الفجوة في الاعتماد خلال عمليات شراء الموردين
تراجع فرق الأمن المؤسسية عشرات الموردين كل عام. وهي بحاجة إلى مرشح سريع. يمنحها اعتماد ISO 27001 هذا المرشح. فقد قام مدقق بالفعل بفحص ضوابط المورد، مما يوفر على الفريق الداخلي تكرار العمل ذاته.
أما الموردون الذين يفتقرون إلى هذا الاعتماد فعليهم بناء حجتهم في كل صفقة. وهذا يُكلّف الوقت للطرفين، ويُبطئ المراجعة، ويرفع خطر الفشل في الفحص.
ما يغطيه معيار 2022
يحتوي الملحق A في الإصدار الحالي على 93 ضابطاً في أربع مجموعات: التنظيمية، والبشرية، والمادية، والتكنولوجية. تُركّز الفرق على عدة مجالات رئيسية.
ضوابط التشفير (الملحق A 8.24): يجب على المورد تحديد قواعد استخدام المفاتيح. تشمل هذه القواعد كيفية إنشاء المفاتيح وتخزينها والوصول إليها وإزالتها. يُثبت الاعتماد أن مدققاً تحقق من صحة هذه السياسة.
التحكم في الوصول (الملحق A 8.2-8.5): يجب أن يلتزم وصول الموظفين إلى بيانات العملاء بقواعد أدنى صلاحية. يُثبت الاعتماد أن هذه القيود موثقة ومُطبَّقة.
علاقات الموردين (الملحق A 5.19-5.22): يجب على الموردين توثيق القواعد الأمنية الخاصة بموردِيهم أنفسهم. وهذا مهم عندما يحتاج المشترون إلى إثبات أن موردِيهم آمنون.
تؤكد الشهادة أن عمليات الضبط التنظيمية قائمة. وهي تُقلّص المراجعة المخصصة إلى مجموعة أصغر من أسئلة البنية التي لا يعالجها المعيار.
السؤال الذي لا يُجيب عنه الاعتماد
يُجيب المعيار على أسئلة العمليات. لكنه لا يُجيب على ما تهتم به الشركات الخاضعة للتنظيم أكثر من غيره: هل يستطيع المورد الاطلاع على بياناتنا؟
قد يحتفظ مورد مُعتمَد بمفاتيح جانب الخادم رغم ذلك. يؤكد الاعتماد أن إدارة المفاتيح تتبع سياسة معينة. لكنه لا يؤكد أن تلك السياسة تحول دون اطلاع المورد على النص الواضح.
تُجيب بنية انعدام المعرفة على ما يتركه المعيار مفتوحاً. تُنشأ المفاتيح على جانب العميل. لا توجد مفاتيح على الخادم. يُشفَّر البيانات بمعيار AES-256-GCM قبل مغادرتها للعميل. لا يستطيع المورد قراءة بيانات العميل. وهذه حقيقة هيكلية، ليست خياراً سياسياً.
هذا يُعالج اهتماماً مزدوجاً واضحاً. الشهادة تُرضي فحوصات العمليات والتنظيم في نماذج المشتريات. تصميم انعدام المعرفة يُرضي القلق المتعلق بالوصول إلى البيانات الذي تُصنّفه الشركات الخاضعة للتنظيم في المرتبة الأولى. معاً، يُغلقان البوابتين الرئيسيتين للحصول على موافقة الموردين السحابيين في قطاعات الرعاية الصحية والمالية والقانونية.
اطلع على كيفية إجابة تصميم انعدام المعرفة على استبيانات الأمن وراجع نظرة عامة على الأمن والامتثال.
كيف يؤثر هذا على وقت المراجعة
تستغرق مراجعات الموردين في الأسواق الخاضعة للتنظيم وقتاً طويلاً. وتشمل أعمال الاستبيان، ومراجعة الوثائق، ومراجعة البنية، وكثيراً ما تستلزم مكالمة مع فريق الأمن.
يُقصِّر الاعتماد مراجعة الوثائق. تُمثّل الشهادة وبيان قابلية التطبيق دليلاً كافياً. فقد تحقق مدقق بالفعل من الضوابط، ولا يحتاج فريق المشتريات إلى تكرار ذلك العمل.
تُقصِّر بنية انعدام المعرفة مراجعة البنية. لسؤال الوصول إلى البيانات إجابة هيكلية واضحة. لا شيء يمكن التفاوض بشأنه عدا التصميم ذاته.
كلا العاملين يُقلّصان ذهاباً وإياباً يُطيل مراجعات الموردين. تتقدم الفرق بشكل أسرع عندما تحظى الأسئلة الصعبة بإجابات مباشرة في أول تقديم. كلما قلّت الجولات، قلّت التأخيرات.
بالنسبة للموردين في الأسواق الخاضعة للتنظيم، هذا يؤثر في كل صفقة. المراجعات الأقصر تعني دورات مبيعات أقصر. وعند أحجام صفقات المؤسسات، يتراكم هذا الفرق بسرعة. الموردون الذين يستطيعون الإجابة على الأسئلة الأصعب في اليوم الأول يواجهون احتكاكاً أقل طوال العملية.
بالنسبة لمشتري المؤسسات، يعني هذا الجمع وضعية مخاطر أقوى. مورد لا يستطيع قراءة بيانات العملاء ولديه ضوابط تنظيمية مدققة يُقدم دليلاً واضحاً على الالتزام بالأمن. اعرف المزيد في مركز الأسئلة الشائعة.