Strateji, Yönetim ve Eğitim
Tedarikçi ve Üçüncü Taraf Güvenlik Değerlendirmesi
Tedarikçilerinizin sistemlerinize erişimi ve sunduğu hizmetlerin oluşturduğu riski değerlendiriyoruz. Değerlendirmemiz beyana değil, kanıta dayanır.
Nedir?
Tedarikçi riski, tedarikçinin kendi güvenliği ve size bağlanma şekliyle oluşur. Uzaktan erişimi olan bir BT tedarikçisi saldırganlar için giriş noktası olabilir. Verilerinizi işleyen bir bulut hizmeti, kendi ihlaliyle sizi etkileyebilir. Değerlendirme, tedarikçileri bu etkiye göre gruplar ve en kritik olanları ayrıntılı inceler.
Kapsam
- Tedarikçi envanteri ve erişim, veri ve kritikliğe göre sınıflandırma
- Kritik tedarikçiler için soru formu, kanıt incelemesi ve görüşme
- Tedarikçi hesaplarının ve uzaktan erişim yollarının sistemlerinizde incelenmesi
- Sözleşmelerdeki güvenlik, olay bildirimi ve denetim hakkı maddelerinin gözden geçirilmesi
- Bir tedarikçi kesintisi için alternatif ve çıkış planı değerlendirmesi
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- BT, yazılım veya çağrı merkezi tedarikçileriniz sistemlerinize uzaktan eriştiğinde ve bu erişimler izlenmediğinde.
- Tedarikçilerinizden birinin ihlale uğradığı duyurulduğunda.
- Bilgi ve İletişim Güvenliği Rehberi'nin öngördüğü düzenli tedarikçi gözden geçirmesini yapmanız gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Tedarikçileri erişim, veri ve iş kritikliğine göre sınıflandırırız.
-
Değerlendirme
Kritik tedarikçileri kanıt ve görüşmeyle, diğerlerini soru formuyla değerlendiririz.
-
Teknik kontrol
Tedarikçi hesaplarının yetkilerini ve uzaktan erişim yollarını sistemlerinizde inceleriz.
-
Önlemler
Bulguları sözleşme maddelerine, erişim kısıtlamalarına ve izleme kurallarına dönüştürürüz.
Sonuç
Çalışmanın sonunda elinizde olan
Tedarikçileriniz risk düzeyine göre sınıflandırılır, kritik olanlar kanıtla değerlendirilir. Her tedarikçi için alınacak önlem ve sözleşme önerisi sunulur.
Sık sorulan sorular
Tedarikçinin ISO/IEC 27001 belgesi yeterli değil mi?
Belge, bir yönetim sisteminin varlığını gösterir. Ancak kapsamı size sunulan hizmeti içermeyebilir. Bu nedenle kapsam ve size özgü kontroller ayrıca incelenir.
Verilerimizi işleyen tedarikçiler için biz de sorumlu muyuz?
Evet. Kişisel veriler sizin adınıza başka biri tarafından işleniyorsa, KVKK güvenlik tedbirleri için sizi de sorumlu tutar.
Strateji, Yönetim ve Eğitim
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın