Оценка безопасности поставщика.

Оценка безопасности поставщика — это процесс изучения состояния информационной безопасности поставщика, позволяющий решить, приемлемо ли сотрудничество с ним, и определить условия надзора. Обычно она начинается с сортировки присущего риска (чувствительность данных, доступ к системам, критичность для бизнеса), которая задаёт глубину оценки, а затем собирает доказательства с помощью анкет по безопасности (SIG, CAIQ), аудиторских отчётов (SOC 2 Type II, сертификаты ISO/IEC 27001), резюме тестов на проникновение, рейтингов безопасности, а иногда технической или выездной проверки. Выявленные недостатки оцениваются, пробелы отслеживаются до устранения, а результаты ложатся в основу договорных положений, принятия риска или отказа. Оценки повторяются периодически и после значительных изменений, образуя механизм сбора доказательств в более широких программах управления рисками поставщиков и третьих сторон.