די פארבאָרגענע שוואַכע לינק: MSP צושטעל קייטן אונטער ISO 27001 קאָנטראָל
MSPs ווערן איצט געמשפט אזויפיל אויף זייערע אויבערשטע סאַפּלייערז ווי אויף זייערע אייגענע קאָנטראָלן. ISO 27001 באַהאַנדלט קריטישע מכשירים און פּאַרטנערס ווי אַ טייל פון דיין אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם (ISMS), אין איינקלאַנג מיט דעם וועג ווי די ISO/IEC 27001:2022 סטאַנדאַרט ראַמען באַטייַטיק פונדרויסנדיק פּאַרטיעס און באַדינונגען ווי פאלן אין די סיסטעם ס פאַרנעם, אַזוי שוואַכקייטן אין קאַנטראַקץ, השגחה אָדער באַווייַזן ווערן געשווינד ניט-קאָנפאָרמאַטיז. א קלאָרע מיינונג פון וועמען איר פאַרלאָזט זיך אויף, וואָס זיי קענען צוטריט און ווי זיי זענען גאַווערנד טורנס סאַפּליי קייט ריזיקירן פון אַ בלינד פלעק אין עפּעס איר קענען קאָנטראָלירן.
ווייל איר זיצט צווישן פילע אַפּסטרים סערוויסעס און דאַזאַנז פון דאַונסטרים קאַסטאַמערז, קען יעדע סאַפּלייער באַשלוס זיך פֿאַרמערן איבער יעדן קליענט וואָס איר שטיצט. דאָס פֿאַרוואַנדלט אַן איינציקע שוואַכקייט אין אַ ברייט פֿאַרשפּרייט געשעפֿט און זיכערהייט פּראָבלעם וואָס ISO 27001 ערוואַרטעט פֿון אײַך צו פֿאַרוואַלטן אויף אַ סטרוקטורירטן אופֿן.
די 2025 ISMS.online אנקעטע האט געפונען אז רוב ארגאניזאציעס זענען שוין געווען באטראפן דורך לפחות איין דריט-פארטיי אדער פארקויפער-פארבונדענע זיכערהייט אינצידענט אין די לעצטע יאר.
רובֿ MSP'ס וואַקסן דורך לייגן נייע מכשירים און פּאַרטנערס אויף אַן עקזיסטירנדיקן סטעק. מיט דער צייט שאַפט דאָס שטילערהייט אַ דיקע נעץ פון אָפּהענגיקייטן. איר קענט האָבן הויפּט סאַפּלייערז פֿאַר וואָלקן האָסטינג, אימעיל, קאָלאַבאָראַציע, באַקאַפּ, ווייַט פאַרוואַלטונג, אידענטיטעט, זיכערהייט מאָניטאָרינג און טעלעקאָם, פּלוס ווייסע-לייבל פּאַרטנערס און פרילאַנס ספּעציאַליסטן. יעדער איינער פון די ענטיטיז קען אָנרירן קליענט דאַטן, ווירקן אויף פאַראַנען אָדער השפּעה ווי אינצידענטן שפּילן זיך אָפּ.
ווייל איר זיצט צווישן די סאַפּלייערז און אייערע קאַסטאַמערז, ירשענט איר ביידע געשעפט און זיכערהייט ריזיקע. אויספאַלן ביי אַ האָסטינג פּראַוויידער ווערן בריטשיז פון סערוויס לעוועל קאַמיטמאַנץ צו אייערע קלייאַנץ. א וואַלנעראַביליטי אין אַן אַפּסטרים RMM אָדער PSA געצייַג קען ווערן אַ וועג אין דאַזאַנז פון קונה ינווייראַנמאַנץ. א וואָלקן דאַטן פּראַסעסינג העסקעם (DPA) מיט אַ SaaS פאַרקויפער קען אַנדערמיין די פּריוואַטקייט אַבלאַגיישאַנז פון אייערע קלייאַנץ.
אייער צושטעל קייט איז נאָר אַזוי שטאַרק ווי איר מינדסטער קענטיק לינק.
אויב איר האָט נישט באַוואוסטזיניק קאַרטירט די באַציִונגען, איז גרינג צו אונטערשאַצן ווי פיל פון אייער ריזיקאָ־פלאַך איז טאַקע עקסטערנאַל. ISO 27001:2022 מאַכט דאָס קלאָר דורך פאָדערן אַז איר זאָלט ידענטיפיצירן און פאַרוואַלטן ריזיקאָס וואָס שטאַמען פון סאַפּלייערז און די ברייטערע ICT סאַפּליי קייט. פּראַקטישנער דערקלערונגען פון אַנעקס A.5.19–A.5.22, אַזאַ ווי אומאָפּהענגיקע 27001 קאָנטראָל גיידס, אונטערשטרייַכן אַז סאַפּלייער־פאַרוואַלטונג ווערט איצט באַהאַנדלט ווי אַ קערן־טייל פון די ISMS אַנשטאָט אַן אָפּציאָנעלער צוגאב. דאָס מיינט אַז איר דאַרפט וויסן ווער סאַפּלייערז זענען, וואָס זיי טוען פֿאַר אײַך, וואָס זיי קענען צוטריטן און ווי זיי ווערן קאָנטראָלירט.
פארוואס סאַפּלייער ריזיקירן שלאָגט MSPs האַרדער
סאַפּלייער ריזיקע שלאָגט MSPs שווערער ווייל אַן איינציקער אַפּסטרים דורכפאַל קען קאַסקאַדירן דורך פילע קונה סביבות אין דער זעלביקער צייט. ווען אַ קערן געצייַג אָדער סערוויס פיילז, מאַכן אייערע קליענטן זעלטן אונטערשיידן צווישן אייער סאַפּלייער און אייער אייגענע סערוויס, און רעגולאַטאָרן און אָדיטאָרס נעמען מער און מער די זעלבע מיינונג.
אייער סופּליי קייט איז איצט טייל פון אייער סערוויס, און ISO 27001 באהאנדלט עס אזוי, צי איר אנערקענט עס אדער נישט. ווען וואָלקן פּלאַטפאָרמעס, RMM מכשירים אדער NOC/SOC פּאַרטנערס פאַרלאָזן, דערפאַרן אייערע קליענטן עס ווי אייער דורכפאַל, און אָדיטאָרס זען מער און מער שוואַך סאַפּלייער אויפזיכט ווי אַ הויפּט ריס אין אַ MSP'ס ISMS.
דאָס איז פאַרוואָס סאַפּלייער גאַווערנאַנס איז ניט מער עפּעס וואָס מען דאַרף האָבן. אויב איר קענט ניט דערקלערן ווי איר אויסקלייבט, אָפּשאַצט און מאָניטאָרירט די סאַפּלייערז וואָס שטיצן אייערע סערוויסעס, ווערט עס שווער צו רעכטפארטיקן ריזיקע באַשלוסן צו קאַסטאַמערז, אָדיטאָרס אָדער אייער אייגענע פירערשאַפט.
ערשטער דורכגאַנג: זען די עכטע צושטעל קייט
א ערשטע דורכגאנג ביי סופּליי טשיין וויזאַביליטי זאָל אייך געבן א פולשטענדיקע, רעאַליסטישע רשימה פון יעדן סערוויס און שותף וואָס אַפעקטירט קונה רעזולטאַטן. ווען איר קוקט ווייטער פון קלאָרע בראַנד נעמען און שפּורט פאַקטישע נוצן, אינצידענטן און הוצאות, אַנטדעקט איר שנעל באַהאַלטענע מכשירים, אינפאָרמעלע קאָנטראַקטאָרן און שאָטן SaaS וואָס געהערן אויך אין די פאַרנעם פון ISO 27001.
א פּראַקטישער ערשטער שריט איז צו שאַפֿן אַ פּשוט אָבער ערלעך בילד פֿון אייער סאַפּלייער לאַנדשאַפֿט.
הייבט אן מיט אויסרעכענען יעדן סיסטעם און סערוויס אויף וואס אייער מאַנשאַפֿט איז אָפענגיק צו צושטעלן רעזולטאַטן פֿאַר קליענטן. קוקט ווייטער ווי הויפּט בראַנדז און נעמט אַרײַן:
- וואָלקן האָסטינג און פּלאַטפאָרמע פּראַוויידערז
- SaaS מכשירים גענוצט אין טעגלעכע אפעראציעס (PSA, RMM, טיקעטינג, דאקומענטאציע, מאניטארינג, רעכענונגען)
- זיכערהייט פּראָדוקטן און סערוויסעס (AV/EDR, MDR, SOC, SIEM, אימעיל פֿילטערינג, וועב פֿילטערינג, אידענטיטעט)
- קאָנעקטיוויטי און טעלעפאָניע סאַפּלייערז
- ספּעציאַליסטישע סובקאָנטראַקטאָרן, ווייסע-לייבל פּאַרטנערס און איין-מאָל מכשירים געניצט פֿאַר באַזונדערע קאַסטאַמערז
דערנאך, קוקט איבער די לעצטע יאר אדער צוויי פון גרויסע אינצידענטן און כראנישע פראבלעמען. וואו האט אן אויספאל פון סופלייערס, א לאנגזאמע רעאקציע אדער אומקלארע אחריות בייגעטראגן צו קליענט ווייטאג אדער אינערליכע איבערארבעט? כאפט איין די ביישפילן. זיי וועלן פארמען די פראגעס וואס איר פרעגט אין דיו דילידזשענס.
איר ווילט דעמאָלט אַרויסוואַרפן שאָטן סאַפּלייערז: מכשירים געקויפט אויף קרעדיט קאַרדס, קאָנטראַקטאָרס געניצט אינפאָרמעל, פריי SaaS שטאַפּלען געניצט פֿאַר מאָניטאָרינג אָדער באריכטן. קראָס-טשעקינג פינאַנצן רעקאָרדס, אַסעט ינווענטאַרז און טיקעט הערות איז אָפט אַנטפּלעקנדיק. אַלץ וואָס רירט קליענט דאַטן, אַפעקטירט סערוויס עקספּרעס אָדער איז פאַרלאָזט אויף אין אַן אינצידענט געהערט אין די פאַרנעם.
צום סוף, באַטראַכט אַ גלייבלעכע ערגסטע פאַל: אַ גרויסער וואָלקן, באַקאַפּ אָדער RMM פּראַוויידער פאַלט אויס, ווערט קאָמפּראָמיטירט אָדער ענדערט באַדינגונגען אויף אַ וועג וואָס שאַטן אײַך. אויב איר קענט נישט שנעל באַשרײַבן די געשעפטלעכע ווירקונג, די אַפעקטירטע קאַסטאַמערז און גלייבלעכע אָפּציעס, איז אײַער סאַפּליי טשיין ריזיקע אונטער-אַנאַליזירט. די דערקענונג איז אַ שטאַרקער מאָטיוואַטאָר צו שטעלן אַ סטרוקטורירטע, ISO-אַליינד סאַפּלייער דיו דילידזשענס טשעקליסט אין פּלאַץ.
ספר אַ דעמאָוואָס ISO 27001:2022 טאַקע ערוואַרטעט פֿון אייערע סאַפּלייערס
ISO 27001:2022 ערוואַרטעט פון אייך צו פירן באַציִונגען מיט סאַפּלייער אויף אַ סטרוקטורירטן, ריזיקאָ-באַזירטן וועג, אַנשטאָט זיך צו פֿאַרלאָזן אויף בראַנד רעפּוטאַציע אָדער אינפאָרמעלע געוווינהייטן. אָדיטאָרס ווילן זען אַז איר דעפינירט זיכערהייט ערוואַרטונגען פֿאַר סאַפּלייערז, זיי אַריינלייגן אין אָפּמאַכן, פֿאַרשטיין די ברייטערע אינפֿאָרמאַציע און קאָמוניקאַציע טעכנאָלאָגיע (ICT) צושטעל קייט און האַלטן די זיכערהייט אַרויף-צו-דאַטע. פּראַקטישנער ינטערפּריטיישאַנז פון קאָנטראָלס A.5.19–A.5.22, אַזאַ ווי דעטאַלירטע קאָנטראָל דערקלערונגען פֿאַר באַציִונגען מיט סאַפּלייער, פֿאַרשטאַרקן דעם פֿאָקוס אויף פּלאַנירטער, ריזיקאָ-געטריבענער סאַפּלייער גאַווערנאַנס, אַנשטאָט אַד-האָק צוטרוי. איבערזעצן אַנעקס A קאָנטראָלס אין קלאָרע פֿראַגעס און פּראָצעדורן מאַכט די ערוואַרטונגען פּראַקטיש פֿאַר אַן MSP.
אין דער 2025 ISMS.online שטאַט פון אינפֿאָרמאַציע זיכערהייט אַנקעטע, האָבן בערך 41% פון אָרגאַניזאַציעס דערמאָנט דעם פאַרוואַלטן פון דריט-פּאַרטיי ריזיקעס און טראַקינג סאַפּלייער קאָנפאָרמאַנס ווי אַ הויפּט אינפֿאָרמאַציע-זיכערהייט אַרויסרופן.
אין דער זעלבער צייט, ISO 27001:2022 ערוואַרטעט נישט קיין פּערפעקציע פֿון אייערע סאַפּלייערס. עס ערוואַרטעט פֿון אייך צו וויסן וועלכע סאַפּלייערס זענען וויכטיק, זיין קלאָר וועגן וואָס איר דאַרפֿט פֿון זיי און ווייַזן אַז איר איבערקוקט די באַציִונגען אויף אַ פּלאַנירטן, איבערחזרנדיקן וועג. די סטאַנדאַרט'ס סאַפּלייער-פֿאַרבונדענע קאָנטראָלן געפֿינען זיך אין אַ ברייטערן ריזיקאָ-פֿאַרוואַלטונג ראַם וואָס זאָל שוין פֿירן אייער ISMS.
איבערמאַכן אַנעקס A.5.19–A.5.22 אין MSP שפּראַך
איר קענט פארוואנדלען אנאקס A.5.19–A.5.22 אין פראקטישע MSP פראגעס דורך פרעגן ווער אייערע סאַפּלייערס זענען, וואָס איר ערוואַרטעט פון זיי, ווי איר באַקומט זיכערהייט און ווי איר האַלט דאָס בילד אַקטועל. ווען איר קענט ענטפֿערן די פראגעס קאָנסיסטענט, זענט איר פיל נענטער צו אַן ISO-אויסגעריכטן סאַפּלייער גאַווערנאַנס געשיכטע וואָס ביידע אָדיטאָרס און קאַסטאַמערז פֿאַרשטיין.
אונטער ISO 27001:2022, פיר אַנעקס A אָרגאַניזאַציאָנעלע קאָנטראָלן זענען צענטראל צו סאַפּלייער באַציִונגען, און קאָנטראָל איבערבליקן ווי למשל געוויינטלעכע ISO/IEC 27001:2022 מאַפּינגס הויכפּונקטן טיפּיש A.5.19 ביז A.5.22 ווי די שליסל סאַפּלייער-פֿאַרבונדענע סעט:
- אינפֿאָרמאַציע זיכערהייט אין סאַפּלייער באַציִונגען: – דעפינירן וואָס איר ערוואַרט פֿון סאַפּלייערס און ווי איר אויסקלייבט זיי
- אינפֿאָרמאַציע זיכערהייט אין סאַפּלייער אַגרימאַנץ: – זיכער מאַכן אַז קאָנטראַקטן און דאַטן-פאַרוואַלטונגס-אָפּמאַכן שפּיגלען אָפּ די ערוואַרטונגען
- פאַרוואַלטן אינפֿאָרמאַציע זיכערהייט אין די אינפֿאָרמאַציע טעכנאָלאָגיע צושטעלן קייט: – קוקן ווייטער פון דירעקטע סאַפּלייערז צו אַפּסטרים פּראַוויידערז
- מאָניטאָרינג, איבערבליק און ענדערונג פאַרוואַלטונג פון סאַפּלייער באַדינונגען: – קאָנטראָלירן צי די סאַפּלייערז בלייבן פּאַסיק איבער צייט
פֿאַר אַן MSP, איבערזעצט זיך דאָס אין פֿיר פּראַקטישע פֿראַגעס:
-
פאַרנעם: וועלכע סאַפּלייערז זענען באַטייַטיק צו דיין ISMS, און פארוואס?
דאָס נעמט טיפּיש אַרײַן יעדן סאַפּלייער וואָס קען אַפֿעקטירן די קאָנפֿידענציאַליטעט, אָרנטלעכקייט אָדער פֿאַרפֿיגבאַרקייט פֿון אײַערע באַדינונגען אָדער אײַערע קליענטן'ס אינפֿאָרמאַציע. -
באדערפענישן: וואָס דאַרפֿסטו אַז די סאַפּלייערס זאָלן טאָן, אָדער נישט טאָן, פֿאַר זיכערהייט און פּריוואַטקייט?
טראַכט וועגן צוטריט קאָנטראָל, ענקריפּשאַן, לאָגינג, אינצידענט באַריכטן, דאַטן האַנדלינג, סובקאָנטראַקטינג און געשעפט קאָנטינויִטעט. -
פארזיכערונג: ווי וועט איר באַקומען בטחון אַז זיי טוען עס טאַקע?
דאָס קען אַרייַננעמען דיו דילידזשענס פֿראַגעבאָגן, אומאָפּהענגיקע סערטיפֿיקאַטן, קאָנטראַקטואַלע פֿאַרפֿליכטונגען און אָנגייענדיקע איבערבליקן. -
לעבנס דורכגאנג: ווי וועט איר האַלטן די ערוואַרטונגען און פארזיכערונג פון די סאַפּלייער אַרויף-צו-דאַטע ווען סערוויסעס, טרעץ און רעגולאַציעס טוישן זיך?
דאָס פארלאנגט דעפינירטע אָפּשאַצונג ציקלען, טריגערס פֿאַר ווידער-אַסעסמענט און קלאָרע אָונערשיפּ.
קלארשטעלן די פונקטן אין א פשוטער שפראך איז א נוצלעכע אינערליכע געניטונג איידער איר טראכט וועגן ספעציפישע טשעקליסט פראגעס. דאס העלפט אייך אויסמיידן צוויי געוויינלעכע טעותים: באהאנדלען יעדן קליינעם סאַפּלייער ווי קריטיש, אדער אננעמען אז א באקאנטער בראַנד נאמען איז אויטאמאטיש נידריג ריזיקע.
אויסמיידן בלינדע פלעקן פון דער פאַרנעם, קאָנטראַקט און פארזיכערונג
איר פֿאַרמייַדט בלינדע פֿלעקן פֿון פֿאַרנעם, קאָנטראַקט און פֿאַרזיכערונג דורך פֿאַרגלייַכן וואָס ISO 27001 ערוואַרטעט מיט וואָס איר טוט טאַקע און פֿאַרמאַכן גאַפּס אויף אַ באַוואוסטזיניקן אופֿן. ווען איר זעט סאַפּלייערס אָן באַדייַטנדיקע זיכערהייט קלאָזולעס, אומקלאָרע דאַטן לאָקאַציעס אָדער אַלטע סערטיפֿיקאַטן, ווייסט איר פּונקט וווּ צו פֿאָקוסירן פֿאַרבעסערונגען און ווי זיי צו דערקלערן אין אייער ISMS.
אַמאָל איר ווייסט וואָס דער סטאַנדאַרט טאַקע בעט, ווערן גאַפּן גרינגער צו דערקענען.
איר קענט טרעפן אז היסטארישע קאנטראקטן האבן נישט קיין באדייטנדע זיכערהייט קלאוזלען. עס קען זיין קיין התחייבות וועגן אינצידענט מעלדונג צייטן, קיין קלארקייט וועגן וואו דאטן ווערט געהאלטן אדער קיין רעכט צו זען רעלאוואנטע אוידיט באריכטן. עס קענען זיין סאַפּלייערס וועמענס סערטיפיקאטן קוקן אימפּרעסיוו אבער וועמענס דיספעקטיווע דעקונגען דעקן נאר א שמאלן טייל פון וואס איר נוצט טאקע.
איר קענט אויך זען צעמישעניש איבער טערמינאָלאָגיע. עטלעכע טימז באַהאַנדלען יעדע עקסטערנע אָרגאַניזאַציע ווי אַ "סאַפּלייער", אַנדערע נוצן "פּאַרטנער" אָדער "פאַרקויפער", און ווייניק זענען קלאָר ווער איז אַן "אינטערעסירטע פּאַרטיי" לויטן סטאַנדאַרט. זיין קלאָר וועגן דעפֿיניציעס האַלט אייער ISMS פאָקוסירט אויף די ריכטיקע באַציִונגען.
אן ערלעכע אפשאצונג וועט ארויסברענגען וואו איר פארלאזט זיך אויף האפענונג אנשטאט באווייזן. דאס גייט נישט וועגן כאפן קיינעם; עס גייט וועגן שאפן א געמיינזאמע פארשטענדעניש פון וואו סופלייער גאַווערנאַנס דאַרף פארבעסערט ווערן. פון דארט קענט איר דעפינירן א קורצע, פּראַגמאַטישע "סופלייער באַציאונגען" פּראָצעדור וואָס דעקט:
- ווי אזוי איר באַשליסט וועלכע סאַפּלייערז פאַלן אין ISMS פאַרנעם
- די מינימום זיכערהייט און פּריוואַטקייט ערוואַרטונגען פֿאַר יענע סאַפּלייערז
- ווי קאנטראקטן און DPAs ווערן איבערגעקוקט אדער באשאפן
- ווי אזוי איר באקומט און איבערקוקט פארזיכערונג (סערטיפיקאטן, באריכטן, ענטפֿערס)
- ווי אָפט איר באַטראַכט די ריזיקעס פון סאַפּלייער און ווער איז פאַראַנטוואָרטלעך
יענע פּראָצעדור ווערט דער רוקן־ביין פֿון אייער דיו דילידזשענס טשעקליסט און אייער אוידיט־גרייטע געשיכטע וועגן סאַפּלייער קאָנטראָל.
ISO 27001 געמאַכט גרינג
א 81% פֿאָרשפּרונג פֿון טאָג איינס
מיר האָבן געטאן די שווער אַרבעט פֿאַר איר, געבן איר אַ 81% העאַדסטאַרט פון דעם מאָמענט איר קלאָץ אויף. כל איר האָבן צו טאָן איז צו פּלאָמבירן די בלאַנקס.
דיזיינינג אַן MSP-גרייט סאַפּלייער דיו דילידזשענס טשעקליסט
אן MSP-גרייטע סאַפּלייער דיו דילידזשענס טשעקליסט פארוואנדלט די ISO 27001 שפּראַך אין א סטרוקטורירטע סעט פון פראגעס און באווייז פארלאנגען וואס איר קענט ווידער נוצן צווישן סאַפּלייערס. עס זאָל זיין פלעקסיבל גענוג פאר היפּערסקאַלע וואָלקן פּראַוויידערז און נישע ספּעציאַליסטן, אָבער פאָוקיסט גענוג אז איר און אייערע סאַפּלייערס קענען עס אויספילן אָן דערטרינקען זיך אין פּאַפּירן. די ריכטיקע סטרוקטור מאכט דיו דילידזשענס מער קאָנסיסטענט און ווייניקער סוביעקטיוו.
א גוטע סאַפּלייער דיו דילידזשענס טשעקליסט פארוואנדלט די אבסטראקטע געדאנקען אויבן אין קאנקרעטע, איבערחזרנדיקע פראגעס און באווייז פארלאנגען. פאר MSPs, מוז עס ארבעטן איבער א פארשיידענע גרופע פון סאַפּלייערס, פון היפּערסקאַלע וואלקנס ביז איין-מענטש ספעציאליסטן, אן ווערן נישט קאנטראלירבאר אדער פערפארמאטיוו.
קערן סעקציעס וואָס האַלטן די טשעקליסט נוצלעך
קערן סעקציעס האַלטן אייער טשעקליסט נוצלעך דורך אָרגאַניזירן פֿראַגעס אין פאָרויסזאָגבארע געביטן וואָס איר קענט סקאַלירן אַרויף אָדער אַראָפּ לויט סאַפּלייער שטאַפּל. דורך גרופּירן זאכן אונטער קעפּלעך ווי גאַווערנאַנס, זיכערהייט, דאַטן שוץ און ריזיליאַנס, מאַכט איר עס גרינגער פֿאַר סאַפּלייערז צו ענטפֿערן, פֿאַר אייער מאַנשאַפֿט צו אָפּשאַצן און פֿאַר אָדיטאָרס צו זען ווי דיו דילידזשענס שטיצט אייערע ISO 27001 קאָנטראָלס.
א פּראַקטישע סטרוקטור פֿאַר MSPs ניצט אַ קליינע צאָל קאָנסיסטענטע סעקשאַנז וואָס איר קענט סקאַלירן אַרויף אָדער אַראָפּ דיפּענדינג אויף די קריטישקייט פון די סאַפּלייער:
- אַלגעמיין און פאַרוואַלטונג – ווער דער סאַפּלייער איז, וואו זיי זענען באַזירט, זייער אָונערשיפּ און ווי לאַנג זיי אַרבעטן שוין. דאָס גיט אײַך אויך אַן ערשטן בליק אויף פינאַנציעלע פעסטקייט.
- אינפֿאָרמאַציע זיכערהייט און פּריוואַטקייט גאַווערנאַנס – צי זיי האָבן אַן ISMS, דעפינירטע זיכערהייט ראָלעס, ריזיקאָ פאַרוואַלטונג פּראָצעסן און באַטייַטיק סערטיפיקאַציעס. די ענטפֿערס שטיצן אייער אייגענע גאַווערנאַנס געשיכטע.
- דאַטן שוץ און לעגאַל – וואָסערע פערזענלעכע דאַטן זיי פּראָצעסירן פֿאַר אײַך, אין וועלכע ראָלעס, אונטער וועלכע לעגאַלע באַזעס און אין וועלכע יוריסדיקציעס. דאָס העלפֿט אײַך דערקלערן פּריוואַטקייט ריזיקע צו קאַסטאַמערז און רעגולאַטאָרן.
- טעכנישע און אָרגאַניזאַציאָנעלע קאָנטראָלן – ווי זיי פירן צוטריט, אויטענטיפֿיקאַציע, ענקריפּשאַן, לאָגינג, וואַלנעראַביליטי פאַרוואַלטונג, ענדערונג קאָנטראָל און זיכער אַנטוויקלונג. דאָס פֿאַרבינדט זיך גלייך צוריק צו אַנעקס א קאָנטראָלן.
- סערוויס לעוועלס און ווידערשטאנדסקראפט – אַפּטיים קאַמיטמענץ, אָפּזוך צייט און פּונקט צילן, באַקאַפּ און קאַטאַסטראָפע אָפּזוך אַראַנזשעמענץ, און קאַפּאַציטעט פּלאַנירונג. די פאַקטאָרן באַשטימען ווי סאַפּלייער דורכפאַלן וועלן ווירקן דיין קלייאַנץ.
- אינצידענט דעטעקציע און רעאקציע – מאָניטאָרינג קייפּאַבילאַטי, אינצידענט קלאַסיפיקאַציע, אָנזאָג פּראָצעסן און נאָך-אינצידענט שטיצע. דאָס ראַמט ווי געמיינזאַמע רעספּאָנסעס וועלן אַרבעטן אין פּראַקטיק.
- אָנגייענדיק מאָניטאָרינג און ענדערונג פאַרוואַלטונג – געפּלאַנטע איבערבליק ציקלען, ענדערונגען מעלדונג מעקאַניזמען און פּראָצעסן פֿאַר האַנדלען מיט מאַטעריאַלע ענדערונגען. דאָס שטיצט קאָנטינויִערלעכע זיכערהייט אונטער ISO 27001:2022.
אין יעדער סעקציע, צילט צו האבן א קליינע סעט פון וויכטיגע פראגעס אנשטאט אויסשעפנדיקע ליסטעס וואס קיינער האט נישט קיין צייט צו פארענדיגן אדער איבערקוקן. למשל, אנשטאט בעטן סופלייערס צו באשרייבן זייער גאנצע זיכערהייט פראגראם, קענט איר פרעגן צי זיי האבן א פארמאלע ISMS וואס איז לויט ISO 27001, וועלכע סערטיפיקאציעס זיי האבן און ווי אפט פאסירן מענעדזשמענט איבערקוקן.
די סעקציעס מאַפּן זיך דעמאָלט ריין צו די סאַפּלייער קאָנטראָלס אין אַנעקס A 5.19–5.22, וואָס מאַכט די טשעקליסט פיל גרינגער צו באַשיצן בעת אָדאַץ.
מאכן פראגעס און ענטפֿערס באמת נוצלעך
אומקלארע פראגעס באקומען אומקלארע ענטפֿערס, אַזוי איר דאַרפֿט פּראָמפּטן וואָס צווינגען ספּעציפֿישע ענטפֿערס און באַווײַזן. דורך סיגנאַלירן דעם טיפּ ענטפֿער וואָס איר ערוואַרטעט און צופּאַסן פראגעס צו MSP-ספּעציפֿישע ריזיקעס, שאַפֿט איר אַ טשעקליסט וואָס פֿאַרבעסערט טאַקע זיכערהייט אַנשטאָט צו שאַפֿן מאַרקעטינג שפּראַך.
די קוואַליטעט פון אייערע פֿראַגעס האָט אַ שטאַרקן השפּעה אויף די קוואַליטעט פון ענטפֿערס. אומקלאָרע פֿראַגעס ווי "באַשרײַבט אייערע זיכערהייט קאָנטראָלן" טענד צו פּראָדוצירן אומקלאָרע מאַרקעטינג ענטפֿערס. ספּעציפֿישע פֿראַגעס ווי "ליסט די אויטענטיפיקאַציע מעטאָדן וואָס איר שטיצט פֿאַר אַדמיניסטראַטאָר אַקסעס (למשל פּאַראָל, MFA און SSO) און ווי זיי ווערן דורכגעפֿירט" מוטיקן צו קאָנקרעטע, קאָנטראָלירבאַרע אינפֿאָרמאַציע.
איר קענט אויך פֿאַרבעסערן די קוואַליטעט פֿון ענטפֿערס דורך אָנצײַכענען דעם טיפּ ענטפֿער וואָס איר ערוואַרט. וואו איר ווילט באַווײַזן, זאָגט אַזוי: "געבט דעם נאָמען און רעפֿערענץ פֿון אײַער אינפֿאָרמאַציע-זיכערהייט פּאָליטיק און דעם דאַטום פֿון דער לעצטער באַשטעטיקונג." וואו איר ווילט נומערן, ספּעציפֿיצירט דעם פֿאָרמאַט: "געבט אָן אײַער נאָרמאַלע פּראָדוקציע RTO און RPO פֿאַר דעם סערוויס."
פֿאַר MSP-ספּעציפֿישע ריזיקעס, צופּאַסט פֿראַגעס צו אייער אָפּערירן מאָדעל. פֿרעגט, למשל:
- ווי ווערט טענענט צעשיידונג דערגרייכט אין מולטי-טענענט סביבות וואָס ווערן גענוצט פֿאַר אייער סערוויס?
- ווי אזוי פאַרוואַלטעט מען דעלעגירטן אַדמיניסטראַטאָר אַקסעס פֿאַר פּאַרטנער MSP'ס?
- וואָסערע אינטעגראַציע פּונקטן גיט איר מיט PSA, RMM אָדער טיקעטינג מכשירים, און ווי ווערן זיי געזיכערט?
