Škoda může vyplývat z kompromitace poskytovatele, výpadku, nebezpečného produktu, nadměrného přístupu, špatného nakládání s daty, nebezpečné integrace či neschopnosti splnit potřeby obnovy a oznamování. Závislosti se mohou protahovat skrze subdodavatele a sdílené platformy, se kterými organizace přímo nesmlouvá.
Řízení tohoto rizika je aktivita životního cyklu. Začíná před výběrem, pokračuje skrze kontraktování, onboarding, provoz, změny, reakci na incidenty, obnovu smlouvy a offboarding a mělo by být proporcionální přístupu služby, datům, nahraditelnosti, koncentraci a podnikové kritičnosti.
Klíčové body
Prioritizujte vztahyIdentifikujte, které strany podporují kritické služby, zpracovávají citlivá data, drží privilegovaný přístup, dodávají důvěryhodný kód či vytvářejí koncentraci a systémové závislosti.
Nastavte požadavkyDefinujte bezpečnost, odolnost, důkazy, subdodavatelské řetězení, nakládání se zranitelnostmi, komunikaci incidentů, obnovu, vrácení dat a očekávání ukončení ve vymahatelných dohodách.
Řiďte konektivituAplikujte nejmenší oprávnění, oddělené identity, monitorovanou správu, schválené integrační cesty a promptní odstranění přístupu, když se vztah změní.
Monitorujte a připravujtePřehodnoťte podstatné změny, přezkoumávejte relevantní důkazy, koordinujte reakční kontakty, testujte důležité contingency a udržujte životaschopné plány substituce či ukončení.
Důležité omezeníDotazník, auditní zpráva, certifikace či smluvní klauzule poskytuje důkaz — nikoli jistotu. Organizace si ponechává riziko ze závislosti a musí rozhodnout, jak jej snížit, sdílet, vyhnout se mu či přijmout.