Yılda bir doldurulan tedarikçi anketi, sözleşme imzalandığı anda eskimeye başlar. Dışarıdan görünen yüzey sürekli ölçülebilir.
Üçüncü taraf risk programlarının çoğu bir soru listesiyle yürür. Cevaplar iyi niyetle doldurulsa bile bir anlık görüntüdür ve doğrulanmaz.
Dışarıdan ölçülebilenler
- Tedarikçinin internete açık yönetim panelleri ve eski sürüm servisleri.
- Çalışanlarına ait sızmış kimlik bilgileri ve bunların kurumsal servislerle eşleşmesi.
- Sertifika ve DNS kayıtlarındaki hijyen: süresi dolmuş sertifika, sahipsiz alt alan adı.
- Sızıntı sitelerinde ve forumlarda adının geçmesi.
Bunu sözleşmeye bağlamak
Ölçüm tek başına bir şey değiştirmez. Sözleşmeye üç madde girerse işe yarar: olay bildirim süresi, dışarıdan tespit edilen bulgulara yanıt süresi ve alt yüklenici bildirim yükümlülüğü.
Kapsam uyarısı
Tedarikçinin tüm altyapısını taramak hem gereksiz hem de hukuken sorunludur. Kapsamı sizinle ilgili varlıklarla sınırlayın: size hizmet veren alan adları, sizin verinizi işleyen sistemler ve o sistemlere erişen hesaplar.
