Siber Güvenlik Danışmanlığı
Tedarikçi Güvenlik Gereksinimleri ve Sözleşme Maddeleri
Tedarikçilerinizden talep edeceğiniz güvenlik şartlarını, hizmetlerinin kritikliğine göre yazarız. Bu şartları sözleşme maddelerine ve tedarikçi erişim süreçlerine entegre ederiz.
Nedir?
Bir tedarikçinin sistemlerinize erişimi, kendi kontrolleriniz dışında bir giriş noktasıdır. ISO/IEC 27001:2022 Ek A, tedarikçi ilişkileri ve tedarikçi sözleşmelerindeki güvenliği ayrı kontroller olarak tanımlar. KVKK, verilerinizi işleyen tedarikçiyle birlikte sizi de güvenlik tedbirlerinden sorumlu tutar. Bu çalışma, şartları sözleşmeye ve erişim süreçlerine yazılı olarak bağlar.
Kapsam
- Tedarikçilerin erişim ve veri kritikliğine göre sınıflandırılması
- Her sınıf için asgari güvenlik şartları ve beklenen kanıtlar
- İhlal bildirimi ve denetim hakkı maddeleri
- Alt yüklenici, hizmet sonunda veri iadesi ve imha maddeleri
- Tedarikçi uzaktan erişimi için onay, süre sınırı ve kayıt kuralları
- Yeni tedarikçiler için güvenlik anketi
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Bir tedarikçi kaynaklı olaydan sonra sözleşmede bildirim yükümlülüğü veya denetim hakkı olmadığı anlaşıldığında.
- Finans düzenlemelerinin dış hizmet sözleşmelerinde aradığı asgari maddeleri karşılamanız gerektiğinde.
- Kritik bir hizmeti yeni bir tedarikçiye devretmeden önce.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Tedarikçileri eriştikleri sistemler ve işledikleri verilere göre sınıflandırırız.
-
Şartlar
Her sınıf için asgari güvenlik şartlarını ve tedarikçiden beklenen kanıtı yazarız.
-
Sözleşme
Şartları hukuk ekibinizle birlikte sözleşme maddelerine çeviririz. Düzenlemenin aradığı asgari maddeleri kontrol ederiz.
-
Erişim süreci
Tedarikçi erişiminin açılması, izlenmesi ve kapatılması adımlarını tanımlarız. Mevcut erişimleri bu kurallara göre gözden geçiririz.
Sonuç
Çalışmanın sonunda elinizde olan
Tedarikçi sınıfına göre hazır şart listeleri ve sözleşme maddeleriniz olur. Yeni tedarikçi erişimleri onaylı, süreli ve kayıtlı olarak açılır.
Sık sorulan sorular
Mevcut sözleşmeleri değiştirmek zorunda mıyız?
Hepsini aynı anda değil. Kritik erişimi olan tedarikçilerden başlar, diğerlerini sözleşme yenileme takvimine göre güncelleriz.
Tedarikçimizi denetleyebilir miyiz?
Sözleşmede denetim hakkı varsa evet. KVK Kurumu'nun güvenlik rehberi de veri sorumlusunun, kişisel veri içeren sistemleri denetleyebileceğini veya denetletebileceğini belirtir.
Alt yüklenicileri de kapsar mı?
Evet. Finans sektörü düzenlemeleri, sözleşmedeki yükümlülüklerin alt yüklenicileri de kapsamasını ister. Bu maddeyi her kritik sözleşmeye ekleriz.
Siber Güvenlik Danışmanlığı
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın