Lập kế hoạch bảng câu hỏi đánh giá bảo mật nhà cung cấp của bạn [Phiên bản năm 2023]

Quan hệ đối tác kinh doanh đòi hỏi sự tin tưởng, nhưng việc biết liệu các nhà cung cấp của bạn có xứng đáng với sự tin tưởng đó hay không là rất khó. Với sự phát triển của công nghệ thông tin, những cách mà niềm tin có thể bị phá vỡ, cố ý hoặc vô ý, đã được nhân lên và trở nên phức tạp hơn.

Bảng câu hỏi đánh giá bảo mật của nhà cung cấp là một phương pháp để xác minh rằng các nhà cung cấp dịch vụ tuân theo các biện pháp bảo mật thông tin thích hợp để doanh nghiệp của bạn có thể cân nhắc rủi ro khi ủy thác cho họ dữ liệu của bạn.

Bài viết này phác thảo một số gợi ý hữu ích để tạo bảng câu hỏi đánh giá nhà cung cấp kỹ lưỡng như một phần của chương trình bảo mật của bạn. Bảng câu hỏi an ninh nổi tiếng là khó chịu khi quản lý. Lập kế hoạch tốt là rất quan trọng để đảm bảo rằng bạn đặt câu hỏi đúng và theo cách cung cấp cho bạn cái nhìn sâu sắc nhất từ chương trình quản lý rủi ro nhà cung cấp của bạn.

1. Biết doanh nghiệp của bạn

Các loại dữ liệu mà doanh nghiệp của bạn tạo ra và các loại dịch vụ mà doanh nghiệp của bạn sử dụng là những cân nhắc chính để giảm thiểu rủi ro của bên thứ ba. UpGuard đã phát hiện ra các vi phạm của nhà cung cấp bên thứ ba chứa thông tin khách hàng có thể nhận dạng, đặc biệt là chi tiết thẻ tín dụng và SSN có thể được các tác nhân độc hại sử dụng để đánh cắp danh tính và gian lận; vi phạm chứa hồ sơ y tế thậm chí còn có giá trị hơn thẻ tín dụng trên web đen; Các vi phạm chứa dữ liệu kinh doanh độc quyền như tài chính, bản thiết kế, mã và tài liệu chiến lược/tin nhắn giúp đối thủ cạnh tranh chiếm thế thượng phong khi bị lộ; và chi tiết sử dụng và dữ liệu tâm lý khác có thể giúp kẻ tấn công nhắm mục tiêu vào mọi người bằng cách cung cấp thông tin cho các nỗ lực lừa đảo tập trung hơn.

Ví dụ: nếu doanh nghiệp của bạn sử dụng các sản phẩm SaaS (Phần mềm dưới dạng dịch vụ) đám mây, việc hiểu bảo mật dữ liệu sẽ là một trong những mối quan tâm hàng đầu của bạn. Nếu các giải pháp CNTT của bạn chủ yếu được sử dụng tại chỗ, nơi lưu trữ nằm bên trong trung tâm dữ liệu được quản lý, bạn có thể sẽ muốn hỏi thêm câu hỏi về kiểm tra bảo mật trong vòng đời phát triển phần mềm để hiểu khả năng xảy ra lỗ hổng.

Số lượng mối quan hệ với nhà cung cấp mà doanh nghiệp của bạn có, và mức độ quan trọng của các mối quan hệ đó, cũng đáng được làm rõ. Một số ngành và công ty mạnh mẽ về tích hợp theo chiều dọc và mối quan hệ với nhà cung cấp có thể ít rủi ro hơn. Trong các trường hợp khác, các nhà cung cấp là một phần của quy trình kinh doanh cốt lõi và có thể dễ dàng tiết lộ các tài sản quan trọng nhất của bạn.

Các câu hỏi chính

  1. Doanh nghiệp của bạn tạo ra những loại dữ liệu nào và nó được lưu trữ ở đâu?
  2. Bạn có bao nhiêu nhà cung cấp?
  3. Tầm quan trọng của mối quan hệ với nhà cung cấp của bạn là gì?

Tìm hiểu cách chọn phần mềm tự động hóa bảng câu hỏi bảo mật >

2. Làm rõ mục tiêu của bạn

Giống như mọi dự án, việc tạo bảng câu hỏi đánh giá rủi ro nhà cung cấp thành công bắt đầu bằng việc thiết lập các mục tiêu rõ ràng. Đối với các tổ chức kém trưởng thành, có được một bảng câu hỏi có thể là mục tiêu. Đối với các tổ chức trưởng thành hơn, bạn có thể đã có một quy trình nhưng cần làm cho nó hiệu quả hơn. Phạm vi lớn hơn cho bảng câu hỏi của bạn phải được cân bằng với chi phí tăng lên để duy trì và quản lý nó.

Cuối cùng, thẳng thắn về điều gì cuối cùng thúc đẩy chương trình rủi ro nhà cung cấp của bạn đảm bảo rằng mọi người đều có cùng ưu tiên hàng đầu. Trường hợp vi phạm dữ liệu xấu nhất sẽ như thế nào đối với doanh nghiệp của bạn? Bạn có thể phải đối mặt với những hình phạt theo quy định nào? Có thể mất mạng con người trong một sự cố dịch vụ? Mặc dù mục tiêu là mọi thứ luôn hoạt động hoàn hảo, nhưng việc đạt được sự liên kết về các ưu tiên cấp cao nhất sẽ cung cấp các hướng dẫn có thể tránh xung đột hoặc hiểu lầm khi tìm ra chi tiết về những câu hỏi cần hỏi.

Các câu hỏi chính

  1. Vi phạm dữ liệu xấu đối với doanh nghiệp của bạn trông như thế nào?
  2. Bạn cần xử lý bao nhiêu bài đánh giá mỗi tháng?
  3. Một kết quả tốt cho chương trình rủi ro của nhà cung cấp trông như thế nào?

3. Nghệ sĩ giỏi mượn

Khi nói đến đánh giá rủi ro của nhà cung cấp, không cần phải phát minh lại bánh xe. Mặc dù không có lý do gì để lười biếng - rủi ro của bên thứ 3 quan trọng hơn bao giờ hết - nhưng chúng ta tự và hệ sinh thái khách hàng của mình gây bất lợi khi chúng ta không xây dựng dựa trên những gì đã được thực hiện trước đây. Và cũng giống như con người chia sẻ 99% DNA của họ với vượn, các doanh nghiệp giống nhau hơn là khác nhau. Các mối quan tâm cốt lõi về rủi ro của nhà cung cấp hầu như giống nhau đối với tất cả mọi người - nhà cung cấp có tuân theo các phương pháp bảo mật tốt nhất không, nhà cung cấp của họ là ai, họ đang sử dụng công nghệ nào và nó có được cập nhật không - trong khi một số chi tiết nhỏ sẽ thay đổi từ công ty này sang công ty khác, hiểu được những vấn đề cốt lõi này sẽ giúp bạn hiểu chung về cách các nhà cung cấp của bạn xử lý rủi ro bảo mật của họ.

Google VSAQ

Bắt đầu chương trình quản lý rủi ro của nhà cung cấp có thể dễ dàng. Các tài nguyên như VSAQ (Bảng câu hỏi đánh giá bảo mật nhà cung cấp) của Google rất tuyệt vời để di chuyển nhanh chóng. Được phát hành lần đầu vào năm 2016, VSAQ được thiết kế đặc biệt để giúp các công ty hiểu các phương pháp bảo mật của nhà cung cấp. Ngay lập tức, nó giải quyết nhiều lĩnh vực bao gồm bảo vệ dữ liệu, quản lý chuỗi cung ứng và chính sách bảo mật thông tin. VSAQ đã được thiết kế để giúp các nhà cung cấp đánh giá rủi ro dễ dàng hơn, tập trung vào việc hợp lý hóa quy trình đánh giá bảo mật.

ISO 27001, HIPAA, PCI DSS

Ở đầu kia của phổ phức tạp là các tiêu chuẩn như ISO 27001, HIPAA và PCI DSS (Ngành công nghiệp thẻ thanh toán. Các loại tiêu chuẩn công nghiệp toàn diện và yêu cầu quy định này có xu hướng dẫn đến bảng câu hỏi bảo mật nhà cung cấp cực kỳ chi tiết. Bảng câu hỏi tuân thủ các tiêu chuẩn này thường đi sâu vào các khái niệm bao gồm:

  • Bảo mật vật lý, bao gồm cả trung tâm dữ liệu của nhà cung cấp
  • Bảo mật ứng dụng, đặc biệt tập trung vào kiểm tra thâm nhập của các ứng dụng web
  • Bảo mật mạng
  • Bảo mật dữ liệu
  • Quản lý sự cố bảo mật và ứng phó sự cố
  • Thực hành kiểm tra bảo mật trong quy trình phát triển phần mềm của nhà cung cấp
  • Đào tạo nhận thức về bảo mật trong tổ chức của nhà cung cấp
  • Phục hồi sau thảm họa và lập kế hoạch kinh doanh liên tục cho nhà cung cấp

UpGuard VendorRisk dễ dàng tạo bảng câu hỏi tuân thủ ISO 27001, HIPAA và PCI DSS. Nhiều khách hàng trong các dịch vụ tài chính, chăm sóc sức khỏe và các lĩnh vực được quản lý khác sử dụng VendorRisk để xác thực các biện pháp kiểm soát bảo mật của nhà cung cấp của họ.

