Το κενό πιστοποίησης στις αγορές προμηθευτών
Οι ομάδες ασφαλείας επιχειρήσεων αξιολογούν δεκάδες προμηθευτές κάθε χρόνο και χρειάζονται ένα γρήγορο φίλτρο. Η πιστοποίηση ISO 27001 τους το προσφέρει. Ένας ελεγκτής έχει ήδη επαληθεύσει τους ελέγχους του προμηθευτή, εξοικονομώντας στην εσωτερική ομάδα την ίδια εργασία.
Οι προμηθευτές χωρίς αυτή την πιστοποίηση πρέπει να χτίζουν την επιχειρηματολογία τους σε κάθε διαπραγμάτευση. Αυτό κοστίζει χρόνο και στις δύο πλευρές, επιβραδύνει τον έλεγχο και αυξάνει τον κίνδυνο αρνητικής έκβασης.
Τι καλύπτει το πρότυπο 2022
Το Παράρτημα Α της τρέχουσας έκδοσης προβλέπει 93 ελέγχους σε τέσσερις ομάδες: οργανωτικοί, που αφορούν ανθρώπους, φυσικοί και τεχνολογικοί. Οι ομάδες εστιάζουν σε ορισμένους βασικούς τομείς.
Κρυπτογραφικοί έλεγχοι (Παράρτημα Α 8.24): Ο προμηθευτής πρέπει να ορίζει κανόνες για τη χρήση κλειδιών, που καλύπτουν τον τρόπο δημιουργίας, αποθήκευσης, πρόσβασης και αφαίρεσης κλειδιών. Η πιστοποίηση αποδεικνύει ότι ένας ελεγκτής έχει επιβεβαιώσει τη λειτουργία αυτής της πολιτικής.
Έλεγχος πρόσβασης (Παράρτημα Α 8.2–8.5): Η πρόσβαση του προσωπικού στα δεδομένα πελατών πρέπει να ακολουθεί την αρχή των ελάχιστων προνομίων. Η πιστοποίηση αποδεικνύει ότι αυτά τα όρια είναι τεκμηριωμένα και εφαρμοσμένα.
Σχέσεις με προμηθευτές (Παράρτημα Α 5.19–5.22): Οι προμηθευτές πρέπει να τεκμηριώνουν τους κανόνες ασφαλείας για τους δικούς τους προμηθευτές. Αυτό είναι σχετικό όταν οι αγοραστές πρέπει να αποδείξουν την ασφάλεια των προμηθευτών τους.
Το πιστοποιητικό επιβεβαιώνει ότι οι διαδικασίες και οι οργανωτικοί έλεγχοι είναι σε ισχύ. Μειώνει τον προσαρμοσμένο έλεγχο σε ένα στενότερο σύνολο αρχιτεκτονικών ερωτήσεων που δεν αντιμετωπίζει το πρότυπο.
Η ερώτηση στην οποία η πιστοποίηση δεν απαντά
Το πρότυπο απαντά σε ερωτήσεις διαδικασίας. Δεν απαντά σε αυτό που οι ρυθμιζόμενες εταιρείες θεωρούν προτεραιότητα: μπορεί ο προμηθευτής να διαβάσει τα δεδομένα μας;
Ένας πιστοποιημένος προμηθευτής μπορεί να κατέχει κλειδιά από την πλευρά του διακομιστή. Η πιστοποίηση επιβεβαιώνει ότι η διαχείριση κλειδιών ακολουθεί μια πολιτική. Δεν επιβεβαιώνει ότι αυτή η πολιτική αποτρέπει τον προμηθευτή από το να αποκτήσει πρόσβαση σε δεδομένα απλού κειμένου.
Ο σχεδιασμός zero-knowledge απαντά σε αυτό που το πρότυπο αφήνει ανοιχτό. Τα κλειδιά δημιουργούνται στην πλευρά του πελάτη. Κανένα κλειδί δεν βρίσκεται στον διακομιστή. Τα δεδομένα κρυπτογραφούνται με AES-256-GCM πριν φύγουν από τον πελάτη. Ο προμηθευτής δεν μπορεί να διαβάσει τα δεδομένα πελατών. Αυτό είναι δομικό γεγονός, όχι επιλογή πολιτικής.
Πρόκειται για δύο διαφορετικές ανησυχίες. Η πιστοποίηση ικανοποιεί τους ελέγχους διαδικασίας και οργάνωσης στα έντυπα προμηθειών. Ο σχεδιασμός zero-knowledge ικανοποιεί την ανησυχία για την πρόσβαση στα δεδομένα που οι ρυθμιζόμενες εταιρείες θεωρούν προτεραιότητα. Μαζί ξεπερνούν τα δύο κύρια εμπόδια για την έγκριση cloud προμηθευτών στις αγορές υγείας, χρηματοοικονομικών και νομικών.
Μάθετε πώς ο σχεδιασμός zero-knowledge απαντά στα ερωτηματολόγια ασφαλείας και δείτε την επισκόπηση ασφαλείας και συμμόρφωσης.
Πώς επηρεάζει τους χρόνους ελέγχου
Οι έλεγχοι προμηθευτών σε ρυθμιζόμενες αγορές απαιτούν χρόνο, περιλαμβάνουν συμπλήρωση ερωτηματολογίων, αξιολόγηση εγγράφων, αρχιτεκτονική αξιολόγηση και συχνά μια κλήση με την ομάδα ασφαλείας.
Η πιστοποίηση μειώνει την αξιολόγηση εγγράφων. Το πιστοποιητικό και η Δήλωση Εφαρμοσιμότητας χρησιμεύουν ως απόδειξη. Ένας ελεγκτής έχει ήδη επαληθεύσει τους ελέγχους· η ομάδα προμηθειών δεν χρειάζεται να επαναλάβει αυτή την εργασία.
Ο σχεδιασμός zero-knowledge μειώνει την αρχιτεκτονική αξιολόγηση. Η ερώτηση για την πρόσβαση στα δεδομένα έχει μια σαφή δομική απάντηση. Δεν υπάρχει τίποτα να διαπραγματευτεί πέρα από την ίδια την αρχιτεκτονική.
Και οι δύο παράγοντες εξαλείφουν τις αναβολές που παρατείνουν τους ελέγχους προμηθευτών. Οι ομάδες προχωρούν ταχύτερα όταν οι δύσκολες ερωτήσεις λαμβάνουν άμεσες απαντήσεις ήδη από την πρώτη παρουσίαση. Λιγότεροι κύκλοι σημαίνουν λιγότερες καθυστερήσεις.
Για τους προμηθευτές σε ρυθμιζόμενες αγορές, αυτό είναι σχετικό σε κάθε διαπραγμάτευση. Μικρότεροι χρόνοι ελέγχου σημαίνουν μικρότεροι κύκλοι πωλήσεων. Στις διαστάσεις των εταιρικών συμφωνιών, αυτή η διαφορά έχει σημαντικό αντίκτυπο. Οι προμηθευτές που μπορούν να απαντήσουν στις πιο δύσκολες ερωτήσεις από την πρώτη μέρα συναντούν λιγότερη τριβή σε ολόκληρη τη διαδικασία.
Για τους εταιρικούς αγοραστές, ο συνδυασμός σημαίνει ισχυρότερη στάση κινδύνου. Ένας προμηθευτής που δεν μπορεί να διαβάσει τα δεδομένα πελατών και διαθέτει επαληθευμένους οργανωτικούς ελέγχους προσφέρει μια σαφή απόδειξη της δέσμευσής του στην ασφάλεια. Μάθετε περισσότερα στο κέντρο FAQ.