Évalue un fournisseur, prestataire ou partenaire à partir de ce que vous savez et des preuves que vous détenez : criticité et dépendance, exposition des données, sécurité, conformité, vie privée, continuité, incidents, finances et contrat. Les scores de risque sont calculés, et les contrôles ne comptent que s'ils sont prouvés. L'évaluation repose sur les informations fournies : ce n'est pas un audit indépendant et elle ne vérifie pas les certifications.
Contenu
1. Informations sur l'évaluation
2. Synthèse
3. Périmètre et méthode de l'évaluation
4. Profil du tiers
5. Relation d'affaires et description du service
6. Analyse de la criticité métier et des dépendances
7. Accès à l'information et exposition des données
8. Évaluation de la sécurité de l'information
9. Évaluation réglementaire et de conformité
10. Évaluation de la protection des données et de la vie privée
11. Évaluation de la continuité d'activité et de la reprise après sinistre
12. Évaluation de la gestion des incidents
13. Évaluation des risques financiers et opérationnels
14. Évaluation contractuelle et des SLA
15. Contrôles existants et preuves associées
16. Identification et analyse des risques
17. Évaluation du risque inhérent
18. Évaluation de l'efficacité des contrôles
19. Évaluation du risque résiduel
20. Constats de risque et écarts relevés
21. Recommandations de traitement des risques
22. Plan de traitement du risque tiers
23. Synthèse globale des risques
24. Conclusion et approbation de l'évaluation
25. Calendrier de revue et de réévaluation
26. Historique des versions du document
Ce que vous fournissez
Deliverable — You set its title, author and structure.
Tiers — Qui est évalué.
Service et dépendance — À quel point l'activité en dépend.
Accès aux systèmes et aux données — Ce qu'il peut atteindre.
Sécurité de l'information — Ce qu'il a déclaré ou montré.
Conformité et protection des données — Les certifications sont indiquées telles que fournies.
Continuité et incidents — Ce qui se passe quand les choses tournent mal.
