Satıcı Tedarikinde Sertifikasyon Açığı
Kurumsal güvenlik ekipleri her yıl düzinelerce satıcıyı değerlendirir. Hızlı bir filtre gerekir. ISO 27001 sertifikası bu filtreyi sağlar. Bir denetçi satıcının kontrollerini zaten incelemiştir. Bu, iç ekibin aynı çalışmayı yeniden yapmasını önler.
Bu sertifikayı taşımayan satıcılar her anlaşmada argümanlarını sıfırdan oluşturmak zorundadır. Bu her iki taraf için de zaman kaybıdır. İncelemeyi uzatır ve başarısız denetim riskini artırır.
Mevcut Standart Neleri Kapsar
Güncel versiyonun Ek A'sı dört grupta 93 kontrol içerir: organizasyonel, insan, fiziksel ve teknolojik. Ekipler birkaç temel alana odaklanır.
Kriptografik kontroller (Ek A 8.24): Satıcı, anahtar kullanımına ilişkin kurallar tanımlamalıdır. Bu kurallar anahtarların oluşturulmasını, depolanmasını, erişilmesini ve kaldırılmasını kapsar. Sertifikasyon, denetçinin bu politikanın işe yaradığını onayladığını gösterir.
Erişim kontrolü (Ek A 8.2–8.5): Müşteri verilerine çalışan erişimi en az ayrıcalık kurallarına uymalıdır. Sertifikasyon, bu sınırların belgelendiğini ve uygulandığını gösterir.
Tedarikçi ilişkileri (Ek A 5.19–5.22): Satıcılar kendi tedarikçileri için güvenlik kurallarını belgelemek zorundadır. Alıcıların kendi satıcılarının güvenliğini kanıtlaması gerektiğinde bu durum önem taşır.
Sertifika, süreç ve organizasyon kontrollerinin yerinde olduğunu onaylar. Özel incelemeyi standart tarafından ele alınmayan daha küçük bir mimari soru kümesine indirgeder.
Sertifikasyonun Yanıtlamadığı Soru
Standart süreç sorularını yanıtlar. Düzenlenmiş şirketlerin en çok önem verdiği şeyi yanıtlamaz: satıcı verilerimizi okuyabilir mi?
Sertifikalı bir satıcı yine de sunucu taraflı anahtarları tutabilir. Sertifikasyon, anahtar yönetiminin bir politikayı izlediğini doğrular. Bu politikanın satıcının düz metin verilerine erişimini engellediğini onaylamaz.
Sıfır bilgi tasarımı, standardın açık bıraktığını yanıtlar. Anahtarlar istemci tarafında oluşturulur. Sunucuda anahtar tutulmaz. Veri, istemciden ayrılmadan önce AES-256-GCM ile şifrelenir. Satıcı müşteri verilerini okuyamaz. Bu bir politika seçimi değil, yapısal bir gerçektir.
Bu iki ayrı endişeyi kapsar. Sertifikasyon, tedarik formlarındaki süreç ve organizasyon kontrollerini karşılar. Sıfır bilgi tasarımı, düzenlenmiş şirketlerin en yüksek sıraya koyduğu veri erişim endişesini giderir. İkisi birlikte sağlık, finans ve hukuk pazarlarında bulut satıcısı onayının iki ana kapısını aşar.
Sıfır bilgi tasarımının güvenlik anketlerini nasıl yanıtladığını ve güvenlik ve uyumluluk genel görünümünü inceleyin.
Bu Durum İnceleme Süresini Nasıl Etkiler
Düzenlenmiş pazarlardaki satıcı incelemeleri zaman alır. Anket çalışması, belge incelemesi, mimari inceleme ve çoğunlukla güvenlik ekibiyle bir görüşmeyi kapsar.
Sertifikasyon, belge incelemesini kısaltır. Sertifika ve Uygulanabilirlik Bildirimi kanıt görevi görür. Denetçi kontrolleri zaten incelemiştir. Satın alma ekibinin bu çalışmayı yinelemesi gerekmez.
Sıfır bilgi tasarımı, mimari incelemeyi kısaltır. Veri erişim sorusunun açık bir yapısal yanıtı vardır. Tasarımın ötesinde müzakere edilecek bir şey yoktur.
Her iki faktör de satıcı incelemelerini uzatan gidip-gelmeleri azaltır. Ekipler, zor sorular ilk başvuruda doğrudan yanıtlandığında daha hızlı ilerler. Daha az tur daha az gecikme demektir.
Düzenlenmiş pazarlardaki satıcılar için bu her anlaşmada önem taşır. Daha kısa incelemeler daha kısa satış döngüleri anlamına gelir. Kurumsal anlaşma büyüklüklerinde bu fark hızla birikir. En zor soruları birinci günden yanıtlayabilen satıcılar süreç boyunca daha az sürtüşmeyle karşılaşır.
Kurumsal alıcılar için bu kombinasyon daha güçlü bir risk tutumunu ifade eder. Müşteri verilerini okuyamayan ve denetlenmiş organizasyon kontrollerine sahip bir satıcı, güvenlik taahhüdünün açık kanıtını sunar. Daha fazla bilgi için SSS merkezine bakın.