بعد القراءة، ستتمكن من مواءمة عمليات التحقق مع حجم الرهان، وقراءة أدلة المورّد بعين ناقدة، والوصول إلى قرار موثّق.
التعريف
يجري قبل التوقيع ثم مجدداً خلال العلاقة. وتغطي الضوابط من 5.19 إلى 5.22 في ISO/IEC 27002 العلاقات مع المورّدين، ويذكر البند (d) من الفقرة 2 من المادة 21 في NIS2 أمن سلسلة التوريد.
يتوقف العمق على حجم الرهان. فالمورّد الذي يحتفظ ببيانات العملاء يستحق تدقيقاً أكبر بكثير من مورّد اللوازم المكتبية.
لماذا يهم
يمكنك إسناد خدمة إلى طرف خارجي، لكن المسؤولية تبقى عليك. فوفق المادة 28 من اللائحة العامة لحماية البيانات مثلاً، لا يجوز للمتحكم أن يستعين إلا بمعالجين يقدمون ضمانات كافية.
كيف يعمل
صِف الخدمة: ما البيانات المشتركة، وما صلاحيات الوصول الممنوحة، ومدى اعتماد الأعمال عليها، ومدى سهولة استبدالها. ومن ذلك ينتج المستوى.
اطلب أدلة متناسبة: شهادة مع نطاقها وبيان قابلية التطبيق، أو تقرير SOC 2، أو استبيان، أو ملخص اختبار اختراق. واقرأ ما تتلقاه، بما في ذلك الاستثناءات.
قيّم الخطر المتبقي. ثم وافق، أو وافق بشروط مكتوبة في العقد، أو ارفض. وسجّل من قرر ومتى تحين المراجعة التالية.
حالة تطبيقية
تختار شركة مزوداً لخدمات الرواتب سيحتفظ ببيانات الرواتب والحسابات المصرفية لـ200 موظف، مما يضعه في أعلى مستوى. وبقراءة شهادة ISO/IEC 27001 بعناية، يلاحظ الفريق أنها تستثني مركز الدعم، الذي يستطيع موظفوه الاطلاع على السجلات.
القرار هو الموافقة بثلاثة شروط: سجلات الوصول، والإبلاغ عن الانتهاكات خلال 24 ساعة منصوصاً عليه في العقد، ودليل سنوي على مراجعة تشمل مركز الدعم.
ممارسات جيدة
- صنّف في مستويات أولاً، كي يذهب الجهد إلى حيث يهم.
- حوّل ما تجده إلى بنود في العقد. فالملاحظة التي لا يقابلها بند لا قوة لها لاحقاً.
- اسأل عن المتعاقدين من الباطن في الخدمات الحيوية.
- خطط لنهاية العقد أيضاً، بما في ذلك إعادة بياناتك.
أخطاء شائعة
- إرسال الاستبيان الطويل نفسه إلى الجميع، مما يرهق المورّدين الصغار ويغرق الإجابات المهمة.
- قبول شهادة دون قراءة نطاقها.
- التقييم مرة عند التوقيع ثم لا شيء بعد ذلك، مع أن المورّد ومخاطره سيتغيران.
- اتخاذ القرار بعد توقيع العقد، حين لا يبقى إلا القليل للتفاوض.
أسئلة
- ما علاقة تقييم مخاطر المورّدين بإدارة مخاطر الأطراف الثالثة؟
- يقيّم التقييم مورّداً واحداً في لحظة معيّنة. أما إدارة مخاطر الأطراف الثالثة فهي البرنامج الكامل الذي يشملهم جميعاً.
- كم مرة يجب إعادة تقييم المورّدين؟
- الحيويون مرة في السنة على الأقل، وبعد حادث أو تغيير في الخدمة. والمستويات الأدنى بوتيرة أقل، أو عند التجديد.
- هل يكفي تقرير SOC 2 لتقييم مورّد؟
- هو دليل قوي إذا كان نطاقه وفترته واستثناءاته تناسب استخدامك، لكن عليك مع ذلك التفكير في اعتمادك أنت عليه.
- ماذا لو رفض مورّد حيوي الإجابة؟
- ابحث عن أدلة علنية، وفاوض، وسجّل الخطر، ودع مسؤوله يقرر. فالرفض بحد ذاته معلومة.
- ما الأطراف الرابعة؟
- مورّدو مورّديك. وهم يهمون حين تعتمد خدمتك عليهم، مثل المنصة السحابية التي تقف وراء أداة SaaS.