Các phương pháp hay nhất về đánh giá rủi ro của bên thứ ba vào năm 2023

Đánh giá rủi ro an ninh mạng do các nhà cung cấp và nhà cung cấp dịch vụ bên thứ ba gây ra rất tốn thời gian, phức tạp về hoạt động và thường có nhiều lỗi.

Bạn cần theo dõi các yêu cầu bạn gửi, đuổi theo các nhà cung cấp chưa trả lời và đảm bảo rằng khi họ trả lời họ trả lời một cách kịp thời và chính xác. Cùng với bảng câu hỏi đánh giá rủi ro của nhà cung cấp, các tổ chức cần một quy trình thu thập thông tin được tiêu chuẩn hóa để đánh giá chính xác tình hình bảo mật bên ngoài của các nhà cung cấp dựa trên các tiêu chuẩn ngành, chính sách bảo mật và các biện pháp bảo mật đã được thiết lập.

Bất kỳ chương trình quản lý rủi ro của bên thứ ba mạnh mẽ nào cũng phải có các quy trình và hướng dẫn được thiết lập bao gồm quy trình giới thiệu nhà cung cấp, thu thập dữ liệu, xem xét câu trả lời và yêu cầu khắc phục.

Tin tốt là có phần mềm có thể hợp lý hóa quy trình. UpGuard Vendor Risk có thể giúp bạn giám sát tình trạng bảo mật bên ngoài của nhà cung cấp trong thời gian thực, tự động đánh giá bảo mật, ưu tiên và khắc phục rủi ro.

Nếu không có quy trình đánh giá rõ ràng, các CISO và nhóm quản lý rủi ro của nhà cung cấp sẽ trở nên gánh nặng với các email liên tục và nhiều bảng tính được sử dụng để thu thập, phân tích và khắc phục các vấn đề trong chuỗi cung ứng.

Và như bạn đã biết, khi các nhóm trở nên quá phức tạp trong hoạt động, việc thẩm định sẽ bị gạt sang một bên, các nhà cung cấp rủi ro cao bị bỏ qua và hiệu quả của chương trình bảo mật của bạn bị giảm sút.

Để hỗ trợ bạn phát triển quy trình đánh giá rủi ro của nhà cung cấp, chúng tôi đã tổng hợp danh sách năm phương pháp hay nhất để thực hiện bảng câu hỏi đánh giá rủi ro của bên thứ ba và quản lý nhà cung cấp.

Tìm hiểu cách UpGuard đơn giản hóa > quản lý rủi ro của nhà cung cấp

Hiểu danh mục nhà cung cấp bên thứ ba của bạn

Trước khi có thể bắt đầu gửi đánh giá nhà cung cấp, bạn cần có hàng tồn kho chính xác về tất cả các mối quan hệ bên thứ ba. Nếu không có, gần như không thể đo lường chính xác mức độ rủi ro mạng mà nhà cung cấp của bạn đưa ra.

Điều quan trọng là phải hiểu rằng các sự cố bảo mật liên quan đến các nhà cung cấp có thể dẫn đến vi phạm dữ liệu đáng kể, ngay cả khi họ không xử lý dữ liệu nhạy cảm. Như chúng ta đã thấy với Target, ngay cả một nhà cung cấp phi kỹ thuật như nhà cung cấp HVAC cũng có thể dẫn đến việc tiếp xúc với hơn 110 triệu thẻ tín dụng và dữ liệu cá nhân của người tiêu dùng.

Hãy nhớ rằng, các nhà cung cấp không nhất thiết phải có các biện pháp bảo mật thông tin giống như bạn. Bạn chỉ cần cảm thấy thoải mái rằng họ có đủ các biện pháp kiểm soát bảo mật dữ liệu và bảo vệ dữ liệu.

Tải xuống mẫu đánh giá rủi ro nhà cung cấp của bạn >

Một điểm khởi đầu tốt là đầu tư vào một công cụ giám sát bảo mật tự động, như UpGuard Vendor Risk, có thể theo dõi và liên tục giám sát các biện pháp kiểm soát bảo mật quan trọng của nhà cung cấp bên thứ ba và thứ tư của bạn. Các công cụ này không chỉ có thể giúp bạn giao tiếp với các nhà cung cấp mà còn có thể giúp mở rộng quy mô chương trình quản lý rủi ro nhà cung cấp của bạn bằng cách giúp bạn xác định nhà cung cấp nào gây ra rủi ro cao nhất thông qua xếp hạng bảo mật tự động, luôn cập nhật.

Tìm hiểu cách giảm tác động của vi phạm bên thứ ba.

Tìm mẫu bảng câu hỏi nhà cung cấp phù hợp với bạn

Khi bạn có một bản kiểm kê của các nhà cung cấp của mình, bạn cần quyết định loại bảng câu hỏi quản lý rủi ro nhà cung cấp mà bạn sẽ sử dụng. Đây có thể là một trong những bảng câu hỏi đánh giá nhà cung cấp hàng đầu hoặc tùy chỉnh.

Bảng câu hỏi tiêu chuẩn hóa rất tốt nếu bạn cần tuân thủ các quy định như GDPR, LGPD, CCPA, v.v. hoặc các xu hướng cụ thể của ngành như ISO 27001 và NIST SP 800-171. Tuy nhiên, một số tổ chức cần hiểu biết sâu hơn về TPRM và phát triển bảng câu hỏi tùy chỉnh.

Vấn đề với bảng câu hỏi tùy chỉnh là chúng có thể khó hoàn thành vì các nhà cung cấp thường muốn tận dụng các bảng câu hỏi trước đây để trả lời bảng câu hỏi.

Bất kể bạn sử dụng bảng câu hỏi nào, bạn nên lưu ý rằng các nhà cung cấp phải điền vào bảng câu hỏi rất nhiều. Hãy nghĩ đến việc đầu tư vào một công cụ giúp các nhà cung cấp dễ dàng quản lý phản hồi của họ.

Nếu bạn không chắc bắt đầu từ đâu, các mẫu đánh giá rủi ro phổ biến của nhà cung cấp bao gồm:

• Các biện pháp kiểm soát bảo mật quan trọng của CIS (CIS First 5/CIS Top 20): Các biện pháp kiểm soát CIS để phòng thủ mạng hiệu quả là một tập hợp các hành động được ưu tiên tạo thành một tập hợp các biện pháp phòng thủ chuyên sâu cụ thể và có thể hành động tốt nhất để giảm thiểu các cuộc tấn công mạng phổ biến nhất. Kiểm soát CIS ánh xạ đến nhiều khuôn khổ tuân thủ chính như Khung an ninh mạng NIST, NIST 800-53, dòng ISO 27000 và các quy định như PCI-DSS, HIPAA, NERC CIP và FISMA.
• Bảng câu hỏi sáng kiến đánh giá đồng thuận (CAIQ): Bảng câu hỏi sáng kiến đánh giá đồng thuận (CAIQ) là một đánh giá bảo mật được cung cấp bởi Liên minh Bảo mật Đám mây (CSA), một tổ chức hàng đầu chuyên xác định và nâng cao nhận thức về các phương pháp hay nhất về điện toán đám mây an toàn. CAIQ giúp người tiêu dùng đám mây và kiểm toán viên đánh giá khả năng bảo mật thông tin của các trung tâm dữ liệu và nhà cung cấp đám mây.

• Công cụ đánh giá nhà cung cấp cộng đồng giáo dục đại học (HECVAT/HECVAT Lite): Công cụ đánh giá nhà cung cấp cộng đồng giáo dục đại học (HECVAT) là một mẫu đánh giá bảo mật khái quát hóa các câu hỏi bảo mật thông tin và bảo vệ dữ liệu giáo dục đại học, cũng như các vấn đề liên quan đến các dịch vụ đám mây để đảm bảo tính nhất quán và dễ sử dụng.

