Јазот во сертификацијата при набавка на добавувачи
Корпоративните безбедносни тимови прегледуваат десетици добавувачи секоја година. Им треба брз филтер. Сертификацијата ISO 27001 им го дава тоа. Ревизорот веќе ги проверил контролите на добавувачот. Тоа го заштедува внатрешниот тим од повторување на истата работа.
Добавувачите без овој сертификат мора да го градат своето образложение во секој договор. Тоа чини време и на двете страни. Го забавува прегледот и го зголемува ризикот од неуспешна проверка.
Што покрива стандардот од 2022 година
Додаток А во тековната верзија има 93 контроли во четири групи: организациски, луѓе, физички и технолошки. Тимовите се фокусираат на неколку клучни области.
Криптографски контроли (Додаток А 8.24): Добавувачот мора да дефинира правила за употреба на клучеви. Тие покриваат како се создаваат, складираат, пристапуваат и отстрануваат клучевите. Сертификацијата покажува дека ревизорот ја потврдил оваа политика.
Контрола на пристап (Додаток А 8.2-8.5): Пристапот на персоналот до податоците на клиентите мора да следи правила за минимални привилегии. Сертификацијата покажува дека тие ограничувања се документирани и спроведени.
Односи со добавувачи (Додаток А 5.19-5.22): Добавувачите мора да документираат безбедносни правила за нивните сопствени добавувачи. Ова е важно кога купувачите мора да докажат дека нивните сопствени добавувачи се безбедни.
Сертификатот потврдува дека процесните и организациските контроли се воспоставени. Го намалува прилагодениот преглед на помал сет на архитектурски прашања кои стандардот не ги адресира.
Прашањето на кое сертификацијата не одговара
Стандардот одговара на процесни прашања. Не одговара на она на кое регулираните фирми им е најважно: дали добавувачот може да ги чита нашите податоци?
Сертифициран добавувач сè уште може да чува клучеви на страна на серверот. Сертификацијата потврдува дека управувањето со клучеви следи политика. Не потврдува дека таа политика го блокира пристапот на добавувачот до обичен текст.
Дизајнот со нулта знаење одговара на она што стандардот го оставя отворено. Клучевите се создаваат на страна на клиентот. Ниту еден клуч не се наоѓа на серверот. Податоците се шифрираат со AES-256-GCM пред да го напуштат клиентот. Добавувачот не може да ги чита податоците на клиентот. Тоа е структурен факт, а не избор на политика.
Тоа покрива две различни грижи. Сертификатот ги задоволува проверките на процесите и организацијата во набавните формулари. Дизајнот со нулта знаење ја задоволува грижата за пристап до податоци, која регулираните фирми ја рангираат највисоко. Заедно тие ги исчистуваат двете главни бариери за одобрување на облак-добавувачи во здравствените, финансиските и правните пазари.
Видете како дизајнот со нулта знаење одговара на безбедносни прашалници и прегледете го прегледот на безбедноста и усогласеноста.
Како ова влијае на времето за преглед
Прегледите на добавувачи во регулираните пазари одземаат време. Тие вклучуваат работа на прашалник, преглед на документи, преглед на архитектурата и честопати разговор со безбедносниот тим.
Сертификацијата го скратува прегледот на документи. Сертификатот и Изјавата за применливост служат како доказ. Ревизорот веќе ги проверил контролите. Набавниот тим не треба да ја повтори таа работа.
Дизајнот со нулта знаење го скратува прегледот на архитектурата. Прашањето за пристап до податоци има јасен структурен одговор. Нема ништо да се преговара освен самиот дизајн.
Двата фактори го намалуваат напред-назад движењето кое ги продолжува прегледите на добавувачи. Тимовите се движат побрзо кога тешките прашања добиваат директни одговори при првото поднесување. Помалку рунди значат помалку доцнења.
За добавувачи во регулирани пазари, ова е важно во секој договор. Покусите прегледи значат покуси продажни циклуси. При корпоративни суми на договори, таа разлика брзо се собира. Добавувачи кои можат да одговорат на најтешките прашања во денот еден имаат помалку триење во текот на целиот процес.
За корпоративните купувачи, комбинацијата значи посилна положба за ризик. Добавувач кој не може да ги чита податоците на клиентот и кој поседува ревидирани организациски контроли дава јасен доказ за посветеност на безбедноста. Дознајте повеќе во центарот за ЧПП.