Certifikacná medzera v obstarávaní dodavatelov
Podnikové bezpecnostné timy preskúmavaju desiatky dodavatelov rocne. Potrebuju rychly filter. Certifikácia ISO 27001 im ho poskytuje. Audítor uz skontroloval kontroly dodavatela. To setri internemu timu opakovat rovnaku prácu.
Dodavatelia bez tohto certifikátu musia budovat svoju argumentáciu pri kazdom obchode. To stojí cas na oboch stranách. Spomaluje kontrolu a zvysuje riziko neuspesnej preverky.
Co pokryvá norma z roku 2022
Príloha A v aktuálnej verzii má 93 kontrol v styroch skupinách: organizacné, personálne, fyzické a technologické. Timy sa zameriavaju na niektoré klucové oblasti.
Kryptografické kontroly (príloha A 8.24): Dodavatel musí definovat pravidlá pre pouzívanie klucov. Tieto pokryvaju spôsob vytvárania, ukladania, prístupu a odstraňovania klucov. Certifikácia ukazuje, ze audítor potvrdil, ze táto politika funguje.
Kontrola prístupu (príloha A 8.2-8.5): Prístup personálu k zákazníckym dátam musí dodrziaovat pravidlá minimálnych oprávnení. Certifikácia ukazuje, ze tieto obmedzenia su zdokumentované a vynucované.
Vzťahy s dodavateľmi (príloha A 5.19-5.22): Dodavatelia musia zdokumentovat bezpecnostné pravidlá pre svojich vlastnych dodavatelov. To je dolezité, ked nakupcovia musia dokazat, ze ich vlastní dodavatelia su bezpecní.
Certifikát potvrduje, ze procesy a organizacné kontroly su zavedené. Zmenšuje vlastné preskúmanie na mensiu skupinu architektonických otazok, ktore norma nerieši.
Otazka, na ktoru certifikácia neodpovedá
Norma odpovedá na procesné otazky. Neodpovedá na to, co regulovane firmy zaujíma najviac: moze dodavatel cítat nase dáta?
Certifikovany dodavatel moze stále uchovávat kluce na strane servera. Certifikácia potvrdzuje, ze správa klucov sa riadi politikou. Nepotvrduje, ze táto politika blokuje prístup dodavatela k cistému textu.
Dizajn zero-knowledge odpovedá na to, co norma nechala otvorené. Kluce sa vytvárajú na strane klienta. Na serveri nie su ulozené ziadne kluce. Dáta su zasifrovane pomocou AES-256-GCM predtym, ako opustia klienta. Dodavatel nemoze cítat zákaznícke dáta. To je struktúrna skutocnost, nie politická volba.
Toto pokryvá dve odlisné obavy. Certifikát uspokojuje procesné a organizacné kontroly vo formulároch obstarávania. Dizajn zero-knowledge uspokojuje obavy z prístupu k dátam, ktore regulované firmy hodnotia najvyssie. Spolu prekonávajú dve hlavné brány pre schválenie cloudového dodavatela v zdravotníctve, financníctve a právnych trhoch.
Pozrite, ako dizajn zero-knowledge odpovedá na bezpecnostné dotazníky a preskúmajte prehlad bezpecnosti a súladu.
Ako to ovplyvňuje cas kontroly
Kontroly dodavatelov na regulovanych trhoch trvaju dlho. Zahŕnaju prácu s dotazníkmi, preskúmanie dokumentov, architektonicku kontrolu a casto hovor s bezpecnostnym tímom.
Certifikácia skracuje preskúmanie dokumentov. Certifikát a Vyhlásenie o aplikovatelnosti slúzia ako dôkaz. Audítor uz skontroloval kontroly. Obstarávaci tím nemusí tuto prácu opakovat.
Dizajn zero-knowledge skracuje architektonickú kontrolu. Otazka prístupu k dátam má jasnu struktúrnu odpoved. Nie je co vyjednávat okrem samotného dizajnu.
Oba faktory skracuju komunikáciu tam a spät, ktora predlzuje kontroly dodavatelov. Timy sa pohybuju rychlejsie, ked ťazké otazky dostanu priame odpovede uz pri prvom predlozeí. Menej kôl znamená menej oneskorení.
Pre dodavatelov na regulovanych trhoch je to dolezité v kazdom obchode. Kratšie kontroly znamenajú kratšie predajné cykly. Pri podnikových veľkostiach obchodov sa tento rozdiel rychlo scíta. Dodavatelia, ktori vedia odpovedat na najnárocnejsie otazky hned prvý den, celiaju mensím treciam po celý cas.
Pre podnikových nakupcov kombinacia znamená silnejsie rizikové postavenie. Dodavatel, ktory nemoze cítat zákaznícke dáta a má auditované organizacné kontroly, poskytuje jasny dôkaz záväzku k bezpecnosti. Dozvedte sa viac v centre FAQ.