צום סוף, באַשליסט ווי איר וועט געבן ענטפֿערס אַ כעזשבן. אַ פּשוטע דורכגיין/דורכפֿאַל קען זיין צו אָפן, בשעת אַ קאָמפּליצירטע וואָגיקע מאָדעל קען זיין צו איבערגעטריבן. פֿילע MSP'ס געפֿינען ווערט אין אַ דריי-פונקטיקער סקאַלע (טרעפֿט נישט די ערוואַרטונג, טיילווייז טרעפֿט, פֿולשטענדיק טרעפֿט די באַווײַזן) און דערנאָך אָנווענדן וואָגן לויט סעקציע. די ציל איז נישט מאַטעמאַטישע פּינקטלעכקייט, נאָר אַ קאָנסיסטענטער וועג צו פֿאַרגלײַכן סאַפּלייערס, פֿאַרפֿאָלגן פֿאַרבעסערונגען און שטיצן ריזיקאָ באַשלוסן.
אויסגלייַכן די טשעקליסט מיט אַנעקס א 5.19–5.22
אויסגלייַכן אייער טשעקליסט מיט אַנעקס א 5.19–5.22 איז וועגן מאַכן די פֿאַרבינדונג צווישן פֿראַגעס, קאָנטראָלס און באַווײַזן קלאָר. ווען איר קענט ווײַזן וועלכער טייל פֿון דער טשעקליסט שטיצט יעדן סאַפּלייער-פֿאַרבונדענעם קאָנטראָל, ווערן אויডিץ גלאַטער און אינערלעכע סטייקהאָולדערס פֿאַרשטיין פֿאַרוואָס יעדע פֿראַגע איז וויכטיק. אַ פּשוטע מאַפּינג מאַטריץ איז געוויינטלעך גענוג.
ISO 27001 אוידיטאָרן זאָרגן זיך ווייניקער וועגן די גענויע ווערטער פון אייער טשעקליסט און מער וועגן צי עס שטיצט קלאָר די קאָנטראָלן וואָס איר האָט דערקלערט אין אייער סטעיטמענט פון אַפּליקאַביליטי. דורך צופּאַסן דעם אינהאַלט פון דער טשעקליסט גלייך צו די קאָנטראָלן פֿאַרבונדן מיט די סאַפּלייער, מאַכט דאָס דעם פֿאַרבינדונג קלאָר און שפּאָרט דעבאַטע שפּעטער.
שאַפֿן אַ פּשוטע מאַפּינג וואָס אָדיטאָרס קענען נאָכפֿאָלגן
א פשוטע מאַפּירונג וואָס אוידיטאָרן קענען נאָכפֿאָלגן פֿאַרבינדט יעדן טשעקליסט אָפּטייל אָדער שליסל קשיא צו איין אָדער מער אַנעקס א קאָנטראָלן און ביישפילן פון אַקסעפּטאַבאַל באַווייַזן. דאָס פֿאַרמייַדט אומענדלעכע דיסקוסיעס וועגן ינטערפּרעטאַציע בעשאַס אוידיטן, ווייַל איר קענט ווייַזן ווי סאַפּלייער סעלעקציע, קאָנטראַקטן, אינפֿאָרמאַציע טעכנאָלאָגיע צושטעל קייט פֿאַרשטאַנד און מאָניטאָרינג אַלע פידז אין ספּעציפֿיש ISO 27001 רעקווירעמענץ.
א פּראַקטישער וועג צו דעמאָנסטרירן אַליינמאַנט איז צו האַלטן אַ קורצע מאַטריץ מיט דריי קאָלאָנעס: טשעקליסט געגנט, אַנעקס א קאָנטראָל געשטיצט און טיפּיש באַווייַזן. למשל:
| טשעקליסט געגנט | אַנעקס א רעפֿערענץ | טיפּישע באַווײַזן |
|---|---|---|
| סאַפּלייער קלאַסיפיקאַציע און סעלעקציע | A.5.19 | קריטעריאַ, האַסקאָמע רעקאָרדס, סאַפּלייער אינווענטאַר |
| זיכערהייט און פּריוואַטקייט קלאָזולעס אין אַגרימאַנץ | א.5.20, א.5.31, א.5.34 | קאנטראקטן, DPAs, SLA אויסצוגן |
| אינפֿאָרמאַציע און קאָמוניקאַציע טעכנאָלאָגיע צושטעל קייט און אַפּסטרים | A.5.21 | סוב-פראסעסאר ליסטעס, דאטן לאקאציע דאקומענטאציע |
| מאָניטאָרינג, איבערבליק און ענדערונג פאַרוואַלטונג | A.5.22 | איבערבליק לאָגס, KPI באַריכטן, ענדערונג נאָוטאַפאַקיישאַנז |
קאָנטראָל מאַפּינג רעפֿערענצן ווי געוויינטלעך גענוצטע אַנעקס א איבערבליקן פֿאַרבינדן אויך אָנגייענדיקע מאָניטאָרינג, איבערבליק און סאַפּלייער ענדערונג-מאַנאַגעמענט אַקטיוויטעטן מיט אַנעקס A.5.22, וואָס פֿאַרשטאַרקט פאַרוואָס יענע שורה אין דער מאַטריץ ווײַזט דאָרט.
די דאזיגע געניטונג אַנטפּלעקט אָפט אומבאַלאַנסן. עס איז געוויינטלעך צו געפֿינען עטלעכע פֿראַגעס וואָס דעקן די ערשטע אויסוואַל און קאָנטראַקט טערמינען, אָבער ווייניק וועגן אָנגייענדיקע איבערבליק, אָדער צו זען אַ גרונטלעכע באַריכט וועגן דירעקטע סאַפּלייערז אָבער זייער ווייניק וועגן זייערע אייגענע אַפּסטרים פּראַוויידערז. אַדזשאַסטינג די טשעקליסט צו פֿאַרמאַכן די גאַפּס ברענגט איר נעענטער צו דער כוונה פון די קאָנטראָלס, ספּעציעל די מאָניטאָרינג און ענדערונג-מאַנאַגעמענט טראָפּ אין A.5.22.
אַדרעסירן קאָנטראַקטן, אַפּסטרים פּראַוויידערז און ענדערונגען עקספּליציט
אַדרעסירן קאָנטראַקטן, אַפּסטרים פּראַוויידערז און ענדערונגען קלאָר אין דיין טשעקליסט גאַראַנטירט אַז איר וועט נישט פאַרפעלן די טיילן פון אַנעקס א וואָס רובֿ אָפט פאַרשאַפן געפינסן. ווען איר שטעלט ספּעציפֿישע פֿראַגן וועגן זיכערהייט קלאָזולעס, סוב-פּראַסעסערז, דאַטן לאָקאַציעס און ענדערונג נאָוטאַפאַקיישאַנז, גיט איר לעגאַלע, פּראָקורעמענט און טעכנישע טימז קלאָרע פּראַמפּץ וואָס איבערזעצן זיך גלייך אין שטאַרקערע אָפּמאַכן און מאָניטאָרינג.
עטלעכע אַספּעקטן פון אַנעקס א פֿאַרדינען באַזונדערע אויפֿמערקזאַמקייט אין אייער טשעקליסט.
פֿאַר קאָנטראַקטן, מאַכט זיכער אַז אייערע פֿראַגעס פֿירן לעגאַלע און פּראָקורמענט טימז צו אַרייַננעמען ספּעציפֿישע זיכערהייט און פּריוואַטקייט קאַמיטמאַנץ, נישט נאָר אַלגעמיינע שפּראַך. למשל, פֿרעגן צי עס זענען פֿאַראַן פֿאַרפֿליכטונגען צו:
- מעלדן אייך וועגן אינפֿאָרמאַציע זיכערהייט אינצידענטן אין באַשטימטע צייט ראַמען
- אויפהאלטן צוגעפאסטע צוטריט קאנטראל, לאגינג און ענקריפּשאַן פּראַקטיקעס
- באַקומען אייער הסכמה איידער איר באַשעפטיקט נייע סוב-פּראַסעסערז וואָס זענען באַטייַטיק צו אייערע סערוויסעס
- שטיצן גלייַכבארע אינפֿאָרמאַציע זיכערהייט אָדאַץ אָדער צושטעלן דריט-פּאַרטיי אָדאַט באַריכטן
פֿאַר אַפּסטרים פּראַוויידערז, אַרייַננעמען פֿראַגן וואָס ווייַזן אויף וועמען אייערע סאַפּלייערז פאַרלאָזן זיך, וואָס די אַפּסטרים באַדינונגען טוען, וווּ זיי געפֿינען זיך און ווי זיי ווערן רעגירט. דאָס פֿאַרוואַנדלט די אינפֿאָרמאַציע און קאָמוניקאַציע טעכנאָלאָגיע (ICT) סאַפּליי קייט פֿון אַן אַבסטראַקטן באַגריף אין אַ קאָנקרעטער רשימה וואָס איר קענט ריזיקירן אַססעסס און מאָניטאָרירן.
פֿאַר ענדערונגען איבער צייט, פרעגט ווי סאַפּלייערז וועלן אײַך אינפֿאָרמירן וועגן מאַטעריאַלע ענדערונגען צו זייערע סערוויסעס, האָסטינג לאָקאַציעס, זיכערהייט שטאַנד, סערטיפֿיקאַציעס אָדער סוב-פּראַסעסער ליסטעס. דערנאָך, אין אײַערע אייגענע פּראָצעסן, פֿאַרבינדט די ענדערונג מעלדונגען צו טריגערס פֿאַר ווידער-אַסעסמענט. טאן דאָס גיט אײַך אַ קלאָרע געשיכטע פֿאַר אָדיטאָרס: דיו דילידזשענס איז דורכגעפֿירט געוואָרן, קאָנטראַקטן האָבן איינגעפֿאַנגען ערוואַרטונגען, און מאָניטאָרינג אונטער A.5.22 גאַראַנטירט אַז די ערוואַרטונגען ווערן ווײַטער דערפֿילט.
באַפֿרײַ זיך פֿון אַ באַרג פֿון ספּרעדשיטן
איינבעטן, פארברייטערן און סקאַלירן אייער קאמפלייענס, אָן קיין כאַאָס. IO גיט אייך די ווידערשטאנד און בטחון צו וואַקסן זיכער.
ריזיקע-ראַנגינג סאַפּלייערז: פֿון וואָלקן ריזן ביז נישע מכשירים
ריזיקאָ-ראַנגירן סאַפּלייערז העלפֿט אײַך באַשליסן וווּ צו פֿאַרברענגען אײַער באַגרענעצטע צײַט און ענערגיע פֿאַר דיו דילידזשענס. דורך גרופּירן סאַפּלייערז אין אַ פּאָר קלאָרע שטאַפּלען באַזירט אויף השפּעה, דאַטן סענסיטיוויטי און צוטריט, שאַפֿט איר אַ פֿאַרטיידיקבאַרן וועג צו באַרעכטיקן פֿאַרוואָס עטלעכע באַציִונגען באַקומען טיפֿע קאָנטראָל בשעת אַנדערע באַקומען לײַכטערע קאָנטראָלן. די ריזיקאָ-באַזירטע צוגאַנג איז ענג אין איינקלאַנג מיט ISO 27001'ס איבערגעגעבענע ריזיקאָ פאַרוואַלטונג פּרינציפּן.
נישט אַלע סאַפּלייערז באַרעכטיקן די זעלבע טיפקייט פון דיו דילידזשענס. א קליינע דיזיין אַגענטור וואָס פּראָדוצירט מאַרקעטינג אַסעץ איז נישט אין דער זעלביקער ריזיקאָ קאַטעגאָריע ווי די פּלאַטפאָרמע וואָס האָסטינג קונה פּראָדוקציע דאַטן. א ריזיקאָ-באַזירט טיערינג מאָדעל גאַראַנטירט אַז איר ינוועסטירן מי דאָרט וווּ עס איז וויכטיקסט און קענען רעכטפארטיקן דעם באַשלוס צו אָדיטאָרס, קאַסטאַמערז און דיין אייגענעם דירעקטאָריום. דאָס שפּיגלט אָפּ ווי ריזיקאָ מאַטריץ און ענלעכע מכשירים ווערן גענוצט ברייטער, ווי באַשריבן אין גיידליינז וועגן ריזיקאָ מאַטריץ און סקאָרינג, צו פאָקוסירן ופֿמערקזאַמקייט אויף קאָמבינאַציעס פון ליקעליהאָאָד און השפּעה וואָס זענען וויכטיקסט.
דיזיינינג אַ פּשוט, דיפענסאַבאַל טיערינג מאָדעל
א פשוטער, פארטיידיגבאַרער טיערינג מאָדעל ניצט אַ האַנדפול קלאָרע קריטעריאַ צו צוטיילן יעדן סאַפּלייער צו אַ טיער, און דאַן פֿאַרבינדט יענעם טיער צו ספּעציפֿישע דיו דילידזשענס און איבערבליק ערוואַרטונגען. ווען יעדער פֿאַרשטייט ווי געשעפט קריטישקייט, דאַטן סענסיטיוויטי, צוטריט מדרגה, סאַבסטיטוטאַביליטי און רעגולאַטאָרישע השפּעה קאָמבינירן זיך, ווערן סאַפּלייער דעבאַטעס שנעלער און גרינגער צו סאָלווען.
אָנהייבן מיט אַ פּשוטע סעט פון קרייטיריאַ:
- געשעפט קריטישקייט: – וואָלט דער פארלוסט פון דעם סאַפּלייער אָפּגעשטעלט אָדער ערנסט פֿאַרערגערט שליסל־דינסטן אָדער רעוועך?
- דאַטן סענסיטיוויטי: – וואָסערע טיפּן דאַטן האָט דער סאַפּלייער צוטריט צו אָדער פאַראַרבעט, אַזאַ ווי קליענט קראַדענטשאַלז אָדער פּערזענלעכע דאַטן?
- צוטריט לעוועל: – האט דער סאַפּלייער דירעקטן צוטריט צו קליענט סביבות, פֿאַרהעכערטע פּריווילעגיעס אָדער שטאַרקע APIs?
- סובסטיטוציע: – ווי שווער וואָלט עס זיין צו פאַרבייטן דעם סאַפּלייער מיט אַן אַנדערן פּראַוויידער?
- רעגולאַטאָרישע השפּעה: – צי די ראָלע פֿונעם סאַפּלייער האָט אַ שייכות מיט רעגולירטע סעקטאָרן אָדער דאַטן קאַטעגאָריעס, וואָס קען צווינגען אַ העכערע שטאַפּל נישט קוקנדיק אויף די הוצאות?
ניצנדיק די קריטעריעס, דעפינירט שטאפלען ווי למשל:
- שטאַפּל 1 – קריטיש: סאַפּלייערז וועמענס דורכפאַל אָדער קאָמפּראָמיס וואָלט פאַראורזאַכן גרויסע סערוויס דיסראַפּשאַן, ערנסטע דאַטן ויסשטעל אָדער מאַטעריעלע רעגולאַטאָרישע פּראַל.
- שטאַפּל 2 – וויכטיק: סאַפּלייערז מיט באַדייַטנדיקער השפּעה, אָבער טיפּיש לימיטירט דירעקט צוטריט צו פּראָדוקציע סיסטעמען אָדער דאַטן.
- שטאַפּל 3 – סטאַנדאַרט: סאַפּלייערז מיט לימיטעד זיכערהייט אָדער ריזיליאַנס פּראַל.
איידער איר באַשליסט אויף די טיפקייט פון די פֿראַגעבאָגן, די אָפֿטקייט פֿון אָפּשאַצונגען און דעם מדרגה פֿון באַשטעטיקונג, איז עס נוצלעך צו זען די שטאַפּלען איינס לעבן דעם אַנדערן.
| כייַע | טיפּישע סאַפּלייער טייפּס | טיפקייט פון גערעכטיקייט |
|---|---|---|
| טיר קסנומקס | קאָר האָסטינג, RMM, באַקאַפּ, אידענטיטעט, NOC/SOC פּאַרטנערס | פולע טשעקס, באווייז פּאַק, יערלעכע איבערבליק |
| טיר קסנומקס | שליסל SaaS מכשירים, וויכטיקע ספּעציאַליסטן | געצילטע טשעקס, לייטערע באווייזן, 1–2 יאר |
| טיר קסנומקס | נידעריק-ריזיקירטע יוטילאַטיז, הילפס-סערוויסעס | גרונטלעכע קאָנטראָלן, הויפּטזעכלעך בײַם אָנבאָאַרדינג/רינואַל |
אַמאָל איר האָט מסכים געווען אויף די שטאַפּלען, באַשליסט וואָס זיי מיינען אין פּראַקסיס: ווי טיף אייער דיו דילידזשענס גייט, ווי אָפט איר איבערקוקט זיי, וואָסערע באַווייזן איר בעט און ווער מוז זיי באַשטעטיקן. למשל, שטאַפּל 1 קען דאַרפן קאָמפּרעהענסיווע פֿראַגעבאָגן, אומאָפּהענגיקע סערטיפֿיקאַטן, יערלעכע איבערבליקן און פירערשאַפט אונטערשרייבונג. שטאַפּל 3 קען דאַרפן בלויז גרונטלעכע קאָנטראָלן ביי אָנבאָאַרדינג און רינואַל.
מאכן טיערינג א טייל פון טעגליכע באשלוסן
שטאַפּל-באַאַרבעטונג אַרבעט נאָר אויב עס ווערט גענוצט ווען מען פֿאָרשטעלט נייע סאַפּלייערס אָדער מען ענדערט זיך די עקזיסטירנדיקע. דורך אַרייננעמען פֿינאַנץ און סערוויס-ליפֿערונג פֿון אָנהייב און רעקאָרדירן שטאַפּל-באַאַרבעטונגען אין אייער סאַפּלייער-רעגיסטער אָדער ריזיקאָ-לאָג, מאַכט איר ריזיקאָ-באַזירטע באַשלוסן קענטיק און איבערחזרנדיק אַנשטאָט זיך פֿאַרלאָזן אויף געפיל אָדער גרייס פֿון דער רעכענונג.
כדי צו האַלטן דעם מאָדעל באַגרינדעט, זאָל מען אַרייננעמען פינאַנץ און סערוויס ליפערונג אין זיין שאַפונג. זיי קענען העלפֿן צו פֿאַראייניקן קאָנטראַקט ווערטן מיט אָפּעראַציאָנעלער רעאַליטעט. עטלעכע נידעריק-ספּענדינג מכשירים קענען זיין טיף איינגעוואָרצלט אין וואָרקפלאָוז אָדער אינצידענט רעספּאָנס, מאַכנדיג זיי העכערע שטאַפּל ווי די רעכענונג פֿאָרשלאָגט. פאַרקערט, עטלעכע גרויס-ספּענדינג יוטילאַטיז קענען זיין גרינגער צו פאַרבייַטן אָדער קענען האָבן לימיטעד דאַטן ויסשטעל.
א פּראַקטיש בייַשפּיל איז אַ ביליק מאָניטאָרינג סערוויס וואָס פירט צו אַלערטיזאַציע פֿאַר רובֿ פון דיין קאַסטאַמערז. די רעכענונג קען זיין קליין, אָבער אויב איר דורכפאַל וואָלט בלינד דיין אינזשענירן צו אויספאַלן, געהערט עס כּמעט זיכער אין טיער 1. אין קאַנטראַסט, אַ טייַער אָבער לייכט ריפּלייסאַבאַל HR געצייַג אָן קונה דאַטן קען באַקוועם פּאַסן אין טיער 3.
דאָקומענטירט קלאָר אייערע שטאַפּל-רעגולאַציעס און ניצט זיי קאָנסיסטענט ווען נייע סאַפּלייערז ווערן פֿאָרגעלייגט. פּשוטע שוועל-סטעיטמענטס העלפֿן, אַזאַ ווי:
- יעדער סאַפּלייער מיט דירעקט אַדמיניסטראַטיוון צוטריט צו קליענט פּראָדוקציע סיסטעמען איז לפּחות טיער 1
- יעדער סאַפּלייער וואָס האָסטירט קליענט פּערזענלעכע דאַטן אין פּראָדוקציע איז לפּחות טיער 2
- יעדער סאַפּלייער וואָס שטיצט די אַוויילאַביליטי פון קאָר באַדינונגען מוז זיין טיער 1
רעקאָרדירט ביידע די צוגעטיילטע שטאַפּל און די באַגרינדונג אין אייער סאַפּלייער אינווענטאַר אָדער ריזיקאָ רעגיסטער. איבערקוקט די שטאַפּל פּעריאָדיש, ספּעציעל נאָך באַדייטנדיקע אָרגאַניזאַציאָנעלע אָדער סערוויס ענדערונגען, צונויפגיסונגען, אַקוויזישאַנז אָדער אינצידענטן. מיט דער צייט, שאַפט דאָס אַ שפּורבאַרע געשיכטע וואָס ווייזט אַז איר פאַרוואַלטעט אַקטיוו סאַפּלייער ריזיקאָ אין לויט מיט ISO 27001'ס ריזיקאָ-באַזירטן צוגאַנג.
באַווייזן סאַפּלייער קאַנפאָרמאַטי: ISO 27001, SOC 2, GDPR און ווייטער
באַווייַזן סאַפּלייער קאַנפאָרמאַטי מיינט באַשליסן וואָס ציילט זיך ווי גוטע באַווייזן פֿאַר יעדן שטאַפּל און זאַמלען עס אויף אַ קאָנסיסטענטן וועג. ISO 27001, SOC 2 און GDPR אַרטיפאַקץ קענען אַלע שפּילן אַ ראָלע, אָבער קיינער איז נישט פּערפעקט אַליין. א סטאַנדאַרט באַווייז פּאַק פּער שטאַפּל טורנס "מיר טראַסטן זיי" אין "מיר האָבן דאָקומענטירטע סיבות צו טראַסטן זיי".
די 2025 ISMS.online אנקעטע ווייזט אז קאסטומערס ערווארטן מער און מער אז זייערע סאַפּלייערס זאלן זיך צופּאַסן צו פאָרמעלע פריימווערקס ווי ISO 27001, ISO 27701 , GDPR, Cyber Essentials און SOC 2, אנשטאט זיך צו פארלאזן אויף אלגעמיינע באהויפטונגען פון גוטע פּראַקטיק.
דיו דילידזשענס ווערט נאָר גרייט פֿאַר אַן אויטאָריזאַציע ווען עס איז געשטיצט מיט באַווײַזן. פֿאַר יעדן וויכטיקן סאַפּלייער, דאַרפֿט איר פֿאַרשטיין ניט נאָר וואָס זיי זאָגן אַז זיי טאָן, נאָר וואָס איר קענט גלייַך באַשטעטיקן. אַ סטאַנדאַרט באַווײַז פּאַק פּער שטאַפּל האַלט דאָס פאַרוואַלטלעך און גאַראַנטירט אַז אייער מאַנשאַפֿט ווייסט ווען דיו דילידזשענס איז פֿאַרענדיקט.
סטאַנדאַרדיזירן וואָס "גוטע באַווײַזן" זעט אויס
סטאַנדאַרדיזירן ווי "גוטע באַווייזן" זעט אויס העלפט אייער מאַנשאַפֿט אויסמיידן ביידע צו פיל צוטרוי אין גלאַנציקע סערטיפיקאַטן און צו פיל אינזשעניריע פון באַזונדערע באריכטן פֿאַר יעדן סאַפּלייער. ווען איר דעפינירט די טיפּישע דאָקומענטן וואָס איר ערוואַרטעט לויט שטאַפּל און באַמערקט וווּ זיי זענען געהיט, ווערט עס פיל גרינגער צו ענטפֿערן אָדיטאָרס, קאַסטאַמערז און אינערלעכע סטייקהאָולדערז שנעל און קאָנסיסטענט.
פֿאַר העכער-ריזיקירטע סאַפּלייערז, קען אַ טיפּישער באַווייַז פּאַקעט אַרייַננעמען:
- אן אקטועל אינפארמאציע זיכערהייט סערטיפיקאט, ווי למשל ISO 27001, מיט א פארנעם און לאקאציעס וואס שטימען מיט די סערוויסעס וואס איר ניצט. דער ISO/IEC 27001:2022 סטאנדארט ווערט ברייט גענוצט אויף דעם אופן אלס א באזע סיגנאל אז אן ארגאניזאציע פירט א געראטן אינפארמאציע זיכערהייט סיסטעם פאר די אינעם פארנעם סערוויסעס.
- א פרישער אומאפהענגיקער פארזיכערונגס באריכט, ווי למשל א SOC 2 טיפ II, וואו די סיסטעמען אין פארנעם שטימען צו מיט אייער באנוץ
- א קאפיע פון אייער אונטערגעשריבענעם קאנטראקט, אריינגערעכנט קלארע זיכערהייט און דאטן שוץ קלאוזלען
- א אונטערגעשריבענער DPA, וואו פערזענלעכע דאטן פארארבעטונג איז פארמישט
- דאָקומענטאַציע פון זייער אינצידענט מעלדונג פּראָצעס און אייערע מסכים קאָנטאַקט פונקטן
- קיצור רעזולטאַטן פון באַטייַטיקע דורכדרינגונג טעסץ אָדער זיכערהייט אַסעסמאַנץ, וווּ פּאַסיק
פֿאַר נידעריקער-מדרגה סאַפּלייערז, קען דער פּעקל זיין לייטער, מער פאָקוסירט אויף קאָנטראַקטואַלע פאַרפליכטונגען און גרונטלעכע זיכערהייט דעקלאַראַציעס.
וואָס איר זאָלט אויסקלײַבן, דאָקומענטירט עס. אײַער טשעקליסט קען אַרײַננעמען אַ קליינע טאַבעלע פֿאַר יעדן סאַפּלייער, וואָס סומאַריזירט וועלכע אַרטיפאַקטן איר האָט, זייערע דאַטעס און וווּ זיי זענען געהאַלטן. דאָס מאַכט עס פיל גרינגער זיך צוצוגרייטן צו אויספֿאָרשונגען און קליענט אַסעסמאַנץ אָן זוכן אין יעדן אינבאָקס.
פֿאַרבינדן סערטיפיקאַציעס און לעגאַלע פֿאַרפֿליכטונגען צו אייער אייגענע ריזיקע
צוריקצובינדן סערטיפיקאציעס און לעגאלע דאקומענטן צו אייער אייגענע ריזיקע פאזיציע פארמיידט אייך פון באהאנדלען באווייזן ווי א טשעק-קעסטל געניטונג. דורך קאנטראלירן די פארנעם, דאטומען, אויסנעמען און דאטן שוץ דעטאלן קעגן ווי אזוי איר ניצט טאקע דעם סערוויס, פארוואנדלט איר דריט-פארטיי פאפירן אין באדייטנדיקע פארזיכערונג און ווייסט וואו קאמפענסירנדע קאנטראלן אדער קלארע ריזיקע אקצעפטאנץ זענען פארלאנגט.
ווען איר אפשאצט באווייזן, באהאנדלט נישט קיין איין דאקומענט אלס אבסאלוטן באווייז. א סערטיפיקאט דארף זיין אקטועל און דעקן די סערוויסעס וואס איר פארנוצט טאקע. אן פארזיכערונגס באריכט דארף זיך באציען צו באטרעפנדע סיסטעמען און קריטעריעס, און יעדע אויסנאם זאל פארשטאנען ווערן און, אויב נויטיג, אדרעסירט ווערן.
פֿאַר פּריוואַטקייט, זאָרגט אַז אייער DPA און פֿאַרבונדענע דאָקומענטן זאָלן קלאָר מאַכן:
- צי דער סאַפּלייער אַקט ווי אַ פּראַסעסער אָדער קאָנטראָללער אין באַצוג צו דיין דאַטן
- וואָס קאַטעגאָריעס פון פערזענלעכע דאַטן זיי פּראָצעסירן און פֿאַר וואָס צוועקן
- ווי זיי האַנדלען מיט דאַטן סוביעקט רעכט און ויסמעקן ריקוועסץ
- וועלכע סוב-פראצעסארן זיי ניצן און ווי זיי ווערן באשטעטיגט און געמעלדט
- ווי אינטערנאציאנאלע טראנספערס ווערן רעגירט און גערעכטפארטיקט
די אנווייזונגען זענען אינפארמאציע צו שטיצן אייער טראכטן, נישט לעגאלע עצה פאר אייער ספעציפישע סיטואציע. אויב איר ארבעט אין קייפל יוריסדיקציעס אדער האנדלט מיט קאמפליצירטע גרענעץ-איבערשרייטנדע טראנספערס, איז עס קלוג צו באקומען אומאפהענגיקע לעגאלע עצה אנשטאט זיך צו פארלאזן נאר אויף סופלייערס טעמפלעיטס אדער קיצורים.
וואו סאַפּלייערס קענען נישט צושטעלן די ערוואַרטעטע סערטיפיקאַציעס אדער באַריכטן, באַשליסט פון פאָראויס וועלכע אַלטערנאַטיוון איר וועט אָננעמען. דאָס קען אַרייַננעמען דעטאַלירטע ענטפֿערס אויף פֿראַגעבאָגן, אויסצוגן פֿון אינערלעכע פּאָליטיקס אדער קיצורים פֿון אומאָפּהענגיקע טעסטינג. אויב דער ריס איז באַדייטנדיק אָבער דער געשעפֿט דאַרף נאָך דעם סאַפּלייער, באַהאַנדלט עס ווי אַן עקספּליציטער ריזיקע: רעקאָרדירט עס, באַשטימט אַן אייגנטימער און שטימט צו קאָמפּענסירנדיקע קאָנטראָלן אדער צייט-געבונדענע פֿאַרבעסערונג אַקציעס.
דורך זיך צונעמען מיט באווייזן אויף דעם אופן, קענט איר ווייזן אוידיטארן און קאסטומערס אז סופלייער באשטעטיגונג איז נישט קיין אפמאך פון אפמאכן. עס איז א באטראכטע באלאנס צווישן ריזיקע, פארזיכערונג און ביזנעס נויט, וואס ווערט געראטן אין אייער ISMS פריימווערק.
פאַרוואַלטן אַלע אייערע קאָנפאָרמאַנס, אַלץ אין איין אָרט
ISMS.online שטיצט איבער 100 סטאַנדאַרדס און רעגיאַליישאַנז, געבן איר אַ איין פּלאַטפאָרמע פֿאַר אַלע דיין העסקעם דאַרף.
אָפּעראַציאָנאַליזירן קאָנטינויִערלעך סאַפּלייער מאָניטאָרינג אין דיין ISMS
אפעראציאנאליזירן קאנטינעווירלעכע סופלייער מאָניטאָרינג מיינט בויען איבערבליק ציקלען, טריגערס און רעקאָרדס אין די מכשירים וואָס אייערע טימז נוצן שוין. אַנשטאָט צו קריכן פאר יעדן אוידיט, האַלט איר אַ לעבעדיקן בליק אויף סאַפּלייער ריזיקירן, פאָרשטעלונג און באַווייַזן וואָס קענען ווערן געוויזן צו קאַסטאַמערז, אוידיטאָרן און פירערשאַפט אין יעדער צייט. דאָס שטיצט גלייך ISO 27001:2022'ס טראָפּ אויף אנגייענדיק מאָניטאָרינג און ענדערונג פאַרוואַלטונג אין אַנעקס A.5.22. קאָמענטאַרן אויף די 2022 דערהייַנטיקן צו קאָנטראָלס A.5.19–A.5.22, אַרייַנגערעכנט סאַפּלייער-פאָוקיסט גיידאַנס, ונטערשטרייַכן עקספּליציט A.5.22 ווי קאַווערינג דעם מאָניטאָרינג, איבערבליק און ענדערונג-פאַרוואַלטונג ציקל.
