เตรียมสรุปตรวจสอบความเสี่ยงผู้ขาย

กระบวนการ

ทำตามลำดับนี้

1. กำหนดผลิตภัณฑ์หรือบริการ การเข้าถึงข้อมูล การพึ่งพาปฏิบัติการ ภูมิศาสตร์ ค่าใช้จ่าย และความทนต่อความเสี่ยง
2. ยืนยันตัวตนทางกฎหมายของผู้ขาย ความเป็นเจ้าของ ที่ตั้งดำเนินงาน ที่มาผลิตภัณฑ์ และระเบียนบริษัทที่เกี่ยวข้องจากแหล่งที่เป็นทางการ
3. ทบทวนวิธีความปลอดภัยสาธารณะ ใบรับรอง ประวัติเหตุ การสนับสนุนวงจรชีวิต ผู้รับเหมาช่วง และการพึ่งพาห่วงโซ่อุปทาน
4. ตรวจแหล่งตัดสิทธิ์ มาตรการคว่ำบาตร ใบอนุญาต หรือคุณสมบัติที่องค์กรเลือก และเก็บหลักฐานที่มีวันที่
5. ยืนยันผลการค้นพบสำคัญข้ามแหล่งอิสระ และแยกข้อเท็จจริงที่ตรวจแล้ว คำกล่าวผู้ขาย สิ่งที่ไม่ทราบ และการกล่าวหา
6. ให้คะแนนผลการค้นพบตามเกณฑ์ความสำคัญและความกังวลที่ผู้ใช้อนุมัติ ไม่ใช่คะแนนที่แต่งขึ้น
7. สร้างบทสรุปพร้อมลิงก์หลักฐาน คำถามที่ยังไม่ตอบ การควบคุมสัญญาที่เสนอ และรายการยกระดับสำหรับจัดซื้อ ความปลอดภัย และที่ปรึกษา

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• ตัวตนผู้ขายและผลิตภัณฑ์
• การใช้ที่ตั้งใจและการเข้าถึงข้อมูล
• เกณฑ์ความเสี่ยงหรือความสำคัญผู้จัดหา
• เขตอำนาจที่เกี่ยวข้องหรือการตรวจที่ต้องมี

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/managing-third-party-vendor-risk/SKILL.md
• skills/cybersecurity-skills/conducting-cyber-risk-assessment-with-nist-800-30/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

บทสรุปครอบคลุมโดเมนความเสี่ยงที่อนุมัติ อ้างหลักฐานที่มีวันที่ ติดป้ายสิ่งที่ไม่ทราบ และบันทึกการตัดสินใจของคนว่าอนุมัติ แก้ สอบสวน หรือปฏิเสธ

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. www.nist.gov/publications/nist-cybersecurity-supply-chain-management-due-diligence-assessment-quick-start-guide
2. www.ftc.gov/business-guidance/resources/start-security-guide-business
3. sam.gov/entity-information

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล