Evalúa un proveedor, prestador o socio a partir de lo que usted sabe y de las evidencias que tiene: criticidad y dependencia, exposición de datos, seguridad, cumplimiento, privacidad, continuidad, incidentes, finanzas y contrato. Las puntuaciones de riesgo se calculan, y los controles solo cuentan si están acreditados. Se basa en la información aportada: no es una auditoría independiente ni verifica certificaciones.
Contenido
1. Datos de la evaluación
2. Resumen ejecutivo
3. Alcance y metodología de la evaluación
4. Perfil del tercero
5. Relación comercial y descripción del servicio
6. Análisis de la criticidad para el negocio y las dependencias
7. Acceso a la información y exposición de datos
8. Evaluación de la seguridad de la información
9. Evaluación normativa y de cumplimiento
10. Evaluación de la protección de datos y la privacidad
11. Evaluación de la continuidad del negocio y la recuperación ante desastres
12. Evaluación de la gestión de incidentes
13. Evaluación de riesgos financieros y operativos
14. Evaluación contractual y de los SLA
15. Controles existentes y evidencias asociadas
16. Identificación y análisis de riesgos
17. Evaluación del riesgo inherente
18. Evaluación de la eficacia de los controles
19. Evaluación del riesgo residual
20. Hallazgos de riesgo y brechas detectadas
21. Recomendaciones de tratamiento de riesgos
22. Plan de tratamiento del riesgo de terceros
23. Resumen global de riesgos
24. Conclusión y aprobación de la evaluación
25. Calendario de revisión y reevaluación
26. Historial de versiones del documento
Lo que usted aporta
Deliverable — You set its title, author and structure.
Tercero — Quién se evalúa.
Servicio y dependencia — Cuánto depende el negocio de él.
Acceso a sistemas y datos — A qué puede llegar.
Seguridad de la información — Lo que ha declarado o demostrado.
Cumplimiento y protección de datos — Las certificaciones se indican tal como se aportan.
Continuidad e incidentes — Qué ocurre cuando algo falla.