Với các mục tiêu cấp cao cho chương trình và một số cân nhắc về các ưu tiên, bạn đã sẵn sàng để bắt đầu soạn thảo bảng câu hỏi. Nếu bạn chọn một mẫu hoặc tiêu chuẩn ngành, thì bảng câu hỏi bảo mật của bạn sẽ được chia thành các danh mục giúp sắp xếp các câu hỏi một cách hợp lý và đảm bảo phạm vi toàn diện tránh các điểm mù cho rủi ro bảo mật. Hiểu những lĩnh vực nào là quan trọng và những gì bạn cần biết trong những lĩnh vực đó có thể giúp xây dựng một bảng câu hỏi phù hợp nhưng đầy đủ cho doanh nghiệp của bạn.

Các câu hỏi chính

  1. Bạn có thể tìm thấy bảng câu hỏi bảo mật nào cho các doanh nghiệp tương tự trực tuyến?
  2. Bảng câu hỏi bảo mật tiêu chuẩn nào cung cấp các câu hỏi mà bạn có thể sử dụng?
  3. Có giải pháp nào có thể giúp bạn bắt đầu với khả năng vượt trội không?
  4. Làm thế nào bạn sẽ biết nếu chương trình bảo mật của bạn không hoạt động?

4. Nhân sự và Nguồn lực

Một hạn chế nên đưa vào việc quyết định phạm vi và tính cụ thể của bảng câu hỏi đánh giá rủi ro nhà cung cấp của bạn là số lượng người sẽ đọc và xử lý các câu trả lời. Trong một thế giới hoàn hảo, bạn sẽ có nhiều thông tin như bạn có thể tưởng tượng. Đối với những người trong chúng ta sống trong thế giới thực, có chi phí thời gian để xử lý thông tin. Cấu trúc dữ liệu thành các câu trả lời đúng/sai hoặc số - bất cứ thứ gì có thể được đánh giá theo chương trình về các yếu tố rủi ro - có thể giúp tự động hóa các phần của việc tiếp nhận đó để nhân viên chỉ dành thời gian đọc các phần phản hồi tự do yêu cầu giải thích và phán đoán.

Với suy nghĩ đó, chương trình rủi ro nhà cung cấp của bạn sẽ có một số loại ngân sách và một số người làm việc với nó. Họ sẽ có một số câu hỏi cố định mà họ có thể đọc qua trong một khoảng thời gian nhất định. Các câu hỏi của bạn nên được xây dựng để tận dụng tối đa thời gian đó - để nhanh chóng loại bỏ các rủi ro và hiểu liệu các nhà cung cấp có đáp ứng yêu cầu của bạn hay không.

Các câu hỏi chính

  1. Có bao nhiêu người sẽ quản lý bảng câu hỏi đánh giá bảo mật của nhà cung cấp?
  2. Họ sẽ có những nhiệm vụ nào khác?
  3. Làm thế nào để tăng tốc độ hoặc tự động hóa việc đánh giá?

5. Quy trình quản lý vòng đời tài liệu

Phân phối bảng câu hỏi chỉ là một phần của việc quản lý chúng. Sau khi gửi một thông báo, người nhận có thể cần nhắc nhở theo dõi. Người nhận bảng câu hỏi của bạn có thể không phải là người liên hệ bảo mật nhà cung cấp thích hợp, tạo thêm độ trễ khi thực hiện. Nếu có bất kỳ sai lệch nào so với ngưỡng quản lý rủi ro có thể chấp nhận được của bạn hoặc các lựa chọn công nghệ từ phía nhà cung cấp mà trước đây tổ chức của bạn chưa được thảo luận, bạn sẽ cần tiến hành đánh giá nội bộ để quyết định xem phản hồi có được chấp nhận hay không. Nếu nó nằm ngoài chính sách bảo mật của bạn, bạn sẽ cần xem xét kết quả với nhà cung cấp và xem liệu họ có thể khắc phục các vấn đề hay không hoặc cho thấy rằng các biện pháp kiểm soát bù đắp trong các lĩnh vực khác sẽ giảm thiểu rủi ro do chúng gây ra.

Sau khi đạt được quyết định về việc gửi nhà cung cấp được chấp nhận, các tài liệu đó cần được lưu trữ trong một số giải pháp dễ truy cập và có thể kiểm tra để có thể truy xuất chúng trong trường hợp đánh giá nội bộ, thay đổi chính sách bảo mật hoặc vi phạm với nhà cung cấp đó. Và, nếu mọi thứ suôn sẻ, chúng cần được lên lịch gửi lại vào một thời điểm nào đó trong tương lai. Môi trường mối đe dọa mạng thay đổi, doanh nghiệp của bạn thay đổi và các biện pháp bảo mật của nhà cung cấp thay đổi. Việc gửi lại bảng câu hỏi đánh giá rủi ro của nhà cung cấp hàng năm cung cấp một số đảm bảo rằng những điều đó vẫn phù hợp.

