Pastikan Kontrak Penyedia Layanan Mencakup Persyaratan Keamanan
Deskripsi
Pastikan kontrak penyedia layanan mencakup persyaratan keamanan, seperti kontrol keamanan minimum, respons insiden dan penanganan data, persyaratan enkripsi data dan hak pembuangan data. Ini termasuk batasan hukum dan regulasi yang harus dipatuhi oleh penyedia layanan saat mengakses data yang dikendalikan.
Daftar Periksa Implementasi
Rekomendasi Alat
Manajemen risiko pihak ketiga dengan penilaian vendor otomatis, pemantauan berkelanjutan, dan penilaian risiko
ServiceNow · Langganan perusahaan
Platform manajemen risiko pihak ketiga dengan otomasi penilaian vendor, pemantauan berkelanjutan, dan pemetaan kepatuhan
OneTrust · Langganan perusahaan
Platform peringkat keamanan yang menyediakan pemantauan berkelanjutan terhadap postur keamanan siber vendor dengan penilaian risiko berbasis data
BitSight · Langganan perusahaan
Platform peringkat keamanan siber dan manajemen risiko pihak ketiga dengan pemantauan berkelanjutan dan otomasi penilaian vendor
SecurityScorecard · Langganan perusahaan
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Pelanggaran Data Penyedia Layanan Tanpa Kewajiban Pemberitahuan Kontraktual
ConfidentialityPenyedia layanan mengalami pelanggaran yang mempengaruhi data perusahaan tetapi menunda pengungkapan selama berbulan-bulan karena tidak ada persyaratan kontraktual yang mewajibkan pemberitahuan pelanggaran tepat waktu, meninggalkan organisasi tidak mampu merespons.
Penyedia Gagal Mengenkripsi Data Akibat Persyaratan Kontraktual yang Tidak Ada
ConfidentialityPenyedia layanan cloud menyimpan data perusahaan tanpa enkripsi karena kontrak tidak mengandung persyaratan keamanan yang mewajibkan enkripsi, dan data kemudian terekspos dalam insiden miskonfigurasi.
Data Sensitif Dipertahankan oleh Penyedia Setelah Berakhirnya Kontrak
ConfidentialityMantan penyedia layanan mempertahankan salinan data perusahaan sensitif tanpa batas waktu karena kontrak asli tidak mencantumkan komitmen pembuangan data, menciptakan risiko paparan yang berkelanjutan.
Kerentanan (Saat Pengamanan Tidak Ada)
Kontrak Penyedia Layanan Tidak Memiliki Persyaratan Keamanan
Tanpa persyaratan keamanan kontraktual, penyedia tidak memiliki kewajiban hukum untuk menerapkan enkripsi, memberitahu perusahaan tentang pelanggaran, memelihara program keamanan minimum, atau membuang data secara aman.
Tidak Ada Dasar Kontraktual untuk Audit Keamanan atau Verifikasi Kepatuhan
Ketiadaan klausul keamanan dalam kontrak berarti organisasi tidak memiliki hak untuk mengaudit, menilai, atau memverifikasi postur keamanan atau kepatuhan penyedia layanan terhadap standar yang diharapkan.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |