Tedarikçi riski nasıl ölçülür? 5 adımlı pratik yöntem
En güçlü savunma bile en zayıf tedarikçiden aşılabilir. Tedarikçi riskini tablolardan çıkarıp ölçülebilir hale getirmenin yolu.
Yayın: · 2 dk okuma · HilfeX Güvenlik Ekibi
- Önce tüm tedarikçilerin envanterini çıkarın, sonra kritikliğe göre sınıflandırın.
- Değerlendirmeyi kritikliğe göre derinleştirin: her tedarikçiye aynı uzun anket gönderilmez.
- Risk skoru tek seferlik değil, yılda en az bir kez ve olaylardan sonra güncellenmelidir.
Bulut yazılımları, bakım firmaları, yazılım geliştirme ortakları ve lojistik sağlayıcıları sistemlerinize ve verilerinize erişir. Son yıllarda büyük etkili birçok saldırı, hedef kuruma doğrudan değil, onun tedarikçisi üzerinden gerçekleşti. ISO 27001 tedarikçi ilişkilerinde bilgi güvenliğini, NIS2 ise tedarik zinciri güvenliğini açıkça risk yönetimi önlemleri arasında sayar.
1. Envanter: Kim, neye erişiyor?
Tüm tedarikçileri tek listede toplayın: verdiği hizmet, erişebildiği sistemler, işlediği veri türleri (özellikle kişisel veri) ve uzaktan erişimi olup olmadığı. Satın alma ve BT kayıtları çoğu zaman farklı listeler tutar; ikisini birleştirin.
2. Kritikliğe göre sınıflandırın
Her tedarikçiyi örneğin yüksek, orta ve düşük olarak sınıflandırın. Ölçütler: iş sürekliliğine etkisi, erişim düzeyi, işlenen verinin hassasiyeti ve yerine konabilirlik. Operasyonel teknoloji (OT) sistemlerine uzaktan erişen bakım firmaları genellikle yüksek kritiklikte yer alır.
3. Değerlendirme: anket ve kanıt
- Yüksek kritiklik: kapsamlı anket, kanıt dosyaları (ör. sertifikalar, politika örnekleri, sızma testi özeti) ve gerekirse görüşme.
- Orta kritiklik: kısa anket ve temel kanıtlar.
- Düşük kritiklik: temel beyan.
Soruları ISO 27001 ek A ve NIS2 gereksinimleri gibi tanınmış çerçevelere dayandırmak, yanıtları karşılaştırılabilir kılar.
4. Risk skoru ve sözleşme
Yanıtları kontrol alanlarına göre puanlayın ve kritiklikle birleştirerek bir risk skoru oluşturun. Yüksek riskli bulgular için tedarikçiden iyileştirme planı isteyin. Sözleşmelere bilgi güvenliği, olay bildirimi, denetim hakkı ve alt tedarikçi kullanımı maddelerini ekleyin.
5. Sürekli izleme
Değerlendirmeyi yılda en az bir kez ve tedarikçide önemli bir değişiklik veya güvenlik olayı olduğunda yenileyin. Sözleşme bitiminde erişimlerin kapatıldığını doğrulayın.
HilfeX IQ Portal’ın tedarikçi risk skoru modülü anket gönderimini, hatırlatmaları, kanıt toplamayı ve raporlamayı tek panelde otomatikleştirir.
Sık sorulan sorular
Her tedarikçiye aynı anket gönderilmeli mi?
Hayır. Değerlendirmenin derinliği tedarikçinin kritikliğine göre ayarlanmalıdır; aksi halde hem siz hem tedarikçiler gereksiz yük altında kalır.
ISO 27001 sertifikası olan tedarikçiyi değerlendirmeye gerek var mı?
Sertifika güçlü bir göstergedir, ancak kapsamının sizin aldığınız hizmeti kapsayıp kapsamadığını ve geçerlilik süresini kontrol etmek gerekir.
Tedarikçi değerlendirmesi ne sıklıkla yenilenmeli?
Genellikle yılda en az bir kez ve önemli değişiklikler veya güvenlik olaylarından sonra.