ארום צוויי דריטל פון אָרגאַניזאַציעס אין דער "שטאַט פון אינפֿאָרמאַציע זיכערהייט 2025" אַנקעטע האָבן געזאָגט אַז די שנעלקייט און באַנד פון רעגולאַטאָרישע ענדערונגען מאַכן קאָנפאָרמאַנס שווערער צו האַלטן.
סאַפּלייער דיו דילידזשענס איז נישט קיין איין מאָל געשעעניש איידער קאָנטראַקט אונטערשרייבונג. ISO 27001 ערוואַרטעט אַז איר זאָלט מאָניטאָרירן סאַפּלייער פאָרשטעלונג און ריזיקע איבער צייט, אַדזשאַסטינג קאָנטראָלן און, אויב נייטיק, באַציִונגען ווי די אומשטענדן טוישן זיך. אינטערפּרעטאַציעס פון A.5.19 און די פֿאַרבונדענע סאַפּלייער קאָנטראָלן באַטאָנען ריפּיטידלי אַז השגחה זאָל זיין אַ טייל פון די ISMS לעבן ציקל, נישט נאָר אַ קאָנטראַקטואַל טשעקפּוינט, אַזוי אַז סאַפּלייער ריזיקע ווערט אָפּגעקוקט צוזאַמען מיט אַנדערע אינפֿאָרמאַציע זיכערהייט ריזיקעס.
איבערצומאכן די ערווארטונג אין טעגלעכער פראקטיק האלט אייך אין איינקלאנג מיטן סטאנדארט און רעדוצירט איבערראשונגען.
בויען איבערבליק ציקלען און טריגערס וואָס לויפן טאַקע
איבערבליק ציקלען און טריגערס לויפן טאקע ווען זיי זענען פארבונדן צו סאַפּלייער לעוועלס, פאַקטישע געשעענישן און קלאָרע אייגנטימער, אנשטאט זיי זאלן זיין באַגראָבן אין אַ פּאָליטיק דאָקומענט. דורך באַשטעטיקן אָפטקייטן פֿאַר יעדן שטאַפּל און דעפינירן וואָס וועט פירן צו אַד-האָק איבערבליקן, שאַפט איר אַ ריטעם פון סאַפּלייער גאַווערנאַנס וואָס אייערע טימז קענען אויסהאַלטן איבערן גאַנצן יאָר.
א קלוגער אָנהייבפּונקט איז צו פֿאַרבינדן די אָפטקייט פֿון אָפּשאַצונגען גלייך מיטן סאַפּלייער־שטאַפּל. למשל:
- טיער 1 סאַפּלייערז: פולשטענדיקע איבערבליק לפּחות יערלעך. דורכפירן אַן נאָך איבערבליק נאָך יעדער מאַטעריאַל ענדערונג אָדער הויפּט אינצידענט.
- טיער 2 סאַפּלייערז: איבערקוקן יעדע איין ביז צוויי יאָר, דיפּענדינג אויף פּראַל און פעסטקייט.
- טיער 3 סאַפּלייערז: לײַכטיקע איבערבליק אַלס טייל פֿון קאָנטראַקט באַנײַונג אָדער ווען גרויסע ענדערונגען פּאַסירן.
יעדע איבערבליק זאָל דעקן סיי פאָרשטעלונג און סיי זיכערהייט. דאָס קען אַרייַננעמען SLA-אַדכיראַנס, אינצידענט געשיכטע, קונה קלאָגעס, צייטיקע עקספּרעס פון דערהייַנטיקטע סערטיפיקאַטן און באַריכטן, און יעדע ענדערונג אין סערוויס פאַרנעם אָדער טעכנאָלאָגיע.
צוזאמען מיט געפלאנטע איבערבליקן, דעפינירט קלארע טריגערס פאר אן אד-האק איבערקוק. ביישפילן שליסן איין:
- א פובליקירטע בריטש אדער זיכערהייטס-ווארענונג וואס באאיינפלוסט דעם סאַפּלייער
- ענדערונגען אין האָסטינג לאָקאַציעס, דאַטן צענטערס אָדער שליסל סוב-פּראַסעסערז
- באַדײַטנדיקע ענדערונגען אין דעם סאַפּלייער'ס אָונערשיפּ אָדער פינאַנציעלע שטאַנד
- הקדמה פון נייע פֿעיִקייטן וואָס ענדערן דאַטן פּראַסעסינג אָדער אַקסעס פּאַטערנז
דאָקומענטירט ווי די טריגערס ווערן דעטעקטירט, למשל דורך פארקויפער נאָוטאַפאַקיישאַנז, עקסטערנע מאָניטאָרינג אָדער אינדוסטריע נייַעס, און ווער איז פאַראַנטוואָרטלעך פֿאַר אַקציע אויף זיי. דערנאָך פֿאַרבינדט די אַקשאַנז צו דיין אינצידענט און ענדערונג פאַרוואַלטונג פּראַסעסאַז אַזוי זיי ווערן נישט פֿאַרגעסן.
מאַכן מאָניטאָרינג קענטיק פֿאַר טימז און אָדיטאָרס
מאָניטאָרינג ווערט עפעקטיוו ווען יעדער קען זען סאַפּלייער סטאַטוס, באַווייַזן און אַקשאַנז אין איין, טראַסטיד אָרט. א צענטראלער רעגיסטער אין אַן ISMS פּלאַטפאָרמע אָדער אַן אַנדער סיסטעם וואָס ינטאַגרייץ מיט דיין אָפּעראַציאָנעל מכשירים אַלאַוז איר צו שפּור באריכטן, טריגערן דערמאָנונגען און פאָרשטעלן אַ קאָוכירענט מיינונג פון סאַפּלייער ריזיקירן צו אָדאַטערז און קאַסטאַמערז.
כּדי מאָניטאָרינג זאָל זײַן עפֿעקטיוו, דאַרף אײַער אָרגאַניזאַציע אַן אײנציקע אויטאָריטעטיווע בליק אויף יעדן סאַפּלייער'ס סטאַטוס: ריזיקאָ שטאַפּל, לעצטע איבערבליק דאַטע, שליסל קאָנטאַקטן, איצטיקע באַווײַזן און אָפֿענע אַקציעס. האַלטן די אינפֿאָרמאַציע אין פּערזענלעכע ספּרעדשיטס אָדער צעוואָרפֿענע נאָטיצן פֿירט שנעל צו אומקאָנסיסטענצן.
אנשטאט, באַטראַכט צו האַלטן אַ צענטראַלן סאַפּלייער רעגיסטער אין אייער ISMS פּלאַטפאָרמע אָדער אַן אַנדער סיסטעם וואָס אינטעגרירט זיך מיט אייערע PSA, טיקעטינג און קאָנפיגוראַציע פאַרוואַלטונג מכשירים. אַן ISMS פּלאַטפאָרמע ווי ISMS.online קען אייך העלפֿן ברענגען סאַפּלייער אינווענטאַרן, ריזיקאָ אַסעסמאַנץ, דיו דילידזשענס פֿראַגעבאָגן, באַווייַזן און אָפּשאַצונג אַקשאַנז צוזאַמען אין איין ISO 27001-אַליינד סביבה, און סאַפּלייער גיידאַנס אויף סאַפּליי-קייט זיכערהייט ווייזט ווי סענטראַלייזינג די עלעמענטן קען שטיצן אַ מער קאָוכירענט צוגאַנג צו סאַפּלייער פארזיכערונג.
ניצט דעם רעגיסטער צו:
- דרייוו דערמאָנונגען פֿאַר קומענדיקע באריכטן אָדער באַווייַז דערפרישונגען
- רעקאָרדירן די רעזולטאַטן פון באריכטן, אַרייַנגערעכנט רייטינג ענדערונגען און מסכים אַקציעס
- רעקאָרדירן באַשלוסן וועגן אַקסעפּטירן, באַהאַנדלען אָדער ויסמיידן סאַפּלייער-פֿאַרבונדענע ריסקס
- צושטעלן אַ גרייטע רעפֿערענץ ווען איר ענטפֿערט אויף פֿראַגעס וועגן קליענט דיו דילידזשענס
אויטאמאטיזירן טיילן פון דעם ארבעטס-פלוס העלפט אויפהאלטן דיסציפלין. למשל, ווען א נייער סאַפּלייער ווערט צוגעגעבן צו אייער קויפן אדער בילעט סיסטעם, קענט איר אנפאנגען אן ערשטן דיו דילידזשענס פראצעס. ווען א קאנטראקט נענטערט זיך צו באנייאונג, אנפאנגען אן איבערבליק פון פערפארמענס, אינצידענטן און אפדעיטירטע באווייזן. ווען א סאַפּלייער'ס סערטיפיקאט עקספיירי דאטום נענטערט זיך, שאפט אן אויפגאבע צו באקומען אפדעיטירטע באווייזן און אפשאצן יעדע ענדערונג.
דורך איינפליסן די טריט אין עקזיסטירנדע פראצעסן אנשטאט זיי צו לייגן אויף שפּיץ, מאכט איר קאנטינעווירלעכע סאַפּלייער גאַווערנאַנס אַ טייל פון ווי אזוי איר אַרבעט, נישט אַ זייטיקע פּראָיעקט וואָס באַקומט אויפֿמערקזאַמקייט בלויז איידער אַודאַץ.
זעט ISMS.online אין אַקציע פֿאַר אייער MSP
ISMS.online העלפט אייך האַלטן די דיו דילידזשענס, ריזיקע, באַווייזן און אַקציעס פון סאַפּלייער אין איין ISO 27001-אויסגעשטעלט אָרט, אַזוי איר קענט זיך שנעלער באַוועגן אָן צו פאַרלירן קאָנטראָל. דורך אַוועקגיין פון צעוואָרפענע ספּרעדשיטס און אימעיל שפּורן און זיך אַריינלייגן אין אַן ISMS פּלאַטפאָרמע, מאַכט איר עס פיל גרינגער צו האַלטן אַ קלאָרע, אָדיטאַבלע בליק אויף אייער סאַפּליי קייט ווי אייער MSP וואַקסט.
אין דער 2025 ISMS.online אנקעטע, האבן כמעט אלע ארגאניזאציעס אויסגערעכנט דערגרייכן אדער אויפהאלטן זיכערהייט סערטיפיקאציעס, ווי ISO 27001 אדער SOC 2, אלס א הויפט פריאריטעט.
