Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · web.eretek.com
Bilginize erişen, sistemlerinizi yöneten veya bulut hizmeti sunan tedarikçileri risk düzeyine göre sınıflandırıyor; değerlendirme anketlerini, sözleşme güvenlik şartlarını, erişim kontrollerini ve periyodik izleme sürecini kuruyoruz.
Tedarikçi ve üçüncü taraf risk yönetimi, kuruluşun bilgi güvenliğinin dış hizmet sağlayıcılar, yazılım ve bulut tedarikçileri, bakım firmaları ve danışmanlar üzerinden zayıflamasını önleyen süreçtir. Tedarikçi seçimi, sözleşme, erişim verme, izleme ve ilişki sonlandırma adımlarını kapsar.
Bakım firmaları ve yazılım tedarikçileri kalıcı uzak erişim hesaplarıyla sistemlere bağlanıyor.
Gizlilik, olay bildirimi, alt yüklenici ve denetim hakkı maddeleri eksik.
Tüm tedarikçilere aynı form gönderiliyor; kritik olanlar yeterince incelenmiyor.
ISO/IEC 27001 Ek A tedarikçi ilişkileri, tedarikçi anlaşmalarında güvenlik, BİT tedarik zinciri, tedarikçi hizmetlerinin izlenmesi ve bulut hizmetlerinin kullanımı kontrollerini içerir. VDA ISA da tedarikçi yönetimini ayrı bir alan olarak ele alır; ISA2027 ile çok yüksek koruma ihtiyacında tedarik zinciri gereklilikleri güçlendirilmiştir.
Erişim tipi, bilgi hassasiyeti ve kritikliğe göre seviyeler.
Seviyeye göre anket, belge talebi (ISO 27001, TISAX, SOC 2 raporu) veya denetim.
Gizlilik, olay bildirimi, alt yüklenici, veri iadesi/imhası ve denetim hakkı maddeleri.
Süreli, onaylı ve kayıtlı uzak erişim kuralları.
Periyodik yeniden değerlendirme ve ilişki bitiminde erişim/veri kapatma.
Önce tedarikçiler üç–dört seviyeye ayrılır; kontrol yükü buna göre belirlenir. Otomotiv müşterilerinden gelen gereklilikler otomotiv tedarikçi bilgi güvenliği kapsamında aktarılır; uzaktan bakım erişimlerinin teknik tarafı IT/OT uyum çalışmasında ele alınır.
Yönetilen BT hizmeti, ERP sağlayıcısı, veri merkezi
Ayrıntılı anket + belge/rapor + gerekirse denetim, yıllık
Uzaktan bakım yapan makine üreticisi, bulut uygulaması
Anket + belge, yıllık
Gizli bilgi paylaşılan danışman, tasarım ofisi
Kısa anket + NDA, iki yılda bir
Bilgi erişimi olmayan hizmetler
Standart sözleşme maddeleri
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Kritik tedarikçiler için sözleşme şartı haline getirilmesi önerilir; alternatif olarak sertifika veya bağımsız rapor kabul edilebilir.
Güvenlik maddeleri için teknik içerik öneriyoruz; nihai metin hukuk danışmanınızca değerlendirilmelidir.
Genellikle sağlayıcının sertifikaları, bağımsız raporları ve sorumluluk paylaşım modeli üzerinden.
Kritik ve yüksek seviyedekilerle; diğerleri kademeli olarak eklenir.
Dış hizmet sağlayıcıların erişimlerini, taahhütlerini ve risklerini kontrol altına alın.
Proje + periyodik değerlendirme
Değerlendirme yükü tedarikçinin riskine göre ölçeklenir; düşük riskli tedarikçilere ağır anket gönderilmez.
Tedarikçiler ve erişimleri çıkarılır.
Risk seviyeleri atanır.
Anket ve belgeler toplanır.
Sözleşme ve izleme döngüsü kurulur.
OEM ve Tier-1 müşteri talepleri, bilgi güvenliği anketleri ve tedarik zinciri kontrollerini yönetin.
Üretim sistemlerinin güvenlik kontrollerini kalite ve bilgi güvenliği gereklilikleriyle eşleştirin.
Teknik ve organizasyonel güvenlik risklerini yönetim kararına dönüştürün.
Kişisel veri güvenliği süreçlerine ilişkin BT kontrollerini ve kayıt mekanizmasını güçlendirin.
Tedarikçi sayınızı ve kritik hizmetleri paylaşın; sınıflandırma, değerlendirme ve sözleşme şartları için çalışma önerelim.