Bronnen · 07
Digitaal risico van derden: beoordeel een kritieke leverancier
Verbind bewijsmateriaal, afhankelijkheden, onderaannemers, continuïteit en omkeerbaarheid voordat u een gevoelige dienst of dataset toevertrouwt.
Bijgewerkt · 3 min
Wat deze handleiding helpt bereiken
- Onderscheid nuttige leveranciers van werkelijk kritieke derden
- Verifieer verder dan zelfbeoordeling
- Zie afhankelijkheidsketens
- Bereid een werkbare exit voor
Snelle controle
- Welke dienst stopt als deze leverancier faalt?
- Welke gegevens kan deze lezen, transformeren of exporteren?
- Welke onderaannemers zijn essentieel?
- Is herstel aangetoond?
- Kunnen gegevens in een bruikbaar formaat worden hersteld?
Stapsgewijze methode
- 1
Classificeer de kritikaliteit
Koppel elke leverancier aan processen, gegevens, gebruikers, verplichtingen en hersteltermijnen. Hoge uitgaven zijn niet altijd kritiek; een kleine API kan dat wel zijn.
Resultaat: service, impact en eigenaarsprofiel.
- 2
Vraag om evenredig bewijs
Doelarchitectuur, toegang, incidenten, back-ups, tests, relevante certificeringen en uitzonderingen. Een attestatie vervangt niet het begrijpen van de reikwijdte ervan.
Resultaat: bewijsmateriaal en verduidelijkingen.
- 3
Breng de keten in kaart
Identificeer hosting, gegevensverwerkers, SaaS-componenten en geografische afhankelijkheden. Zoek naar gemeenschappelijke concentraties bij meerdere leveranciers.
Resultaat: kaart van afhankelijkheden en concentraties.
- 4
Testscenario's
Beoordeel uitval, inbreuk, gegevensverlies, eigendomsoverdracht en contractbeëindiging. Geef elk scenario een signaal, beslissing en terugvaloptie.
Resultaat: faalscenario's en compenserende maatregelen.
- 5
Afstemming van contract en uitvoering
Controleren of de termijnen voor meldingen, toegang tot bewijsmateriaal, uitbesteding, teruggave, verwijdering en ondersteuning bij beëindiging in de praktijk werken.
Resultaat: contractuele en operationele controles.
- 6
Beslissen en monitoren
Acceptatie, herstel of afwijzing vastleggen met een eigenaar, deadline en bewijsmateriaal voor afsluiting. Herbeoordelen na een grote wijziging of incident.
Resultaat: voorwaardelijk besluit en monitoringplan.
Fictief uitgewerkt voorbeeld
Illustratieve situatie
Een service is afhankelijk van een e-mailprovider voor orderbevestiging. Het team registreert de toegang, overgedragen gegevens, ontvangen meldingen en de acceptabele onderbrekingstijd.
Beslissing en verwachte bewijs
Het plan omvat een escalatiecontact, een herstelcontrole en een testbare continuïteitsoptie in plaats van alleen te vertrouwen op een contractbepaling.
Managementindicatoren
| Indicator | Wat het meet | Eerste actie |
|---|---|---|
| Dekking | Kritieke leveranciers met een eigenaar en actueel dossier | Adresdiensten zonder terugvalmogelijkheid |
| Geldig bewijs | Belangrijke controles ondersteund door recent bewijs | Verzoeken die de beslissing kunnen beïnvloeden |
| Concentratie | Diensten afhankelijk van dezelfde actor of regio | Een realistisch alternatief voorbereiden |
| Omkeerbaarheid | Gemeten tijd en kwaliteit voor het herstellen van service en gegevens | Een export testen voordat deze dringend nodig is |
Veelvoorkomende fouten
- Dezelfde vragenlijst naar elke leverancier sturen
- Certificering beschouwen als afwezigheid van risico
- Onderaannemers van leveranciers negeren
- Onderhandelen over een exit zonder deze te testen
Veelgestelde vragen
Moet elke leverancier gecontroleerd worden?
Nee. Begin met de leveranciers waarvan het falen een essentiële dienst, gevoelige gegevens, een verplichting of een bestaande concentratie beïnvloedt.
Is certificering voldoende?
Nee. Het kan nuttig bewijsmateriaal zijn, maar de reikwijdte, datum, uitsluitingen en relatie tot uw gebruik moeten worden gecontroleerd.
Hoe vaak moet een leverancier worden beoordeeld?
Afhankelijk van de kritikaliteit en het tempo van de veranderingen, en na een incident, overname, grote servicewijziging of wijziging in de uitbesteding van materialen.
Officiële referenties
Referenties ondersteunen de methode. Pas controles aan uw context aan; ze zijn geen certificering. Originele referentietitels en brondocumenten kunnen in een andere taal zijn.
