سياسة إدارة مخاطر الأطراف الثالثة
1. الغرض
وضع متطلبات لتقييم وإدارة ومراقبة مخاطر الأمن السيبراني المرتبطة بمزودي الخدمات من الأطراف الثالثة وشركاء الأعمال لـ [ORGANIZATION].
2. النطاق
تنطبق هذه السياسة على جميع مزودي الخدمات من الأطراف الثالثة والمورّدين والموردين وشركاء الأعمال الذين يصلون إلى بيانات أو أنظمة أو شبكة [ORGANIZATION]، أو الذين يعالجون أو يخزنون أو ينقلون البيانات نيابة عن [ORGANIZATION].
3. السياسة
3.1 جرد الأطراف الثالثة وتصنيفها
يجب على [ORGANIZATION] الحفاظ على جرد لجميع مزودي الخدمات من الأطراف الثالثة الذين يصلون إلى بيانات أو أنظمة [ORGANIZATION]، بما في ذلك: اسم المزود والخدمات المقدمة والبيانات المشتركة/القابلة للوصول وتصنيف المخاطر ومالك العقد وتاريخ آخر تقييم.
يجب تصنيف الأطراف الثالثة بناءً على المخاطر: حرج (وصول إلى بيانات مقيدة أو أنظمة حيوية)، عالي (وصول إلى بيانات سرية أو أنظمة مهمة)، متوسط (وصول إلى بيانات داخلية)، منخفض (لا وصول إلى البيانات، تفاعل محدود مع الأنظمة).
يجب مراجعة وتحديث الجرد على الأقل [CUSTOMIZE: annually/bi-annually].
3.2 تقييم الأطراف الثالثة
يجب أن تخضع جميع الأطراف الثالثة المصنفة كحرجة أو عالية المخاطر لتقييم أمني قبل تنفيذ العقد وعلى الأقل [CUSTOMIZE: annually] بعد ذلك.
يجب أن تقيّم التقييمات: سياسات وممارسات أمن المعلومات وضوابط حماية البيانات والخصوصية وقدرات الاستجابة للحوادث واستمرارية الأعمال والتعافي من الكوارث وشهادات الامتثال (SOC 2 وISO 27001 وغيرها) وممارسات إدارة الثغرات وآليات التحكم في الوصول.
قد تشمل أساليب التقييم: استبيانات أمنية (مثل SIG وCAIQ) ومراجعة تقارير التدقيق (SOC 2 Type II وشهادة ISO 27001) والتقييمات الميدانية أو الافتراضية وخدمات التصنيف الأمني الآلية.
3.3 المتطلبات التعاقدية
يجب أن تتضمن العقود مع الأطراف الثالثة التي تتعامل مع بيانات [ORGANIZATION]: التزامات حماية البيانات والسرية ومتطلبات الأمان والحد الأدنى من الضوابط وحق التدقيق أو طلب أدلة التدقيق ومتطلبات الإخطار بالخرق (خلال [CUSTOMIZE: 24/48/72] ساعة) وإعادة/إتلاف البيانات عند إنهاء العقد والامتثال للأنظمة المعمول بها وأحكام المسؤولية والتعويض.
يجب أن تحدد اتفاقيات مستوى الخدمة (SLA) مقاييس أداء الأمان حيثما كان ذلك قابلاً للتطبيق.
3.4 المراقبة المستمرة
يجب مراقبة الوضع الأمني للأطراف الثالثة بشكل مستمر باستخدام: إعادة التقييم الدوري وفقاً للجدول أعلاه وخدمات التصنيف الأمني الآلية ومراجعة الخروقات أو الحوادث الأمنية المُعلنة علنياً ومراقبة امتثال العقود.
يجب أن تخضع الأطراف الثالثة التي تتعرض لخرق أمني يؤثر على بيانات [ORGANIZATION] لإعادة تقييم فورية ومعالجة تعاقدية محتملة أو إنهاء العقد.
4. الامتثال
الامتثال لهذه السياسة إلزامي لجميع الموظفين ضمن نطاقها. سيتم مراقبة الامتثال من خلال عمليات التدقيق الدورية والضوابط الآلية ومراجعة الإدارة.
يجب توثيق الاستثناءات من هذه السياسة مع مبرر عمل، والحصول على موافقة [CUSTOMIZE: CISO/فريق الأمن]، ومراجعتها سنوياً على الأقل.
5. الإنفاذ
قد تؤدي مخالفات هذه السياسة إلى إجراء تأديبي يصل إلى إنهاء التوظيف أو العقد، وقد تؤدي إلى عقوبات مدنية أو جنائية في حال مخالفة القانون المعمول به.
تحتفظ [ORGANIZATION] بالحق في تدقيق الامتثال لهذه السياسة في أي وقت، بإشعار أو بدونه.
6. المراجعة والتنقيح
تُراجع هذه السياسة سنوياً على الأقل من قبل [CUSTOMIZE: CISO/مالك السياسة] وتُحدث حسب الحاجة لتعكس التغييرات في مشهد التهديدات أو المتطلبات التنظيمية أو الهيكل التنظيمي.
يجب توثيق جميع المراجعات برقم الإصدار والتاريخ والمؤلف ووصف التغييرات.
اعتماد السياسة
اعتمد من قبل
المسمى الوظيفي
التاريخ
التحكم في المستند