يقيّم مورداً أو مقدّم خدمة أو شريكاً بناءً على ما تعرفه والأدلة التي لديك: الأهمية والاعتماد، وتعرّض البيانات، والأمن، والامتثال، والخصوصية، والاستمرارية، والحوادث، والمالية، والعقد. تُحسب درجات المخاطر، ولا تُحتسب الضوابط إلا إذا ثبتت بدليل. ويستند التقييم إلى المعلومات المقدَّمة: فهو ليس تدقيقاً مستقلاً ولا يتحقق من الشهادات.
المحتوى
1. معلومات التقييم
2. الملخص التنفيذي
3. نطاق التقييم ومنهجيته
4. ملف الطرف الثالث
5. العلاقة التجارية ووصف الخدمة
6. تحليل الأهمية للأعمال والاعتمادات
7. الوصول إلى المعلومات وكشف البيانات
8. تقييم أمن المعلومات
9. التقييم التنظيمي وتقييم الامتثال
10. تقييم حماية البيانات والخصوصية
11. تقييم استمرارية الأعمال والتعافي من الكوارث
12. تقييم إدارة الحوادث
13. تقييم المخاطر المالية والتشغيلية
14. تقييم العقود واتفاقيات مستوى الخدمة
15. الضوابط القائمة والأدلة الداعمة
16. تحديد المخاطر وتحليلها
17. تقييم الخطر الكامن
18. تقييم فعالية الضوابط
19. تقييم الخطر المتبقي
20. ملاحظات المخاطر والفجوات المحددة
21. توصيات معالجة المخاطر
22. خطة معالجة مخاطر الطرف الثالث
23. الملخص العام للمخاطر
24. خلاصة التقييم والموافقة عليه
25. جدول المراجعة وإعادة التقييم
26. سجل إصدارات الوثيقة
ما تقدمونه
Deliverable — You set its title, author and structure.
الطرف الثالث — من يُقيَّم.
الخدمة والاعتماد — إلى أي حد يعتمد العمل عليه.
الوصول إلى الأنظمة والبيانات — ما الذي يمكنه الوصول إليه.
أمن المعلومات — ما صرّح به أو أثبته.
الامتثال وحماية البيانات — تُذكر الشهادات كما قُدّمت.
