Szkoda może wynikać z kompromitacji dostawcy, przestoju, niebezpiecznego produktu, nadmiernego dostępu, złej obsługi danych, niepewnej integracji lub niemożności spełnienia potrzeb odtwarzania i zawiadamiania. Zależności mogą rozciągać się przez podwykonawców i współdzielone platformy, z którymi organizacja nie ma bezpośredniej umowy.
Zarządzanie tym ryzykiem to aktywność cyklu życia. Zaczyna się przed wyborem, trwa przez kontraktowanie, wdrażanie, operacje, zmiany, reagowanie na incydenty, odnowienie i zakończenie współpracy oraz powinna być proporcjonalna do dostępu usługi, danych, zastępowalności, koncentracji i krytyczności biznesowej.
Najważniejsze punkty
Priorytetyzuj relacjeZidentyfikuj, które strony wspierają usługi krytyczne, przetwarzają wrażliwe dane, posiadają dostęp uprzywilejowany, dostarczają zaufany kod lub tworzą koncentrację i zależności systemowe.
Ustal wymaganiaZdefiniuj oczekiwania bezpieczeństwa, odporności, dowodów, podwykonawstwa, obsługi podatności, komunikacji incydentowej, odtwarzania, zwrotu danych i zakończenia w wykonalnych umowach.
Kontroluj łącznośćStosuj zasadę minimalnych uprawnień, osobne tożsamości, monitorowaną administrację, zatwierdzone ścieżki integracji i niezwłoczne usuwanie dostępu przy zmianie relacji.
Monitoruj i przygotowujOceniaj ponownie istotne zmiany, przeglądaj istotne dowody, koordynuj kontakty odpowiedzi, testuj ważne sytuacje awaryjne i utrzymuj wykonalne plany zastąpienia lub wyjścia.
Istotne ograniczenieKwestionariusz, raport audytowy, certyfikacja ani klauzula umowna dostarcza dowodu — nie pewności. Organizacja zachowuje ryzyko z zależności i musi zdecydować, jak je zredukować, podzielić, uniknąć lub zaakceptować.