Пропастта в сертификацията при набавяне от доставчици
Корпоративните екипи по сигурност преглеждат десетки доставчици всяка година. Нуждаят се от бърз филтър. Сертификатът ISO 27001 им го предоставя. Одиторът вече е проверил контролите на доставчика. Това спестява на вътрешния екип да върши същата работа отново.
Доставчиците без тази сертификация трябва да изграждат своя случай при всяка сделка. Това струва време и на двете страни. Забавя прегледа и увеличава риска от неуспешна проверка.
Какво покрива стандартът от 2022 г.
Приложение А в актуалната версия съдържа 93 контрола в четири групи: организационни, хора, физически и технологични. Екипите се фокусират върху няколко ключови области.
Криптографски контроли (Приложение А 8.24): Доставчикът трябва да дефинира правила за използване на ключове. Те обхващат как ключовете се създават, съхраняват, достъпват и унищожават. Сертификатът показва, че одиторът е потвърдил работата на тази политика.
Контрол на достъпа (Приложение А 8.2-8.5): Достъпът на персонала до клиентски данни трябва да следва правилата за минимален необходим достъп. Сертификатът показва, че тези ограничения са документирани и прилагани.
Взаимоотношения с доставчици (Приложение А 5.19-5.22): Доставчиците трябва да документират правила за сигурност за собствените си доставчици. Това е важно, когато купувачите трябва да доказват, че техните доставчици са защитени.
Сертификатът потвърждава, че процесите и организационните контроли са налице. Той свежда персонализирания преглед до по-малък набор архитектурни въпроси, които стандартът не адресира.
Въпросът, на който сертификацията не отговаря
Стандартът отговаря на въпроси за процесите. Не отговаря на това, което регулираните фирми ценят най-много: може ли доставчикът да чете нашите данни?
Сертифициран доставчик може все пак да държи ключове от сървърна страна. Сертификатът потвърждава, че управлението на ключовете следва политика. Не потвърждава, че тази политика блокира достъпа на доставчика до plaintext.
Zero-knowledge дизайнът отговаря на това, което стандартът оставя отворено. Ключовете се създават от страна на клиента. На сървъра няма ключове. Данните се криптират с AES-256-GCM преди да напуснат клиента. Доставчик, изграден по този начин, не може да чете съхранените данни; anonym.legal прилага zero-knowledge само при вход, а текстът, изпратен за откриване, се обработва на неговия API, хостван в ЕС. Това е структурен факт, не политически избор.
Това покрива две различни опасения. Сертификатът удовлетворява проверките за процеси и организационни изисквания в процедурите за набавяне. Zero-knowledge дизайнът удовлетворява загрижеността за достъп до данни, която регулираните фирми класират най-високо. Заедно те преминават двете основни бариери за одобрение на облачен доставчик в здравеопазването, финансите и правните пазари.
Вижте как zero-knowledge дизайнът отговаря на въпросниците за сигурност и прегледайте прегледа за сигурност и съответствие.
Как това влияе на времето за преглед
Прегледите на доставчици в регулирани пазари отнемат време. Те включват работа по въпросник, преглед на документи, архитектурен преглед и нерядко разговор с екипа по сигурността.
Сертификатът съкращава прегледа на документи. Сертификатът и Декларацията за приложимост служат като доказателство. Одиторът вече е проверил контролите. Процедурният екип не трябва да повтаря тази работа.
Zero-knowledge дизайнът съкращава архитектурния преглед. Въпросът за достъп до данни има ясен структурен отговор. Няма какво да се договаря извън самия дизайн.
И двата фактора намаляват кореспонденцията, която удължава прегледите на доставчиците. Екипите се движат по-бързо, когато трудните въпроси получават директни отговори при първото подаване. По-малко рундове означава по-малко закъснения.
За доставчиците в регулирани пазари това е важно при всяка сделка. По-кратките прегледи означават по-кратки търговски цикли. При корпоративни размери на сделките тази разлика бързо се натрупва. Доставчиците, които могат да отговорят на най-трудните въпроси в самото начало, срещат по-малко триене.
За корпоративните купувачи комбинацията означава по-силна защитна позиция. Доставчик, който не може да чете клиентски данни и разполага с одитирани организационни контроли, дава ясно доказателство за ангажимент към сигурността. Научете повече в центъра с ЧЗВ.