Tetapkan dan Pelihara Inventaris Penyedia Layanan
Deskripsi
Tetapkan dan pelihara inventaris penyedia layanan. Inventaris harus mencantumkan semua penyedia layanan yang diketahui, mencakup klasifikasi berdasarkan sensitivitas data dan titik kontak penyedia layanan. Tinjau dan perbarui inventaris setiap tahun, atau ketika terjadi perubahan signifikan pada perusahaan yang dapat memengaruhi Pengamanan ini.
Daftar Periksa Implementasi
Rekomendasi Alat
Manajemen risiko pihak ketiga dengan penilaian vendor otomatis, pemantauan berkelanjutan, dan penilaian risiko
ServiceNow · Langganan perusahaan
Platform manajemen risiko pihak ketiga dengan otomasi penilaian vendor, pemantauan berkelanjutan, dan pemetaan kepatuhan
OneTrust · Langganan perusahaan
Platform peringkat keamanan yang menyediakan pemantauan berkelanjutan terhadap postur keamanan siber vendor dengan penilaian risiko berbasis data
BitSight · Langganan perusahaan
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Kompromi Rantai Pasok melalui Penyedia Layanan yang Tidak Diketahui
ConfidentialityPenyedia layanan dengan akses ke data perusahaan dikompromikan, tetapi organisasi tidak dapat menilai dampak atau merespons secara efektif karena tidak memiliki inventaris penyedia mana yang memiliki akses ke data apa.
Penyedia Layanan TI Bayangan Beroperasi Tanpa Pengawasan
ConfidentialityDepartemen secara independen mengontrak penyedia layanan cloud yang memproses data sensitif, dan tim keamanan tidak menyadari hubungan tersebut karena tidak ada inventaris penyedia layanan terpusat.
Akses Penyedia Layanan Yatim Setelah Kontrak Berakhir
IntegrityMantan penyedia layanan mempertahankan akses aktif ke sistem perusahaan berbulan-bulan setelah kontrak berakhir karena tidak ada inventaris yang melacak hubungan penyedia atau kontak yang ditunjuk yang bertanggung jawab atas manajemen siklus hidup.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Inventaris Penyedia Layanan Terpusat
Tanpa inventaris yang dipelihara dari semua penyedia layanan, organisasi tidak memiliki visibilitas terhadap pihak ketiga mana yang memiliki akses ke data, sistem, atau jaringan perusahaan.
Klasifikasi dan Kontak Penyedia Layanan yang Tidak Terlacak
Ketiadaan klasifikasi penyedia layanan dan kontak yang ditunjuk berarti organisasi tidak dapat dengan cepat menentukan paparan risiko atau mengoordinasikan respons ketika penyedia mengalami insiden keamanan.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |