סיכון דיגיטלי של צד שלישי: הערכת ספק קריטי

מה מדריך זה עוזר להשיג

• הפרדת ספקים שימושיים מצדדים שלישיים קריטיים באמת.
• אימות מעבר להערכה עצמית.
• בדיקת שרשראות תלות.
• הכנת יציאה מעשית.

בדיקה מהירה

• איזה שירות נעצר אם ספק זה נכשל?
• אילו נתונים הוא יכול לקרוא, לשנות או לייצא?
• אילו קבלני משנה חיוניים?
• האם הודגם שחזור?
• האם ניתן לשחזר נתונים בפורמט שמיש?

שיטה שלב אחר שלב

1. 1

   סיווג קריטיות

   חבר כל ספק לתהליכים, נתונים, משתמשים, התחייבויות ותאריכי יעד לשחזור. הוצאות גבוהות לא תמיד קריטיות; API קטן עשוי להיות קריטי.

   תוצר: שירות, השפעה ופרופיל בעלים.

2. 2

   בקשת ראיות פרופורציונליות

   מיקוד בארכיטקטורה, גישה, אירועים, גיבויים, בדיקות, אישורים רלוונטיים וחריגים. אישור אינו מחליף הבנת היקפה.

   תוצר: קובץ ראיות ונקודות הבהרה.

3. 3

   מיפוי השרשרת

   זיהוי אירוח, מעבדי נתונים, רכיבי SaaS ותלות גיאוגרפיות. חיפוש ריכוז משותף בין מספר ספקים.

   תוצר: מפת תלות וריכוז.

4. 4

   תרחישי בדיקה

   הערכת הפסקות חשמל, פגיעה, אובדן נתונים, שינוי בעלות וסיום חוזה. תן לכל תרחיש אות, החלטה וגיבוי.

   תוצר: תרחישי כשל ואמצעי פיצוי.

5. 5

   יישור חוזה ותפעול.

   בדיקה שמועדי הודעה, גישה לראיות, קבלנות משנה, החזרה, מחיקה ותמיכה ביציאה יכולים לעבוד בפועל.

   תוצר: בקרות חוזיות ותפעוליות.

6. 6

   החלטה ומעקב.

   ציין קבלה, תיקון או דחייה עם בעלים, מועד אחרון וסגירת ראיות. הערכה מחודשת לאחר שינוי או תקרית משמעותית.

   תוצר: החלטה מותנית ותוכנית ניטור.

מדדי ניהול

טעויות נפוצות

• שליחת אותו שאלון לכל ספק
• התייחסות להסמכה כהיעדר סיכון
• התעלמות מקבלני משנה של ספקים
• משא ומתן על יציאה מבלי לבדוק אותה