Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
BT hizmet sağlayıcılarınızın, yazılım tedarikçilerinizin, bulut servislerinin ve makine bakım firmalarının erişimlerini ve güvenlik gereksinimlerini ölçülebilir bir risk yönetimi çerçevesine alıyoruz.
Onlarca tedarikçinin VPN hesabı, uzak destek aracı veya bulut entegrasyonu vardır; tam listesi hiçbir yerde yoktur.
Sözleşmelerde olay bildirimi, veri işleme, alt yüklenici ve erişim kurallarına dair hüküm bulunmaz.
Proje tamamlandıktan sonra tedarikçi hesapları ve bağlantıları kapatılmaz.
Tedarikçilerin sunduğu hizmet, eriştiği sistem ve veriler, erişim yöntemi ve iş sahibi.
Erişim düzeyi ve iş kritikliğine göre tedarikçilerin kademelendirilmesi.
Kademeye göre güvenlik anketi, kanıt talebi ve sözleşme güvenlik maddeleri.
Süreli, onaylı ve kayıtlı erişim; dönemsel gözden geçirme ve çıkış süreci.
Kritik sistemlere erişen bir bakım firması ile ofis malzemesi tedarikçisi aynı derinlikte değerlendirilmez. Kademelendirme, değerlendirme yükünü riske göre dağıtır. Teknik erişim kontrolleri PAM ve güvenli uzak erişim ile, OT tedarikçileri endüstriyel güvenlik çalışmasıyla, uyum gereksinimi TISAX ve ISO 27001 ile ilişkilendirilir.
Olay bildirimi süresi, alt yüklenici kullanımı, veri işleme ve iade, erişim kuralları ve denetim hakkı gibi maddeler standart sözleşme ekine dönüştürülür ve satın alma sürecine bağlanır.
Yönetilen BT hizmeti, ERP sağlayıcısı, OT bakım firması
Ayrıntılı anket, kanıt veya sertifika talebi, sözleşme güvenlik eki, yıllık gözden geçirme
Kişisel veri işleyen SaaS, bordro, CRM
Standart anket, veri işleme sözleşmesi, iki yılda bir gözden geçirme
Sınırlı erişimli yazılım destek firması
Kısa anket, erişim kuralları, iş bitiminde erişim kapatma
Sistem veya veri erişimi olmayan tedarikçiler
Envanterde kayıt, temel sözleşme maddeleri
İlk görüşmede hedef sistemleri, erişim yetkilerini, veri hassasiyetini ve iş sürekliliği beklentilerini belirliyoruz. Mevcut durumu kontrol ederek kapsam ve öncelik matrisi çıkarıyor; değişiklikleri kontrol noktaları, test ve geri dönüş planıyla uyguluyor, bulguları kayıt altına alıyoruz. Teslim edilen çıktılar sözleşme kapsamına göre netleştirilir.
Kritik tedarikçiler için anket veya eşdeğer kanıt (ör. güncel sertifika) sözleşme şartına bağlanır. Yanıt alınamayan durumlarda risk kaydına işlenir ve telafi edici kontroller uygulanır.
Evet. Kişisel veya kritik veri işleyen SaaS ve bulut hizmetleri, sundukları güvenlik belgeleri ve sözleşme koşullarıyla birlikte değerlendirilir.
Kademelendirme sayesinde düşük riskli tedarikçiler hızlı geçer; ayrıntılı değerlendirme yalnızca kritik tedarikçilere uygulanır.
Evet. Mevcut tedarikçiler envantere alınır, önce kritik olanlar değerlendirilir ve sözleşme yenilemelerinde yeni şartlar eklenir.
Dış hizmet sağlayıcıların erişimlerini ve bilgi güvenliği gereksinimlerini ölçülebilir risk yönetimi çerçevesine alıyoruz.
Tedarikçiler, erişimler ve iş sahipleri çıkarılır.
Risk kademeleri, anketler ve sözleşme ekleri hazırlanır.
Kritik tedarikçiler değerlendirilir, erişimler daraltılır.
Satın alma ve çıkış süreçlerine bağlanır, gözden geçirme takvimi kurulur.
Mevcut ortamınızı ve hedeflerinizi konuşalım; öncelikli adımları belirleyelim.