Kesenjangan Sertifikasi dalam Pengadaan Vendor
Tim keamanan enterprise meninjau puluhan vendor setiap tahun. Mereka membutuhkan filter yang cepat. Sertifikasi ISO 27001 memberi mereka itu. Auditor telah memeriksa kontrol vendor. Hal itu menghemat tim internal dari mengulang pekerjaan yang sama.
Vendor tanpa sertifikasi ini harus membangun kasusnya dalam setiap kesepakatan. Ini memakan waktu dari kedua pihak. Ini memperlambat tinjauan dan meningkatkan risiko kegagalan pemeriksaan.
Apa yang Dicakup Standar 2022
Lampiran A dalam versi saat ini memiliki 93 kontrol dalam empat kelompok: organisasional, personel, fisik, dan teknologi. Tim berfokus pada beberapa area utama.
Kontrol kriptografi (Lampiran A 8.24): Vendor harus mendefinisikan aturan penggunaan kunci. Ini mencakup cara kunci dibuat, disimpan, diakses, dan dihapus. Sertifikasi menunjukkan auditor telah mengkonfirmasi kebijakan ini berfungsi.
Kontrol akses (Lampiran A 8.2–8.5): Akses staf ke data pelanggan harus mengikuti aturan hak akses minimum. Sertifikasi menunjukkan batasan tersebut telah didokumentasikan dan ditegakkan.
Hubungan pemasok (Lampiran A 5.19–5.22): Vendor harus mendokumentasikan aturan keamanan untuk pemasok mereka sendiri. Ini penting ketika pembeli harus membuktikan bahwa vendor mereka sendiri aman.
Sertifikat mengkonfirmasi bahwa kontrol proses dan org sudah ada. Ini mereduksi tinjauan khusus menjadi set pertanyaan arsitektur yang lebih kecil yang tidak ditangani oleh standar.
Pertanyaan yang Tidak Dijawab Sertifikasi
Standar menjawab pertanyaan proses. Tidak menjawab apa yang paling diperhatikan perusahaan yang diatur: dapatkah vendor membaca data kami?
Vendor bersertifikat mungkin masih memegang kunci sisi server. Sertifikasi mengkonfirmasi bahwa manajemen kunci mengikuti kebijakan. Tidak mengkonfirmasi bahwa kebijakan tersebut memblokir akses vendor ke teks biasa.
Desain zero-knowledge menjawab apa yang ditinggalkan standar terbuka. Kunci dibuat di sisi klien. Tidak ada kunci yang disimpan di server. Data dienkripsi dengan AES-256-GCM sebelum meninggalkan klien. Vendor tidak dapat membaca data pelanggan. Itu adalah fakta struktural, bukan pilihan kebijakan.
Ini mencakup dua kekhawatiran yang berbeda. Sertifikat memuaskan pemeriksaan proses dan org dalam formulir pengadaan. Desain zero-knowledge memuaskan kekhawatiran akses data yang dinilai paling tinggi oleh perusahaan yang diatur. Keduanya bersama-sama membersihkan dua gerbang utama untuk persetujuan vendor cloud dalam pasar layanan kesehatan, keuangan, dan hukum.
Lihat cara desain zero-knowledge menjawab kuesioner keamanan dan tinjau gambaran umum keamanan dan kepatuhan.
Bagaimana Ini Mempengaruhi Waktu Tinjauan
Tinjauan vendor di pasar yang diatur membutuhkan waktu. Ini mencakup pekerjaan kuesioner, tinjauan dokumen, tinjauan arsitektur, dan sering kali panggilan dengan tim keamanan.
Sertifikasi mempersingkat tinjauan dokumen. Sertifikat dan Pernyataan Penerapan berfungsi sebagai bukti. Auditor telah memeriksa kontrol. Tim pengadaan tidak perlu mengulangi pekerjaan itu.
Desain zero-knowledge mempersingkat tinjauan arsitektur. Pertanyaan akses data memiliki jawaban struktural yang jelas. Tidak ada yang perlu dinegosiasikan selain desain itu sendiri.
Kedua faktor memotong bolak-balik yang memperpanjang tinjauan vendor. Tim bergerak lebih cepat ketika pertanyaan sulit mendapat jawaban langsung pada pengajuan pertama. Lebih sedikit putaran berarti lebih sedikit keterlambatan.
Bagi vendor di pasar yang diatur, hal ini penting dalam setiap kesepakatan. Tinjauan yang lebih pendek berarti siklus penjualan yang lebih pendek. Pada ukuran kesepakatan enterprise, perbedaan itu bertambah dengan cepat. Vendor yang dapat menjawab pertanyaan paling sulit di hari pertama menghadapi lebih sedikit gesekan sepanjang proses.
Bagi pembeli enterprise, kombinasi ini berarti postur risiko yang lebih kuat. Vendor yang tidak dapat membaca data pelanggan dan memiliki kontrol org yang diaudit memberikan bukti komitmen keamanan yang jelas. Pelajari lebih lanjut di pusat FAQ.