Khi bảng câu hỏi đánh giá được thu thập theo thời gian, hồ sơ rủi ro bảo mật của nhà cung cấp đã thay đổi có thể được suy ra từ những thay đổi giữa các khoảng thời gian và có thể cho biết liệu nhà cung cấp có trở nên kiên cường hơn hay rủi ro hơn khi mối quan hệ tiếp tục.

Tìm hiểu cách hợp lý hóa quy trình bảng câu hỏi của nhà cung cấp >

Các câu hỏi chính

  1. Bao lâu thì bảng câu hỏi bảo mật sẽ được phân phối cho các nhà cung cấp?
  2. Khi nào cần truy cập bảng câu hỏi bảo mật để xem xét?
  3. Những phần nào của quy trình đó có thể được tự động hóa?

6. Hạn chế của đánh giá bảng câu hỏi của nhà cung cấp

Nếu đánh giá của nhà cung cấp nghe có vẻ như rất nhiều công việc, đó là bởi vì chúng là như vậy. Mục tiêu của việc nhắc lại những gì tạo nên một bảng câu hỏi tốt không phải là cho bạn biết những gì bạn đã biết, mà là giúp định hình trường hợp kinh doanh để bạn thực hiện chương trình bảo mật của mình. Một phần của điều đó là biết những gì nằm ngoài phạm vi.

Đọc hướng dẫn của chúng tôi về bảng câu hỏi nhà cung cấp hàng đầu.

Bảng câu hỏi dựa vào câu trả lời thiện chí từ các nhà cung cấp trong quá trình tự đánh giá của họ. Bởi vì không có khả năng hiển thị độc lập về các chính sách bảo mật nội bộ và thực tiễn quản lý rủi ro của một công ty, các nhà cung cấp được cho là trả lời bảng câu hỏi một cách thiện chí. Ít nhất, bảng câu hỏi đánh giá giúp bảo vệ công ty chính trong trường hợp xảy ra sự cố, bằng cách cho thấy rằng thẩm định và đánh giá bảo mật của nhà cung cấp đã được thực hiện và họ hành động theo giả định rằng nhà cung cấp có một số biện pháp kiểm soát nhất định để bảo vệ dữ liệu và dịch vụ.

Trên quy mô lớn, việc duy trì bảng câu hỏi thường xuyên cho các nhà cung cấp trở nên khó sử dụng. Nhiều công ty sẽ chỉ đánh giá các nhà cung cấp quan trọng nhất của họ, khiến hàng trăm công ty khác không được tìm thấy. Theo dõi các liên hệ bảo mật của nhà cung cấp và gia hạn bảng câu hỏi đánh giá có thể là một thách thức ngay cả đối với một nhóm nhỏ các nhà cung cấp. Quá trình này thường phải đối mặt với công việc kinh doanh trực tiếp hơn cho nhóm bảo mật thông tin của bạn và có thể bị bỏ qua nếu chi phí quản trị lớn hơn rủi ro nhận thức.

Đánh giá bảng câu hỏi thường được gửi hàng năm, nhưng những thay đổi về rủi ro bảo mật xảy ra trong vài giây. Các công nghệ được thêm vào, loại bỏ và cập nhật; các lỗ hổng được phát hiện trong phần mềm bảo mật trước đó; cấu hình và kiểm soát truy cập được sửa đổi - đây là công việc hàng ngày của bộ phận CNTT. Đây là lý do tại sao bảng câu hỏi nên đi kèm với xếp hạng bảo mật bên ngoài độc lập có thể theo dõi các thay đổi có thể quan sát được theo thời gian.

7. Tìm hiểu thêm

>

Có khá nhiều thứ để bảng câu hỏi bảo mật của nhà cung cấp và đánh giá rủi ro của nhà cung cấp khi bạn bắt đầu đi sâu vào chi tiết. Quá trình này bao gồm viết bảng câu hỏi, gửi chúng cho các nhà cung cấp, ở lại cho đến khi chúng hoàn thành, xem xét các câu trả lời, quyết định xem rủi ro của nhà cung cấp có được chấp nhận hay không và gia hạn bảng câu hỏi định kỳ.

Trong Hướng dẫn về Bảng câu hỏi của nhà cung cấp, chúng ta xem xét cách cải thiện quy trình đánh giá rủi ro và bảng câu hỏi bảo mật, cũng như những gì UpGuard làm để tự động hóa và ghi lại nó.