تصنيف مزودي الخدمات
الوصف
تصنيف مزودي الخدمات. يجب أن يراعي التصنيف حساسية البيانات التي يعالجونها أو يخزنونها ودرجة حرجيتهم للمؤسسة. استخدم هذا التصنيف لتحديد مستوى التقييم والمراقبة المطلوب. يجب إجراء التصنيف سنويًا أو بشكل أكثر تكرارًا عند حدوث تغييرات مؤسسية قد تؤثر على هذا الضمان.
قائمة التحقق من التطبيق
توصيات الأدوات
إدارة مخاطر الأطراف الثالثة مع تقييمات آلية للموردين والمراقبة المستمرة وتسجيل المخاطر
ServiceNow · اشتراك مؤسسي
منصة إدارة مخاطر الأطراف الثالثة مع أتمتة تقييم الموردين والمراقبة المستمرة وربط الامتثال
OneTrust · اشتراك مؤسسي
منصة تصنيفات أمنية توفر مراقبة مستمرة لوضع الأمن السيبراني للموردين مع تسجيل المخاطر القائم على البيانات
BitSight · اشتراك مؤسسي
التهديدات والثغرات (CIS RAM)
سيناريوهات التهديد
ثقة غير متناسبة ممنوحة لمزود خدمة عالي المخاطر
السريةيُعامل مزود خدمة يعالج أحجاماً كبيرة من البيانات المنظمة الحساسة بنفس الحد الأدنى من الإشراف كمورد لوازم مكتبية منخفض المخاطر لأنه لا يوجد نظام تصنيف يميز مستويات مخاطر المزودين.
عدم امتثال تنظيمي من تعامل مزود غير مصنف مع بيانات منظمة
السلامةتفشل مؤسسة في تدقيق تنظيمي لأنها لا تستطيع إثبات إشراف مناسب للمخاطر على مزودي الخدمة الذين يتعاملون مع بيانات صحية أو مالية محمية، حيث لا يوجد مخطط تصنيف.
الثغرات (عند غياب الإجراء الوقائي)
عدم وجود تصنيف قائم على المخاطر لمزودي الخدمة
بدون تصنيف المزودين حسب حساسية البيانات والحجم ومتطلبات التوفر والتعرض التنظيمي، تطبق المؤسسة ضوابط موحدة وغالباً غير كافية بغض النظر عن المخاطر الفعلية.
عدم القدرة على تحديد أولويات جهود إدارة مخاطر الموردين
يمنع غياب التصنيف المؤسسة من تركيز موارد الإشراف الأمني على مزودي الخدمة الأعلى مخاطر، مما يؤدي إلى اهتمام غير كافٍ بعلاقات الموردين الحرجة.
متطلبات الأدلة
| النوع | عنصر الدليل | تكرار الجمع |
|---|---|---|
| وثيقة | وثيقة السياسة الحاكمة (حالية، معتمدة، مُبلغة) | يُراجع سنوياً |