Pantau Cakupan dan Efektivitas Penyedia Layanan Secara Aman
Deskripsi
Pantau cakupan dan efektivitas penyedia layanan secara aman. Contoh implementasi termasuk memantau pemindaian akun, laporan audit, tinjauan kontrak, dan pengendalian layanan penyedia.
Daftar Periksa Implementasi
Rekomendasi Alat
Manajemen risiko pihak ketiga dengan penilaian vendor otomatis, pemantauan berkelanjutan, dan penilaian risiko
ServiceNow · Langganan perusahaan
Platform manajemen risiko pihak ketiga dengan otomasi penilaian vendor, pemantauan berkelanjutan, dan pemetaan kepatuhan
OneTrust · Langganan perusahaan
Platform peringkat keamanan yang menyediakan pemantauan berkelanjutan terhadap postur keamanan siber vendor dengan penilaian risiko berbasis data
BitSight · Langganan perusahaan
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Pelanggaran Penyedia Terdeteksi Berbulan-bulan Setelah Kejadian
ConfidentialityPenyedia layanan yang dipantau mengalami pelanggaran yang tidak ditemukan selama berbulan-bulan karena organisasi tidak memiliki program pemantauan berkelanjutan untuk melacak perubahan postur keamanan penyedia atau paparan dark web.
Kerentanan Kritis Penyedia Dibiarkan Tidak Ditambal Tanpa Pengetahuan Perusahaan
IntegrityPenyedia layanan utama menunda penambalan kerentanan kritis di platform mereka, dan organisasi tidak menyadari karena tidak memantau catatan rilis atau advisory keamanan penyedia.
Kredensial Perusahaan Ditemukan di Dark Web Terkait Pelanggaran Penyedia
ConfidentialityKredensial pengguna perusahaan muncul di pasar dark web setelah kompromi penyedia, tetapi organisasi tidak memiliki kemampuan pemantauan untuk mendeteksi paparan ini dan memicu rotasi kredensial.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Pemantauan Berkelanjutan terhadap Keamanan Penyedia Layanan
Tanpa pemantauan berkelanjutan, organisasi tidak dapat mendeteksi perubahan dalam postur keamanan penyedia, status kepatuhan, atau paparan terhadap pelanggaran di antara penilaian berkala.
Tidak Ada Pemantauan Dark Web atau Intelijen Ancaman untuk Paparan Penyedia
Ketiadaan pemantauan dark web berarti organisasi tidak dapat mendeteksi ketika kredensial, data, atau akses terkait penyedia diperdagangkan atau dieksploitasi oleh aktor ancaman.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Teknis | Dasbor SIEM yang menunjukkan sumber log dan status pengumpulan | Diambil setiap bulan |
| Catatan | Catatan peninjauan log dan temuan | Setiap siklus peninjauan |
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |