正文

【实用贴】供应商安全风险评估框架+个人信息委托处理风险评估框架

admin
admin V管理员 /0 评论 /85 阅读
0708
此篇文章发布距今已超过138天，您需要注意文章的内容或图片是否可用！
‍

2024

信息安全风险评估，无论根据《网络安全法》还是《数据安全法》都是基本合规义务。任何公司引入第三方供应商技术服务，都必须根据实际情况执行关于信息安全的供应商风险审查，以确保第三方供应商符合公司自身的安全标准，并且不会对公司的数据和系统构成风险。如果涉及委托个人信息处理，则需要按照《个人信息保护法》展开个人信息保护影响评估。本文提供基本操作指南和框架。
1. 识别和分类供应商
创建所有供应商的列表，并根据他们对公司／组织构成的风险级别对他们进行分类。例如根据供应商处理的数据敏感程度或者系统重要程度分类：
  • 高风险供应商：云服务提供商、数据处理商、支付服务商。
  • 中等风险供应商：营销公司、人力资源服务提供商。
  • 低风险供应商：办公用品供应商，保洁服务。
    ‍
2. 制定供应商风险评估框架
建立评估供应商的标准和框架。这可以包括调查问卷、检查清单和评分系统。
可以包括以下几个层面的问题：
  • 数据敏感性：供应商处理什么类型的数据?
    ‍
  • 合规性：供应商是否符合相关法规或者行业规定?
  • 安全控制：供应商采取了哪些安全措施(例如，加密、访问控制)?
  • 事件响应：供应商如何处理数据泄露?
    ‍
    ‍
    ‍
    ‍
    ‍
3. 进行初步尽职调查
通过问卷调查、访谈和文件审查从供应商那里收集信息。除了上面提到的问题，例如询问供应商：
  • 持有哪些安全认证(例如ISO 27001、SOC 2)?
  • 能提供最近的安全审计报告吗?
  • 对传输和存储的数据使用什么加密方法?
  • 描述处理数据泄露的流程。
    ‍
    ‍
4. 评估安全态势
根据收集到的信息评估供应商的安全状况。主要针对以下方面：
  • 技术安全控制：防火墙、入侵检测系统、数据加密有效性。
  • 管理控制：安全策略、员工培训、访问管理。 
  •  物理安全：数据中心安全、办公安全。
5. 执行现场审核(如有必要)
对于高风险供应商，进行现场审核以验证其安全措施。现场检查示例:
  • 物理访问控制(如：安保系统、保安)。
  • 数据中心安全(如冗余电源、环境控制)。
  •  员工实践(例如遵守安全政策情况)。
6. 审查供应商是否遵守法规
确保供应商符合相关法律法规要求。根据业务行业背景确定所需遵守的法律合规要求，并进行审查。
7. 评估供应商的事件响应能力
审查供应商的事件响应计划和过去的事件处理。可以审查的方面有：
  • 事件响应计划文档。
  • 事件期间的沟通方案。
  •  过去安全事件的历史和应对措施。
8. 制定合同安全要求
在供应商合同中包括特定的安全需求和服务水平协议（SLA）。合同条款可以包括:
  • 数据泄露通知要求。
  • 定期进行安全审计和评估。
  • 数据加密和保护标准。
  •  终止和数据销毁程序。
9. 持续监测和重新评估
持续监控供应商的安全状况，并定期重新评估。
  • 年度安全审计。
  • 持续监控安全控制。
  • 定期审查合同义务的履行情况。
10. 文件及报告调查结果
记录风险评审的结果，并向相关利益相关者报告。最终的文档包括：
  • 风险评估报告。
  • 审核发现和补救计划。
  •  合规检查清单和认证。
通过遵循这些步骤，公司可以系统地评估和管理与供应商相关的信息安全风险，确保供应商与组织的安全标准和法规要求保持一致。

如果涉及委托供应商处理个人信息、向供应商提供个人信息，则需要在安全风险评估的同时，展开个人信息保护影响评估。下面是基本的指南供参考:
1. 识别和分类个人信息
确定正在共享的个人信息类型，并根据敏感性对其进行分类。
  • 高敏感：健康数据、财务信息、社会安全号码。
  • 中等敏感：电子邮件地址、电话号码、招聘信息。
  •  低敏感：:公开信息，基本联系方式。
2.了解数据流和处理活动
了解供应商如何收集、传输、处理、存储和删除个人信息。以下为示例：
  • 收集：通过网络表格收集个人信息。
  • 传输：通过安全FTP传输到供应商的数据。
  • 处理：供应商将数据用于客户支持。
  • 存储：数据存储在公有云环境。
  • 删除：服务终止后删除的数据流程。
3. 评估供应商安全措施
评估供应商的安全控制，以确保他们充分保护个人信息。如果有相关特定行业法律规定，则需要额外审查。例如，生物识别信息或者智能网联汽车信息有更多特定的安全措施要求。
4. 审查服务合同义务和个人信息处理协议
确保服务合同和个人信息协议包含特定的信息保护要求要求。尤其是《个信息保护法》对供应商作为受托人应尽数据合规义务的约定。例如以下约定：
  • 个人信息处理协议：概述供应商在个人信息处理方面的义务。
  • 个人信息泄露通知：供应商必须在发生信息泄露的限定时间内进行通知。
  • 转委托处理约定：供应商在委托其他供应商处理个人信息之前必须获得批准。
5. 进行个人信息影响保护评估
执行个人信息影响保护评估以评估与供应商共享个人信息相关的风险和应采取的降险措施。具体可以参考《信息安全技术 个人信息安全影响评估指南》。
6. 进行风险分析和评分
分析并评分与供应商共享个人信息相关的风险。风险评分示例:
  • 发生可能性：低、中、高。
  • 风险影响：低、中、高。
  • 总体风险：可能性和影响评分的组合。
7. 实施风险缓解策略
制定和实施策略以减轻已识别的风险。可以实施的风险降解措施有：
  • 技术控制：使用去标示化／加密技术处理个人信息，多因素认证和安全的数据传输方法。
  • 合同控制：在合同中包括详细的个人信息保护条款。
  • 运营控制：定期审计、合规性检查和监控。
8. 文件及报告调查结果
记录风险评估结果并向相关利益相关者报告。示例文档:
  • 数据流程图。
  • 个人信息影响保护评估报告。
  • 缓解计划和实施状况。
以上两个风险评估过程可以根据实际业务情况结合进行。
信息安全风险控制主要侧重于保证保密性、完整性和可用性，防止漏洞或泄漏事故导致未经授权访问数据。为了实现这一目标，供应商应该使用工具和技术，如防火墙、用户身份验证、网络访问限制和内部安全措施来阻止此类访问。
个人信息保护风险评估是确保供应商合规地收集、存储、传输和处理个人信息，供应商负责任的处理个人信息，需要确保信息安全措施到位。从这一点来说信息安全是保证个人信息安全的重要组成部分。合规风险控制流程也密不可分。
— THE END —
--------------------------------------------------------
    ‍


推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
ZhouSa.com-宙飒天下网