  Tìm hiểu cách tuân thủ >
  HECVAT

• Bảng câu hỏi ISO 27001: ISO/IEC 27001 là một trong những tiêu chuẩn bảo mật thông tin nổi tiếng và được sử dụng nhiều nhất và là một phần của nhóm tiêu chuẩn ISO/IEC 27000. Nó được xuất bản bởi Tổ chức Tiêu chuẩn hóa Quốc tế (ISO) và Ủy ban Kỹ thuật Điện Quốc tế (IEC).
• NIST SP 800-171: Ấn phẩm đặc biệt của NIST 800-171, Bảo vệ thông tin không được phân loại được kiểm soát trong các hệ thống và tổ chức phi liên bang (NIST SP 800-171) cung cấp cho các cơ quan liên bang một bộ hướng dẫn được thiết kế để đảm bảo rằng Thông tin không được phân loại được kiểm soát (CUI) vẫn được bảo mật, có sẵn và không thay đổi trong các hệ thống và tổ chức phi liên bang. Bằng cách tuân thủ NIST SP 800-171, bạn cũng sẽ đáp ứng phần lớn các tiêu chí cho NIST SP 800-53 và việc tuân thủ NIST SP 800-53 là một phần quan trọng của việc tuân thủ FISMA và FedRAMP.
• Bảng câu hỏi thu thập thông tin tiêu chuẩn hóa (SIG/SIG-Lite): Bảng câu hỏi Thu thập thông tin tiêu chuẩn (SIG) được sử dụng để thực hiện đánh giá ban đầu về các nhà cung cấp, thu thập thông tin để xác định cách quản lý rủi ro bảo mật trên 18 lĩnh vực rủi ro khác nhau. SIG được phát triển bởi Shared Assessments và là một công cụ toàn diện để đánh giá quản lý rủi ro về an ninh mạng, CNTT, quyền riêng tư, bảo mật dữ liệu và tính liên tục trong kinh doanh.
• Bảng câu hỏi VSA (VSA): Bảng câu hỏi của Liên minh An ninh Nhà cung cấp (VSA) được tạo ra bởi một liên minh các công ty cam kết cải thiện bảo mật Internet. Không giống như các bảng câu hỏi khác, quy trình đánh giá VSA được tạo ra với nhà cung cấp trong tâm trí. Trọng tâm của nó là loại bỏ các câu hỏi không liên quan, giảm thời gian cần thiết để InfoSec và các nhóm bảo mật hoàn thành bảng câu hỏi.
• Bảng câu hỏi Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán (PCI DSS): Tiêu chuẩn bảo mật dữ liệu ngành thẻ thanh toán (PCI-DSS) là tiêu chuẩn bảo mật thông tin và bảo mật dữ liệu dành cho các tổ chức xử lý thẻ tín dụng có thương hiệu từ các chương trình thẻ chính.

Đọc hướng dẫn đầy đủ của chúng tôi về bảng câu hỏi đánh giá nhà cung cấp hàng đầu >

Xem video này để tìm hiểu cách UpGuard hợp lý hóa quy trình đánh giá rủi ro.

Tham quan các tính năng đánh giá rủi ro của UpGuard >

Theo dõi những gì bạn gửi đi

Trước đây, bảng câu hỏi rất dễ bị lạc trong cuộc liên kết qua lại giữa các hộp thư đến hoặc đơn giản là đặt nhầm các tệp Excel đã hoàn thành. Đó là lý do tại sao điều quan trọng là phải phát triển một hệ thống tập trung, nơi bạn có thể liên tục theo dõi và xem xét tiến độ mà các nhà cung cấp đang thực hiện trên bảng câu hỏi.

Phần mềm quản lý rủi ro của nhà cung cấp tốt sẽ cung cấp cho các nhà cung cấp một cách đơn giản để liên hệ với nhóm của bạn về bất kỳ mối quan tâm nào, cũng như cung cấp thêm bằng chứng hoặc bằng chứng về các biện pháp kiểm soát bảo mật của họ.

Ngoài ra, chúng tôi khuyên bạn nên đặt thời hạn rõ ràng và theo dõi tự động để bạn và nhà cung cấp biết chính xác những gì sẽ xảy ra và khi nào.

Tìm hiểu cách truyền đạt rủi ro của bên thứ ba cho các bên liên quan >

Sử dụng công nghệ để hợp lý hóa các quy trình

Bảng câu hỏi đánh giá rủi ro không phải là mới. Bạn có thể đã gửi bảng câu hỏi qua email và quản lý nhiều bảng tính Excel để kiểm tra câu trả lời. Tuy nhiên, công nghệ như UpGuard Vendor Risk có thể giúp bạn mở rộng quy trình của mình bằng cách cho phép máy tính theo dõi mọi thứ cho bạn.

Một công cụ tốt sẽ cung cấp cho bạn và các nhà cung cấp bên thứ ba của bạn:

• Một cách để cung cấp câu trả lời, bằng chứng và đặt bất kỳ câu hỏi nào họ có thể có trong một môi trường tập trung
• Một cách để ủy thác câu trả lời cho những người mới trong tổ chức, để đúng người có thể trả lời từng câu hỏi.
• Phương tiện giám sát liên tục (hoặc giám sát liên tục) tất cả các mức độ rủi ro, trong quá trình thẩm định và hơn thế nữa.
• Một cách để khắc phục và thảo luận về các vấn đề, xem xét bằng chứng và yêu cầu thông tin bổ sung hoặc bằng chứng về các câu hỏi cụ thể, ví dụ: bạn có những chính sách kiểm soát truy cập nào?

