Luka certyfikacyjna w procesach zakupowych
Zespoły bezpieczeństwa enterprise oceniają dziesiątki dostawców każdego roku. Potrzebują szybkiego filtra. Certyfikacja ISO 27001 im go zapewnia. Audytor już sprawdził kontrole dostawcy. To oszczędza wewnętrznemu zespołowi powtarzania tej samej pracy.
Dostawcy bez tego certyfikatu muszą budować swoją pozycję w każdej transakcji. To kosztuje czas obu stron. Spowalnia przegląd i zwiększa ryzyko negatywnego wyniku.
Co obejmuje standard z 2022 r.
Aneks A w aktualnej wersji zawiera 93 kontrole w czterech grupach: organizacyjnej, personalnej, fizycznej i technologicznej. Zespoły koncentrują się na kilku kluczowych obszarach.
Kontrole kryptograficzne (Aneks A 8.24): Dostawca musi określić zasady używania kluczy. Obejmują one sposób tworzenia, przechowywania, dostępu i usuwania kluczy. Certyfikacja pokazuje, że audytor potwierdził działanie tej polityki.
Kontrola dostępu (Aneks A 8.2–8.5): Dostęp pracowników do danych klientów musi opierać się na zasadzie minimalnych uprawnień. Certyfikacja pokazuje, że te limity są udokumentowane i egzekwowane.
Relacje z dostawcami (Aneks A 5.19–5.22): Dostawcy muszą dokumentować zasady bezpieczeństwa dla swoich własnych dostawców. Ma to znaczenie, gdy nabywcy muszą udowodnić, że ich dostawcy są bezpieczni.
Certyfikat potwierdza, że procesy i kontrole organizacyjne są wdrożone. Ogranicza niestandardowy przegląd do mniejszego zestawu pytań architektonicznych, których standard nie dotyczy.
Pytanie, na które certyfikacja nie odpowiada
Standard odpowiada na pytania dotyczące procesów. Nie odpowiada na to, co najbardziej interesuje firmy regulowane: czy dostawca może odczytać nasze dane?
Certyfikowany dostawca może nadal przechowywać klucze po stronie serwera. Certyfikacja potwierdza, że zarządzanie kluczami odbywa się zgodnie z polityką. Nie potwierdza, że ta polityka blokuje dostęp dostawcy do danych w postaci jawnej.
Projekt zero-knowledge odpowiada na to, czego standard nie rozwiązuje. Klucze są tworzone po stronie klienta. Na serwerze nie ma żadnych kluczy. Dane są szyfrowane za pomocą AES-256-GCM przed opuszczeniem klienta. Dostawca nie może odczytać danych klientów. To fakt strukturalny, nie wybór polityczny.
Obejmuje to dwa odrębne zagadnienia. Certyfikat spełnia wymogi procesowe i organizacyjne w formularzach zamówień. Projekt zero-knowledge zaspokaja obawy dotyczące dostępu do danych, które firmy regulowane stawiają na pierwszym miejscu. Razem eliminują dwie główne bariery przy zatwierdzaniu dostawców chmury na rynkach opieki zdrowotnej, finansów i prawa.
Zobacz, jak projekt zero-knowledge odpowiada na kwestionariusze bezpieczeństwa i zapoznaj się z przeglądem bezpieczeństwa i zgodności.
Jak to wpływa na czas przeglądu
Przeglądy dostawców na rynkach regulowanych są czasochłonne. Obejmują pracę z kwestionariuszem, przegląd dokumentów, przegląd architektury i często rozmowę z zespołem ds. bezpieczeństwa.
Certyfikacja skraca przegląd dokumentów. Certyfikat i Deklaracja Stosowalności służą jako dowód. Audytor już sprawdził kontrole. Zespół ds. zamówień nie musi powtarzać tej pracy.
Projekt zero-knowledge skraca przegląd architektury. Pytanie o dostęp do danych ma wyraźną odpowiedź strukturalną. Nie ma nic do negocjowania poza samym projektem.
Oba czynniki ograniczają wymianę korespondencji, która przedłuża przeglądy dostawców. Zespoły działają szybciej, gdy trudne pytania otrzymują bezpośrednie odpowiedzi przy pierwszym zgłoszeniu. Mniejsza liczba rund oznacza mniejsze opóźnienia.
Dla dostawców na rynkach regulowanych ma to znaczenie w każdej transakcji. Krótsze przeglądy oznaczają krótsze cykle sprzedaży. Przy wielkości transakcji enterprise ta różnica szybko się sumuje. Dostawcy, którzy potrafią odpowiedzieć na najtrudniejsze pytania w pierwszym dniu, napotykają mniejsze tarcie przez cały czas.
Dla nabywców enterprise połączenie oznacza silniejszą pozycję w zakresie ryzyka. Dostawca, który nie może odczytać danych klientów i posiada skontrolowane kontrole organizacyjne, daje jasny dowód zaangażowania w bezpieczeństwo. Więcej informacji znajdziesz w centrum FAQ.