuotanto: sopimus- ja operatiiviset kontrollit.
- 6
Päätökset ja seuranta.
Ilmoitetaan hyväksyntä, korjaus tai hylkääminen omistajan kanssa, määräaika ja sulkemistodisteet. Arvioidaan uudelleen merkittävän muutoksen tai tapahtuman jälkeen.
Tuotanto: ehdollinen päätös ja seurantasuunnitelma.
Kuvitteellinen esimerkki
Havainnollistava tilanne
Palvelu on riippuvainen sähköpostipalveluntarjoajasta tilausten vahvistamisessa. Tiimi tallentaa käyttöoikeudet, siirretyt tiedot, vastaanotetut hälytykset ja hyväksyttävän keskeytysajan.
Päätös ja odotettu näyttö
Suunnitelma sisältää eskalointiyhteydenoton, palautustarkistuksen ja testattavan jatkuvuusvaihtoehdon pelkän sopimuslausekkeen sijaan.
Johdon indikaattorit
| Indikaattori | Mitä se mittaa | Ensimmäinen toimenpide |
|---|---|---|
| Kattavuus | Kriittiset toimittajat, joilla on omistaja ja ajantasainen tiedosto | Palveluiden käsittely ilman varajärjestelmää |
| Pätevät todisteet | Tärkeät kontrollit, joita tukevat tuoreet todisteet | Päätöstä muuttaviin pyyntöihin liittyvät asiat |
| Keskittyminen | Samasta toimijasta tai alueesta riippuvaiset palvelut | Realistisen vaihtoehdon valmistelu |
| Palautettavuus | Palvelun ja datan palauttamiseen kuluvan ajan ja laadun mittaus | Viennin testaaminen ennen kuin sitä tarvitaan kiireellisesti |
Yleisiä virheitä
- Saman kyselylomakkeen lähettäminen jokaiselle toimittajalle
- Sertifioinnin käsittely riskittömänä
- Toimittajien alihankkijoiden huomiotta jättäminen
- Irtautumisen neuvotteleminen testaamatta sitä
Usein kysytyt kysymykset
Onko jokainen toimittaja auditoitava?
Ei. Aloita niistä, joiden epäonnistuminen vaikuttaa olennaiseen palveluun, arkaluontoisiin tietoihin, velvoitteeseen tai olemassa olevaan keskittymään.
Riittääkö sertifiointi?
Ei. Se voi olla hyödyllinen todiste, mutta sen laajuus, päivämäärä, poikkeukset ja suhde käyttöösi on tarkistettava.
Kuinka usein toimittaja tulisi arvioida?
Kriittisyyden ja muutosnopeuden mukaan sekä tapahtuman, hankinnan, merkittävän palvelumuutoksen tai olennaisen alihankintamuutoksen jälkeen.
Viralliset viitteet
Viitteet tukevat menetelmää. Sovita tarkastukset kontekstiisi; ne eivät ole sertifiointia. Alkuperäiset viitteiden otsikot ja lähdeasiakirjat voivat olla toisella kielellä.