Chiến lược quản lý rủi ro của bên thứ ba của bạn phải có khả năng xác định rủi ro tiềm ẩn của các nhà cung cấp mới, trước khi giới thiệu. Giám sát rủi ro thẩm định nên là thước đo chính trong quy trình quản lý rủi ro của nhà cung cấp.

Khả năng sử dụng của công cụ càng tốt, bạn càng có thể dành nhiều thời gian để khắc phục rủi ro với các nhà cung cấp thay vì tập trung vào các vấn đề nhỏ của việc thu thập dữ liệu.

Để đạt được mức độ quản lý của bên thứ ba giành được các mối quan hệ đối tác mới, hãy tìm kiếm các cơ hội tự động hóa trong các lĩnh vực của khuôn khổ quản lý rủi ro được biết đến với sự kém hiệu quả và có thể tác động tiêu cực đến các thỏa thuận cấp dịch vụ (SLA). Những kẻ phá vỡ như sử dụng Bảng tính Excel để quản lý bảng câu hỏi, rủi ro hoạt động và quản lý vòng đời nhà cung cấp kém tổng thể gây căng thẳng cho mối quan hệ của nhà cung cấp và kêu gọi sự chú ý tiêu cực từ quản lý cấp cao.

Tìm hiểu cách quản lý rủi ro của nhà cung cấp dịch vụ >

UpGuard bao gồm nhiều tính năng được thiết kế để nén vòng đời đánh giá rủi ro, bao gồm AIEnhace - công nghệ AI giúp các nhà cung cấp đưa ra phản hồi rõ ràng và toàn diện từ đầu vào bao gồm bản nháp được viết sơ bộ hoặc gạch đầu dòng.

Xem video dưới đây để tìm hiểu cách UpGuard giải quyết những thất vọng phổ biến trong mối quan hệ với nhà cung cấp.

Tin cậy nhưng xác minh

Chỉ vì bạn đã nhận được một bảng câu hỏi bảo mật đã hoàn thành không có nghĩa là công việc của bạn đã hoàn thành. Bước tiếp theo là xác minh hồ sơ rủi ro để xác nhận rằng những gì họ nói là đúng. Mặc dù bạn sẽ không thể làm điều này cho các biện pháp kiểm soát bảo mật nội bộ, nhưng có một loạt các điểm dữ liệu có thể nhìn thấy bên ngoài mà bạn xác minh.

Xếp hạng bảo mật và quét tự động của UpGuard kiểm tra:

• Dễ bị tấn công giữa người
• Chứng chỉ SSL/TLS không an toàn
• Cài đặt SPF, DKIM và DMARC
• Bảo mật truyền tải nghiêm ngặt HTTP (HSTS)
• Rủi ro giả mạo email và lừa đảo
• Lỗ hổng bảo mật
• Tính nhạy cảm với phần mềm độc hại
• Bảo mật mạng
• Các cổng quản trị, cơ sở dữ liệu, ứng dụng, email và chia sẻ tệp mở không cần thiết
• Tiếp xúc với các vi phạm dữ liệu đã biết và rò rỉ dữ liệu
• Phần mềm dễ bị tấn công
• Khả năng truy cập HTTP
• Cấu hình cookie an toàn

Để đánh giá các biện pháp kiểm soát bảo mật thông tin của nhà cung cấp, UpGuard Vendor Risk có thể giảm thiểu lượng thời gian tổ chức của bạn dành để đánh giá các biện pháp kiểm soát bảo mật thông tin liên quan và bên thứ ba bằng cách tự động hóa bảng câu hỏi của nhà cung cấp và cung cấp các mẫu bảng câu hỏi của nhà cung cấp.

Chúng tôi cũng có thể giúp bạn ngay lập tức so sánh các nhà cung cấp hiện tại và tiềm năng của bạn so với ngành của họ, để bạn có thể xem họ xếp chồng lên nhau như thế nào.

Để tự đánh giá, UpGuard BreachSight có thể giám sát tổ chức của bạn về 70+ biện pháp kiểm soát bảo mật bằng cách cung cấp xếp hạng an ninh mạng đơn giản, dễ hiểu và tự động phát hiện thông tin đăng nhập bị rò rỉ và lộ dữ liệu trong vùng lưu trữ S3, máy chủ Rsync, kho lưu trữ GitHub, v.v.

Chuyên môn của chúng tôi đã được giới thiệu trên các tạp chí như The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters và TechCrunch.

Bạn có thể đọc thêm về những gì khách hàng của chúng tôi đang nói trên các bài đánh giá của Gartner.