Sertifiointivaje toimittajavalinnoissa
Yritysten tietoturvatiimit arvioivat kymmeniä toimittajia vuosittain. He tarvitsevat nopean suodattimen. ISO 27001 -sertifiointi tarjoaa sen. Auditoija on jo tarkistanut toimittajan kontrollit. Tämä säästää sisäisen tiimin työn, jonka he muuten tekisivät itse.
Toimittajat ilman sertifiointia joutuvat rakentamaan tapauksensa jokaisessa kauppaneuvottelussa. Tämä maksaa aikaa molemmilta osapuolilta. Arviointi pitkittyy ja epäonnistuneen tarkastelun riski kasvaa.
Mitä nykyinen standardi kattaa
Nykyisen version liite A sisältää 93 kontrollia neljässä ryhmässä: organisatoriset, henkilöstöön liittyvät, fyysiset ja teknologiset. Tiimit keskittyvät useisiin keskeisiin alueisiin.
Kryptografiset kontrollit (liite A 8.24): Toimittajan on määriteltävä avainten käyttöpolitiikka. Tämä politiikka kattaa avainten luomisen, tallentamisen, käytön ja poistamisen. Sertifiointi osoittaa, että auditoija on vahvistanut politiikan toimivaksi.
Pääsynhallinta (liite A 8.2–8.5): Henkilöstön pääsy asiakastietoihin on noudatettava vähimmäisoikeusperiaatetta. Sertifiointi osoittaa, että nämä rajoitukset on dokumentoitu ja niitä valvotaan.
Toimittajasuhteet (liite A 5.19–5.22): Toimittajien on dokumentoitava tietoturvapolitiikat omille alitoimittajilleen. Tämä on tärkeää, kun asiakkaiden on osoitettava omien toimittajiensa turvallisuus.
Sertifikaatti vahvistaa, että prosessi- ja organisaatiokontrollit ovat käytössä. Se rajoittaa oman arvioinnin pienempään joukkoon arkkitehtuurikysymyksiä, joihin standardi ei ota kantaa.
Kysymys, johon sertifiointi ei vastaa
Standardi vastaa prosessikysymyksiin. Se ei vastaa siihen, mistä säännellyt yritykset ovat eniten huolissaan: voiko toimittaja lukea heidän tietojaan?
Sertifioitu toimittaja voi silti pitää palvelinpuolen avaimia. Sertifiointi vahvistaa, että avaintenhallinta noudattaa politiikkaa. Se ei vahvista, että politiikka estää toimittajaa pääsemästä selkokieliseen tekstiin.
Zero-knowledge-arkkitehtuuri vastaa siihen, minkä standardi jättää avoimeksi. Avaimet luodaan asiakaspuolella. Palvelimella ei ole avaimia. Data salataan AES-256-GCM:llä ennen asiakkaan poistumista. Toimittaja ei voi lukea asiakastietoja. Tämä on rakenteellinen tosiasia, ei poliittinen valinta.
Tämä kattaa kaksi erillistä näkökohtaa. Sertifiointi täyttää prosessi- ja organisaatiovaatimukset ostolomakkeissa. Zero-knowledge-arkkitehtuuri täyttää tietojen käyttöominaisuuden, jota säännellyt yritykset arvioivat eniten. Yhdessä ne ylittävät kaksi tärkeintä estettä pilvipalvelutoimittajan hyväksymiselle terveydenhuollossa, rahoituksessa ja oikeudellisella alalla.
Katso, miten zero-knowledge-arkkitehtuuri vastaa turvallisuuskyselylomakkeisiin ja tutustu tietoturvan ja vaatimustenmukaisuuden yleiskatsaukseen.
Miten se vaikuttaa arviointiaikaan
Toimittajien arviointi säännellyillä markkinoilla vie aikaa. Siihen kuuluu kyselylomakkeen täyttäminen, asiakirjojen tarkastelu, arkkitehtuurikatselmus ja usein puhelinkeskustelu tietoturvatiimin kanssa.
Sertifiointi lyhentää asiakirjojen tarkastelua. Sertifikaatti ja soveltuvuuslausunto toimivat todisteena. Auditoija on jo tarkistanut kontrollit. Ostotiimin ei tarvitse toistaa tätä työtä.
Zero-knowledge-arkkitehtuuri lyhentää arkkitehtuurikatselmusta. Tietojen käyttökysymykseen on selkeä rakenteellinen vastaus. Ei ole mitään neuvoteltavaa itse arkkitehtuurin ulkopuolella.
Molemmat tekijät vähentävät vaihtojen määrää, jotka pidentävät toimittaja-arviointeja. Tiimit etenevät nopeammin, kun vaikeat kysymykset saavat suorat vastaukset ensimmäisessä lähetyksessä. Vähemmän kierroksia tarkoittaa vähemmän viiveitä.
Säänneltyjen markkinoiden toimittajille tämä vaikuttaa jokaisessa kauppaneuvottelussa. Lyhyemmät arvioinnit tarkoittavat lyhyempiä myyntisyklejä. Yrityskaupojen kokoluokassa tämä ero näkyy nopeasti. Toimittajat, jotka voivat vastata vaikeimpiin kysymyksiin ensimmäisenä päivänä, kohtaavat vähemmän kitkaa koko prosessissa.
Yritysasiakkaille tämä yhdistelmä tarkoittaa vahvempaa tietoturva-asentoa. Toimittaja, joka ei voi lukea asiakastietoja ja jolla on auditoidut organisaatiokontrollit, tarjoaa selkeän todisteen sitoutumisesta tietoturvaan. Lisätietoja löytyy FAQ-keskuksesta.