ประเมินความเสี่ยงไซเบอร์ของผู้ขายเทคโนโลยี

กระบวนการ

ทำตามลำดับนี้

1. จัดชั้นงานตามความอ่อนไหวของข้อมูล การเข้าถึง การเชื่อมต่อ ความสำคัญของบริการ การทดแทนได้ ความกระจุก และภาระปลายน้ำ
2. กำหนดความลึกของการตรวจสอบ และขอหลักฐานที่สมสัดส่วน เช่น สถาปัตยกรรม การประเมินอิสระ ประวัติเหตุ วิธีจัดการช่องโหว่ การควบคุมเข้าถึง การทดสอบความทนทาน ความสามารถ SBOM และข้อมูลผู้ประมวลผลย่อย
3. ตรวจข้อความผลกระทบสูงกับหลักฐานปัจจุบัน ชี้แจงขอบเขตและข้อยกเว้น และอย่าถือแบบสอบถามหรือใบรับรองเป็นการรับประกันครบ
4. ประเมินความเสี่ยงโดยกำเนิด ประสิทธิผลของการควบคุม ความเสี่ยงคงเหลือ และสถานการณ์ล้มเหลวที่น่าเชื่อ รวมการถูกเจาะ หยุดบริการ ใช้ข้อมูลผิด และพึ่งผู้จัดหา
5. บันทึกช่องว่างพร้อมพันธะแก้ไข เจ้าของ วันที่ หลักฐานตรวจยืนยัน และการควบคุมชดเชย
6. กำหนดข้อสัญญาด้านความปลอดภัย การแจ้งเหตุ สิทธิตรวจ การจัดการข้อมูล การเปิดเผยช่องโหว่ ผู้รับเหมาช่วง ความต่อเนื่อง และการยุติอย่างปลอดภัย โดยมีกฎหมายตรวจ
7. รับการยอมรับความเสี่ยงจากผู้รับผิดชอบก่อนเริ่มใช้ และกำหนดการเฝ้าติดตามกับการประเมินซ้ำตามชั้นและความเปลี่ยนแปลงสำคัญ

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• คำอธิบายผู้ขายและบริการ
• กระแสข้อมูลและแบบจำลองการเข้าถึง
• ความสำคัญทางธุรกิจและเกณฑ์ความเสี่ยง
• หลักฐานผู้ขายและสัญญาที่เสนอ

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/managing-third-party-vendor-risk/SKILL.md
• skills/cybersecurity-skills/conducting-cyber-risk-assessment-with-nist-800-30/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

ผู้ขายมีชั้นความเสี่ยงและการตัดสินใจความเสี่ยงคงเหลือที่บันทึกแล้ว ช่องว่างสำคัญมีมาตรการในสัญญาหรือการแก้ไข และมีเจ้าของเฝ้าติดตามกับการประเมินซ้ำ

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. csrc.nist.gov/pubs/sp/800/161/r1/upd1/final
2. www.nist.gov/cyberframework

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล