Basit gerçek şu ki, güvenlik önlemleri
uygulamaya konulan kuruluşlar onları tehditlerden korumak için yeterli değildir. Üçüncü
taraflar, hem veri güvenliği için en büyük riske maruz kalma alanını sunabilir
ve mevzuata uygunluk için. Bilgisayar korsanlarının nüfuz etmesi çok daha kolay
daha sağlam ve daha büyük iş ortaklarına ulaşmak için daha küçük üçüncü taraf sağlayıcılar
kontrolleri.

Riskleri bilmek

Organizasyonlar giderek dış kaynak olarak
temel olmayan iş süreçleri, müşteri ve özel veriler - bununla birlikte
kritik sistemlere erişim - bu öğelerin güvenliği,
direkt kontrol. Artık tümünü kontrol etmekten doğrudan sorumlu değilseniz
sistemlere ve verilerinize dokunanlara erişim, herkesin görünürlüğünü kaybedersiniz
gidebileceği yerler. Bunun örümcek ağı etkisi var; dış kaynak kullanan şirketler
sık sık dışarıdan tedarik planlarına tedarikçinin dış kaynak kullandığını keşfederler.
iyi.

Verilerinizin nerede olduğunu bilmemek sadece
güvenlik sorunları ortaya çıkarırsa, potansiyel düzenleyici etkisi vardır. Düzenleyici
veri koruma ve veri gizliliği üzerindeki baskı artıyor ve
her şey düşünüldüğünde uygunsuzluk sonuçları önemli ölçüde genişler
günlük operasyonlarınız için gerekli olan üçüncü tarafların

Bulutun avantajları - veriye sahip olmak
o anda etkili bir şekilde yönetilip kullanılabildiği her yerde - ayrıca
sorunları. Veri taşındığında önemli düzenleyici etkiler olabilir
Sınır ötesi. Birçok kuruluş, verilerinin ABD'den ayrılıp ayrılmadığını bilmek zorundadır,
ve Avrupa Birliği (AB) verileri AB'den ayrılırsa. Her zaman temin edemezsin
bir bulut sağlayıcısıyla. Satıcı feshi de bir sorun teşkil eder. Sen ne zaman
bir satıcı ilişkisini keserseniz, verilerinizin
sana döndü ya da yok edildi. Bu şartları sözleşmenize dahil etmek
yeterli değil; gerekli işlemin tamamlandığını doğrulamanız gerekir.
Bulut verilerinin nasıl depolandığı nedeniyle bu her zaman mümkün değildir.

Etkili bir üçüncü taraf risk yönetimi
program sadece uyum çabaları için değil, genel olarak
güvenlik duruşu.

Başarı için En İyi Uygulamalar

Başarılı olmak için en iyi 10 uygulama var
üçüncü taraf riskini yönetmek:

1. Temel Elemanlara Zaman Yatır
Çok sık, şirketler satıcıları değerlendirmek için yola çıktıklarında,
çerçeveyi oluşturmadan bir anket ve değerlendirmeleri başlat
Bunun için. Başarılı bir kurumun temel unsurlarının
program - politikalar, prosedürler, kapsamlı bir satıcı envanteri ve
uygun sözleşme yolu - iyi kurulmuş. Bunu yapmak için,
doğru paydaşların dahil edilmesi gerekmektedir. Satıcılar,
iş birimi ve buna göre davranan grup tarafından ele alınması gerekir
risk değerlendirmesi. Tedarikçiler süreçle rahat olmalı, anlamalı
ne yapılmalı ve kontroller yapılmadığında ne olacağını belirlemeye yardım etmeli
yerinde bulundu.

2. Yaşam Döngüsü Olarak Bakın
Kuruluşlar bazen kapsamı hakkında yanlış beklentiler geliştirir.
üçüncü taraf risk girişimleri. Programınızı geliştirdiğinizden emin olun.
seçimden, bayi ilişkilerinizin tüm yaşam döngüsünü ele alın
işe alım, yönetime fesih - ve maliyeti ve
her adımda çaba.

3. Tedarikçi Önceliklendirmesine Katılın
Geçerli hizmetleri içeren mevcut bir tedarikçi listesine sahip olmak çok önemlidir
eriştikleri verileri ve hizmetlerinin önemini (
kullanılabilirlik bakış açısı). Hangi satıcıları değerlendirmeniz ve neye ihtiyacınız olduğu
onlara sormak kim olduklarına ve sizin için ne yaptıklarına bağlıdır. Satıcı riski
çerçeveleme, hizmetin türüne bir risk derecelendirmesi atayarak başlar
sağlanan. Bu işlevi dış kaynak kullanımı ile içsel olan riskle başlayın.
Riski ve gereken güvenlik ve veri koruma gereksinimlerini göz önünde bulundurun
bu hizmeti verecek herhangi bir şirkete yerleştirilmek. İşte
onları doğru riske sokmaya yardımcı olacak doğal risk hesaplaması
kategoriler.

4. Sözleşme Hakkını Alın
Bir satıcı sözleşmesi,
ilişkisi. Sözleşme arasında uyum ve sinerji olması gerekir
süreç ve risk gereklerini anlayan ve tanımlayabilen insanlar
bu tür bir hizmet için olması gerekir. Sözleşmeden kim sorumludur?
(Yasal, Satın Alma vb.) Ele alınması gereken hükümlerin farkında olmalıdır
bir satıcıyla ilişkili riskler. Tüm sözleşmeler eşit değildir; satıcıların ihtiyacı
ne olduklarına bağlı olarak farklı hesap verebilirlik standartlarına uymak
sağlama.

5. Olgunluğunuzu Değerlendirin
Programınızın olgunluğunu değerlendirmek önemlidir. Bir alan daha fazla olabilir
diğerinden daha gelişmiş. Örneğin, aşağıdaki gibi düzenlenmiş bir sektördeyseniz
programınızın yasal düzenlemelere tabi kısmı olan finansal hizmetler
gereksinimleriniz,
kontrolsüz endüstri. Farklı parçalarınızın olgunluğunu değerlendirin
programlayın ve hangilerinin dikkat edilmesi gerektiğine karar verin.

6. Raporlamaya Yukarıdan Aşağıya Bakın
Hangi verilere ihtiyacınız olduğunu anlamaya çalışarak raporlama işlemine başlamayın
toplamak. Başlamak zorunda olduğunuz tüm raporları ve kimleri sunduğunuzu düşünerek başlayın
onları teslim etmek gerekiyor. Sonra kolayca geriye doğru çalışabilirsiniz ne belirlemek için
veri gerekir. Raporlanacak iki merkezi alan vardır - risk ve operasyonel
etkinliği.

• Şirket, bir hizmet türünü, satıcıyı veya hizmet türünü dış kaynak kullanarak ne gibi risklere maruz kalıyor?
• Program ne kadar etkilidir? Operasyonel varsayımlar ve program performans metrikleri, programınızın etkinliğini ve hedeflerinize ulaşmak için neden daha fazla kaynağa ihtiyaç duyabileceğinizi göstermeye yardımcı olabilir.

7. Kaldıraç Otomasyonu
Üçüncü taraflarınızı değerlendirmek zaman alıcı ve manuel bir çaba olabilir. Aslında,
Harcanan zamanın yüzde 40 ila 50'si gönderme sürecini içerir
anketler, yanıtları geri alma ve tedarikçi yanıtlarını doğrulama ve
belgeler. Otomasyon, risk değerlendiricilerini şu görevlerden kurtarabilir:
yetenek setlerini dahil etmeyin ve süreci hızlandırın. Otomatikleştirilmiş
çözüm, bireysel bir değerlendirici kolayca üç ila altı kat daha fazla yapabilir
değerlendirmeleri bir yıl içinde elle yapabildikleri gibi.

8. Onlara Ortak gibi davranın
Birçok tedarikçi sık sık değerlendirilir, yerinde güvenliği iyidir ve
bu süreci yılda yüzlerce kez geçiriyoruz. Ne zaman satıcı gerekir
Değerlendirmek kendi ürünlerinizi teslim etmek için kritik bir şey sağlamaktır
ve hizmetler için, onlara basitçe değil, bir ortak gibi davrandığınızdan emin olun
sizin için ne yapmaları gerekeceğini dikte ederek. Anladıklarından emin olun
En başından beri ne yapıyorsun, neden yapman gerekiyor ve ne
ihtiyacınız olan bilgiler.

Birçok satıcı güçlü bir paket oluşturuyor
kullanabileceğiniz iş ortaklarıyla paylaşmak için bilgi. Sahip olmayanlar
hazırlanan bilgi ve değerlendirilmeye itiraz ediyor olabilir çünkü
muhtemelen gereksinimleri karşılayamaz; bu nedenle,
ilk etapta. Ve değerlendirme sonrası söz konusu olduğunda
İyileştirme, kendinizi satıcının yerine koymaya çalışın. Eğer sahip değillerse
gerekli kontrolleri yerine getirmek için paydaş iş biriminizle birlikte çalışın.
uygulamanızı sağlayın, ancak yerleştirdiğiniz beklentilerde adil ve makul olun
satıcı üzerinde.

9. Tutarlı Değerlendirin
Bazen hızlı hareket etme isteği - böylece bir satıcının ürün veya hizmeti
teslim edilebilir ve gelir elde etmeye başlar - şirketleri başlangıçta
bir seviye değerlendirme yapın ve daha kapsamlı bir sürüme geçin
sonrasında. Bununla ilgili sorun, sizi risk seviyelerine yönlendirebilir
farkında değilsin. Kapsamlı bir değerlendirme yapmadan, daha sonra keşfedebilirsiniz
belirli kontrolleri olmadığı ve
gereksinimleri.

10. Dış Faktörleri İzleme
Satıcı değerlendirmeleri statik, zaman içinde bakış açıları sağlar; bu önemli
ayrıca sözleşmenin kapsamı dışında kalan ve
normal bir değerlendirmenin parçası değildir. Aşağıdaki soruları düşünün:
Tedarikçi, teslimat yeteneklerini olumsuz etkileyebilecek yasal işlemlerle karşılaşıyor mu?
Hizmetler?

• Mali durumları nedir?
• Çalışmamın yapıldığı yerler dışındaki yerlerde ihlal olaylarına karışıyorlar mı?
• Düzenleyici eylemlere tabi mi (OFAC, FTC veya diğerleri)?
• Yöneticileri SEC soruşturmasına tabi mi?

Saygınlığınızı Başkasının Birine Bırakmayın
Eller

Dış kaynak kullanımının belirgin faydaları vardır - daha düşük
çekirdek olmayan iş süreçlerinde artan verimlilik ve üretkenlik maliyetleri.
Ancak üçüncü tarafların getirdiği değer, ilişkili riskler tarafından aşınabilir.
Üçüncü taraf zayıflıkları sizin zayıf yönlerinizdir. Geliştirerek ve bakımını yaparak
etkili bir üçüncü taraf risk yönetimi programı, size yardımcı olabilir
satıcıların güçlü denetimleri vardır ve kuruluşunuzu
mali, operasyonel, düzenleyici ve itibar riski.