TPRM obejmuje due diligence przy wdrażaniu, wymagania bezpieczeństwa w umowach, przegląd dowodów (certyfikacje, attestacje, wyniki penetracyjne), granice dostępu i dzielenia danych, obowiązki zawiadamiania o incydentach, monitorowanie pogorszenia i uporządkowane wyjście. Stosuje ten sam cykl życia niezależnie od tego, czy strona trzecia jest narzędziem SaaS, MSP, czy dostawcą komponentów.
Najważniejsze punkty
Wysiłek stopniowany ryzykiemDostawca obsługujący krytyczne dane lub posiadający dostęp uprzywilejowany zasługuje na głębsze zapewnienie niż firma pielęgnująca rośliny w biurze — dopasowuj dokładność do ryzyka, które relacja faktycznie niesie.
Zakontraktowane kontroleObowiązki bezpieczeństwa, prawa audytu lub dowodów, okna zawiadamiania o naruszeniach, przełożenie na podwykonawców oraz warunki wyjścia i zwrotu danych muszą istnieć na piśmie przed rozpoczęciem polegania.
Istotne ograniczenieOceny i attestacje to dowody punktowe w czasie o dostawcy, a nie ciągły dowód. Kwestionariusze odzwierciedlają to, co dostawcy deklarują; certyfikacje określają zakres tego, co było badane — żadne nie zastępuje monitorowania rzeczywistego połączenia i przepływów danych.