참고 자료 · 07
제3자 디지털 위험: 핵심 공급업체 평가
민감한 서비스 또는 데이터 세트를 위탁하기 전에 증거, 종속성, 하청업체, 연속성 및 복구 가능성을 연결하십시오.
업데이트됨 · 3 min
이 가이드가 달성하는 목표
- 유용한 공급업체와 진정으로 중요한 제3자를 구분합니다.
- 자체 평가를 넘어 검증합니다.
- 종속성 체인을 확인합니다.
- 실행 가능한 종료 계획을 준비합니다.
빠른 확인
- 이 공급업체가 실패할 경우 어떤 서비스가 중단됩니까?
- 어떤 데이터를 읽고, 변환하고, 내보낼 수 있습니까?
- 어떤 하청업체가 필수적입니까?
- 복구가 입증되었습니까?
- 데이터를 사용 가능한 형식으로 복구할 수 있습니까?
단계별 방법
- 1
중요도 분류
각 공급업체를 프로세스, 데이터, 사용자, 의무 및 복구 기한과 연결합니다. 높은 지출이 항상 중요한 것은 아닙니다. 작은 API가 중요할 수도 있습니다.
결과물: 서비스, 영향 및 소유자 프로필
- 2
비례적인 증거 요청
대상 아키텍처, 액세스, 사고, 백업, 테스트, 관련 인증 및 예외 사항. 증명은 범위에 대한 이해를 대체할 수 없습니다.
결과물: 증거 파일 및 설명 항목
- 3
연결 고리 파악
호스팅, 데이터 처리기, SaaS 구성 요소 및 지리적 종속성 식별. 여러 공급업체에 걸쳐 공통적인 집중도를 찾습니다.
결과물: 종속성 및 집중도 지도
- 4
테스트 시나리오
장애, 침해, 데이터 손실, 소유권 변경 및 계약 종료 상황을 평가합니다. 각 시나리오에 신호, 결정 및 대체 방안을 제시합니다.
산출물: 실패 시나리오 및 보상 조치
- 5
계약과 운영의 일치성 확보
통지 기한, 증거 접근, 하도급, 반환, 삭제 및 종료 지원이 실제로 작동하는지 확인
산출물: 계약 및 운영 통제
- 6
결정 및 모니터링
담당자에게 승인, 시정 또는 거부 의사를 명시하고, 기한 및 완료 증거를 제시합니다. 주요 변경 또는 사고 발생 후 재평가합니다.
산출물: 조건부 결정 및 모니터링 계획
가상 예시
예시 상황
서비스는 주문 확인을 위해 이메일 제공업체에 의존합니다. 팀은 액세스, 전송된 데이터, 수신된 알림 및 허용 가능한 중단 시간을 기록합니다.
결정 및 예상 증거
계획에는 계약 조항에만 의존하는 대신 에스컬레이션 연락처, 복구 점검 및 테스트 가능한 연속성 옵션이 포함되어야 합니다.
관리 지표
| 지표 | 측정 대상 | 첫 번째 조치 |
|---|---|---|
| 범위 | 소유자와 최신 파일이 있는 중요 공급업체 | 대체 수단이 없는 주소 서비스 |
| 유효한 증거 | 최근 증거로 뒷받침되는 중요 통제 | 결정에 영향을 미칠 수 있는 항목 요청 |
| 집중 | 동일한 행위자 또는 지역에 의존하는 서비스 | 현실적인 대안 준비 |
| 가역성 | 서비스 및 데이터 복구를 위한 측정된 시간 및 품질 | 긴급하게 필요하기 전에 수출 테스트 |
일반적인 실수
- 모든 공급업체에 동일한 설문지 발송
- 인증을 위험이 없는 것으로 간주
- 공급업체 하청업체 무시
- 테스트 없이 출구 협상
자주 묻는 질문
모든 공급업체를 감사해야 하는가?
아니요. 필수 서비스, 민감한 데이터, 의무 또는 기존 집중도에 영향을 미치는 공급업체부터 시작하십시오.
인증만으로 충분한가?
아니요. 유용한 증거가 될 수 있지만, 범위, 날짜, 제외 사항 및 사용과의 관련성을 확인해야 합니다.
공급업체 검토는 얼마나 자주 해야 합니까?
중요도와 변화 속도에 따라, 그리고 사고, 인수, 주요 서비스 변경 또는 중요한 하청 변경 후에 검토해야 합니다.
공식 참조
참조는 방법을 뒷받침합니다. 상황에 맞게 검사를 조정하십시오. 이는 인증이 아닙니다. 원본 참조 제목 및 소스 문서는 다른 언어로 작성되었을 수 있습니다.
