Jaz certifikacije u nabavi dobavljača
Enterprise sigurnosni timovi godišnje provjeravaju desetke dobavljača. Trebaju brz filter. ISO 27001 certifikacija im ga pruža. Revizor je već provjerio kontrole dobavljača. To štedi interni tim od ponovnog obavljanja istog posla.
Dobavljači bez tog certifikata moraju graditi svoju poziciju u svakom poslu. To košta vrijeme s obje strane. Usporava provjeru i povećava rizik od neuspjeha.
Što obuhvaća standard iz 2022.
Aneks A u aktualnoj verziji sadrži 93 kontrole u četiri grupe: organizacijske, ljudske, fizičke i tehnološke. Timovi se usredotočuju na nekoliko ključnih područja.
Kriptografske kontrole (Aneks A 8.24): Dobavljač mora definirati pravila za korištenje ključeva. Ona pokrivaju način na koji se ključevi stvaraju, pohranjuju, kojima se pristupa i koji se uklanjaju. Certifikacija pokazuje da je revizor potvrdio funkcioniranje te politike.
Kontrola pristupa (Aneks A 8.2–8.5): Pristup osoblja podacima klijenata mora slijediti pravila najmanje privilegije. Certifikacija pokazuje da su ta ograničenja dokumentirana i provođena.
Odnosi s dobavljačima (Aneks A 5.19–5.22): Dobavljači moraju dokumentirati sigurnosna pravila za vlastite dobavljače. To je važno kada kupci moraju dokazati da su i njihovi dobavljači sigurni.
Certifikat potvrđuje da su procesne i organizacijske kontrole uspostavljene. Smanjuje prilagođenu provjeru na manji skup arhitektonskih pitanja koja standard ne obrađuje.
Pitanje na koje certifikacija ne odgovara
Standard odgovara na procesna pitanja. Ne odgovara na ono što reguliranim tvrtkama najviše leži na srcu: može li dobavljač čitati naše podatke?
Certificirani dobavljač može i dalje čuvati ključeve na strani poslužitelja. Certifikacija potvrđuje da upravljanje ključevima slijedi politiku. Ne potvrđuje da ta politika blokira pristup dobavljača podacima u čistom tekstu.
Zero-knowledge dizajn odgovara na ono što standard ostavlja otvorenim. Ključevi se stvaraju na strani klijenta. Nikakvi ključevi ne leže na poslužitelju. Podaci su šifrirani s AES-256-GCM prije nego što napuste klijenta. Dobavljač ne može čitati podatke klijenata. To je strukturna činjenica, a ne politički izbor.
Ovo pokriva dvije odvojene brige. Certifikat zadovoljava procesne i organizacijske provjere u obrascima za nabavu. Zero-knowledge dizajn zadovoljava brigu o pristupu podacima koju regulirane tvrtke rangiraju na prvom mjestu. Zajedno prolaze kroz dvoja glavna vrata za odobrenje cloud dobavljača u zdravstvenom, financijskom i pravnom sektoru.
Pogledajte kako zero-knowledge dizajn odgovara na sigurnosne upitnike i pregledajte pregled sigurnosti i usklađenosti.
Kako to utječe na vrijeme provjere
Provjere dobavljača u reguliranim tržištima zahtijevaju vrijeme. Uključuju rad na upitniku, pregled dokumenata, arhitektonsku provjeru i često razgovor sa sigurnosnim timom.
Certifikacija skraćuje pregled dokumenata. Certifikat i Izjava o primjenjivosti služe kao dokaz. Revizor je već provjerio kontrole. Tim za nabavu to ne mora ponavljati.
Zero-knowledge dizajn skraćuje arhitektonsku provjeru. Pitanje o pristupu podacima ima jasan strukturni odgovor. Nema ništa za pregovaranje osim samog dizajna.
Oba faktora smanjuju izmjenu poruka koja produljuje provjere dobavljača. Timovi se kreću brže kada teška pitanja dobivaju izravne odgovore pri prvoj predaji. Manje rundi znači manje kašnjenja.
Za dobavljače u reguliranim tržištima, to je važno u svakom poslu. Kraće provjere znače kraće prodajne cikluse. Kod enterprise veličina posla, ta razlika brzo se zbraja. Dobavljači koji mogu odgovoriti na najteža pitanja prvog dana suočavaju se s manjim trenjem kroz cijeli proces.
Za enterprise kupce, kombinacija znači jaču sigurnosnu poziciju. Dobavljač koji ne može čitati podatke klijenata i koji ima revidirane organizacijske kontrole pruža jasan dokaz predanosti sigurnosti. Saznajte više u FAQ centru.