A kár a szolgáltató kompromittálódásából, leállásából, nem biztonságos termékéből, túlzott hozzáféréséből, gyenge adatkezeléséből, nem biztonságos integrációjából, vagy abból fakadhat, hogy nem képes teljesíteni a helyreállítási és értesítési igényeket. A függőségek alvállalkozókon és megosztott platformokon át is kiterjedhetnek, amelyekkel a szervezet nem szerződik közvetlenül.
A kockázat kezelése életciklus-tevékenység. A kiválasztás előtt kezdődik, a szerződéskötésen, onboardingon, üzemeltetésen, változáson, incidenskezelésen, megújításon és offboardingon át folytatódik, és a szolgáltatás hozzáféréséhez, adataihoz, helyettesíthetőségéhez, koncentrációjához és üzleti kritikusságához arányos.
Legfontosabb pontok
Rangsorolja a kapcsolatokatAzonosítsa, mely felek támogatnak kritikus szolgáltatásokat, dolgoznak fel érzékeny adatot, rendelkeznek emelt hozzáféréssel, szállítanak megbízható kódot, vagy teremtenek koncentrációs és rendszerfüggőségeket.
Tegye meg a követelményeketHatározza meg a biztonsági, reziliencia-, bizonyíték-, alvállalkozási, sebezhetőségkezelési, incidenskommunikációs, helyreállítási, adat-visszaszolgáltatási és megszüntetési elvárásokat kikényszeríthető megállapodásokban.
Szabályozza a kapcsolódástAlkalmazzon minimális jogosultságot, elkülönült identitásokat, monitorozott adminisztrációt, jóváhagyott integrációs útvonalakat, és azonnali hozzáférés-visszavonást a kapcsolat változásakor.
Figyeljen és készüljönÉrtékelje újra a lényeges változásokat, tekintse át a releváns bizonyítékokat, koordinálja a reagálási kapcsolatokat, tesztelje a fontos tartalékterveket, és tartsa fenn az életképes helyettesítési vagy kilépési terveket.
Fontos korlátA kérdőív, auditjelentés, tanúsítvány vagy szerződéses záradék bizonyítékot ad — nem bizonyosságot. A szervezet megtartja a függőségből eredő kockázatot, és neki kell eldöntenie, hogyan csökkenti, osztja meg, kerüli el vagy fogadja el azt.