א סטרוקטורירטע, ISO-אויסגעריכטע סאַפּלייער דיו דילידזשענס טשעקליסט איז פיל גרינגער צו אויפהאלטן ווען עס געפינט זיך אין א סיסטעם געבויט פאר ISMS ארבעט אנשטאט אין צעשפרייטע דאקומענטן און אימעילס. מיט ISMS.online, קענט איר אויפהאלטן איין, אויטאריטעטיוון רעקארד פון סאַפּלייערס, ריזיקעס, באווייזן און אקציעס, אלעס צוגעפאסט צו די ISO 27001 קאנטראלן וואס אוידיטארן זוכן.
איידער איר באַשליסט ווי ווייט צו גיין, איז עס ווערט זיך צו פרעגן אַ פּשוטע פראַגע: אויב אַן אוידיטאָר אָדער שליסל קליענט וואָלט געבעטן אַן איבערבליק פון אייערע צוואַנציק שפּיץ סאַפּלייערז, זייערע ריזיקאָ לעוועלס, לעצטע איבערבליק דאַטעס, שליסל פארזיכערונגען און אָפענע פּראָבלעמען, ווי לאַנג וואָלט עס נעמען איר צו ענטפֿערן מיט בטחון? קאָמפּרעסירן דעם מי פון טעג צו מינוטן באַפרייען אייער מאַנשאַפֿט צו פאָקוסירן אויף פאַקטישע זיכערהייט פֿאַרבעסערונגען און קליענט באַציִונגען.
ווען איר אפשאצט פלאטפארמעס, זוכט פאר מעגלעכקייטן וואס שטימען מיט די פראקטיקעס וואס ווערן דא באשריבן. איר ווילט קאנפיגורירבארע סופלייער רעגיסטערס, ISO-געמאפטע קוועסטיאנערן, באווייז לייברעריז, דערמאָנונגען פאר באריכטן און עקספּיראַציע דאַטעס, און וואָרקפלאָוז וואס שיקן באַשטעטיקונגען צו די ריכטיקע מענטשן. יענע פֿעיִקייטן העלפֿן אַ קליין מאַנשאַפֿט צו האַלטן ISO 27001-אויסגעשטעלטע סופלייער גאַווערנאַנס אפילו ווען איר לייגט צו מער קאַסטאַמערז, מכשירים און רעגולאַטאָרישע פֿאַרפליכטונגען.
צענטראַליזירטע אינפֿאָרמאַציע פֿון סאַפּלייער שטיצט אויך פֿאַרקויף און קאָנטאָ־פֿאַרוואַלטונג. ווען קליענטן פֿרעגן ווי איר פֿאַרוואַלטעט אייער אייגענע סאַפּליי־קייט, איז עס שטאַרק צו ווײַזן אַ לעבעדיקע, ריזיקאָ־באַזירטע בליק, געשטיצט דורך באַווײַזן און קלאָרע פּראָצעסן. יענע סאָרט טראַנספּאַרענץ פֿאַרוואַנדלט קאָנפאָרמאַנס פֿון אַ דעפֿענסיווער נויטווענדיקייט אין אַן איבערצײַגנדיקן באַווײַז־פּונקט.
ווען אַ פּלאַטפאָרמע מאַכט זינען פֿאַר דיין MSP
פֿאַר פֿילע MSP'ס, הייבט אַן אייגענע ISMS פּלאַטפאָרמע אָן צו מאַכן זינען ווען די צאָל סאַפּלייערז, פֿרэйמווערקס און קאַסטאַמערז וואָס איר באַהאַנדלט איז גרעסער ווי וואָס איר קענט באַקוועם באַהאַנדלען מיט אימעיל און ספּרעדשיטס. ווי אייער MSP וואַקסט, ווערט סאַפּלייער השגחה צו וויכטיק און צו קאָמפּליצירט צו באַהאַנדלען אינפֿאָרמעל. אינטעגראַציע מיט PSA, טיקעטינג און קאָנפיגוראַציע פאַרוואַלטונג מכשירים מיינט אַז סאַפּלייער ענדערונגען און פּראָבלעמען זענען קענטיק דאָרט וואו אייערע טימז אַרבעטן שוין, אַנשטאָט באַגראָבן אין אַ באַזונדערן קאָנפאָרמאַנס סילאָ.
אויב איר ווילט זען ווי דאָס קען אַרבעטן אין אייער קאָנטעקסט, קען אַ פאָקוסירטע סעסיע מיט ISMS.online זיין אַ נוצלעכער ווייטערדיקער שריט. אויב איר זענט די סאָרט MSP וואָס וויל אַז סאַפּלייער גאַווערנאַנס זאָל זיין אַ קענטיקע שטאַרקייט אַנשטאָט אַן אוידיט אַרבעט, וועט זען ISMS.online אין אַקציע ווייַזן איר וואָס אַ רעאַליסטישער וועג פאָרויס קען אויסזען איבער די קומענדיקע זעקס ביז צוועלף חדשים.
ספר אַ דעמאָאָפֿט געשטעלטע פֿראגן
ווי זאָל אַן MSP דעפינירן סאַפּלייער דיו דילידזשענס ווען ער צילט צו ISO 27001?
סאַפּלייער דיו דילידזשענס פֿאַר אַן MSP איז דער איבערחזרנדיקער וועג ווי איר משפט ווי יעדער סאַפּלייער קען פאַרגרעסערן אָדער רעדוצירן דיין ISO 27001 ריזיקירן, פֿון דער ערשטער שמועס ביזן אַרויסגאַנג. אַנשטאָט צעוואָרפֿענע אימעילס און אַד-האָק טשעקס, ניצט איר אַ קאָנסיסטענט סטרוקטור צו כאַפּן ווער דער סאַפּלייער איז, וואָס זיי רירן אָן, ווי זיי זיכערן עס, און ווי איר וועט האַלטן דאָס בילד אַקטועל.
וואָס זענען די הויפּט יסודות פון MSP סאַפּלייער דיו דילידזשענס?
פֿאַר אַ געראטן סערוויס פּראַוויידער, עפֿעקטיווע סאַפּלייער דיו דילידזשענס רוט געוויינטלעך אויף פֿינף יסודות:
- קלאָרער פאַרנעם: באַשליסן וועלכע סאַפּלייערז זענען אין דעם פאַרנעם (די וואָס האָבן אַ פּראַל אויף קונה סערוויסעס, דאַטן, אַפּטיים אָדער רעגולאַטאָרישע פליכטן) און וועלכע נישט.
- נאָרמאַלע פֿראַגעס: ניצט אַ קליינע, פעסטע סעט פון פֿראַגעס אַרום צוטריט, דאַטן האַנדלינג, ווידערשטאַנד, אינצידענט האַנדלינג און קאָנטראַקטואַלע טערמינען, מיט טיפקייט געטריבן דורך ריזיקאָ שטאַפּל.
- ערוואַרטונגען פון באַווײַזן: דעפינירן וואָס "גוט" קוקט אויס פֿאַר יעדער קאַטעגאָריע (למשל, ISO 27001 סערטיפֿיקאַט, SOC 2 באַריכט, אָדער דאָקומענטירטע זיכערהייט מיטלען).
- באַשלוס כּללים: רעקאָרדירט ווי איר וועט אָננעמען, באַדינגט אָננעמען אָדער אָפּוואַרפן אַ סאַפּלייער, און ווי אויסנעמען ווערן אויפגעהויבן און באַשטעטיקט.
- לעבן-ציקל אנשויאונג: באַהאַנדלט אָנבאָרדינג, פּעריִאָדישע איבערבליק, גרויסע ענדערונגען און אָפבאָרדינג ווי טשעקפּוינטס אין איין קאָנטינויִערלעכן פּראָצעס, נישט ווי אָפּגעטיילטע געשעענישן.
די סטרוקטור העלפט אייך רעדן וועגן סאַפּלייער אויפזיכט אין אַ פּשוטער שפּראַך מיט פארקויף, סערוויס און פירערשאַפט טימז, בשעת עס איז נאָך אין איינקלאַנג מיט אַנעקס A 5.19–5.22 און ISO 27001'ס ברייטערע ערוואַרטונגען פֿאַר אַן אינפֿאָרמאַציע זיכערהייט פאַרוואַלטונג סיסטעם (ISMS).
ווי אזוי טוישט א דעפינירטער צוגאנג דעם וועג ווי אייער MSP ווערט באטראכט?
ווען מען גייט אריבער פון אינפארמעלע טשעקס צו א דאקומענטירטן, קאנסיסטענטן פראצעס, פאסירן צוויי זאכן געווענליך גאנץ שנעל:
- אוידיטאָרן באַקומען בטחון: ווײַל זיי זען איבערחזרנדיקע קריטעריעס, באַשלוסן און באַווײַזן אַנשטאָט אַ זאַמלונג פון דאָקומענטן אָן קיין קלאָרן פֿאָדעם צווישן זיי.
- קאַסטאַמערז באַהאַנדלען אײַך ווי אַ זיכערער פּאָר הענט: ווייל איר קענט ווייזן ווי איר קלייבט, מאָניטאָרירט און-אויב נייטיק-פאַרבייט קריטישע סאַפּלייערז אויף אַ וועג וואָס באַשיצט זייערע באַדינונגען און דאַטן.
אויב איר כאַפּט דאָס אויף אין אַ פּלאַטפאָרמע ווי ISMS.online, פֿאַרשטאַרקט איר דעם רושם דורך פֿאַרבינדן סאַפּלייערז גלייך צו ריזיקעס, קאָנטראָלס, אינצידענטן און ענדערונגען, אַזוי אַז די געשיכטע וואָס איר דערציילט קויפער און אָדיטאָרס איז געשטיצט דורך אַ לעבעדיק סיסטעם, נישט אַ סלייד דעק.
ווי קען אַן MSP בויען אַ ריזיקאָ-טיערינג מאָדעל וואָס טאַקע טרייבט סאַפּלייער דיו דילידזשענס מי?
א נוצלעכער ריזיקאָ-שטאַפּל מאָדעל לאָזט אייך באַשליסן, שנעל און פאַרטיידיקבאר, וויפיל מי יעדער סאַפּלייער פֿאַרדינט. אַנשטאָט צו טענה'ן פאַל נאָך פאַל, ניצט איר אַ קורצע סעט פון געשעפט-פרײַנדלעכע פֿראַגעס צו שטעלן סאַפּלייער אין שטאַפּלען, און דערנאָך אַפּליקירט איר פֿאָר-דעפינירטע דיו דילידזשענס טריט פּער שטאַפּל.
וואָסער פּשוטער טיערינג מאָדעל אַרבעט גוט אין MSP סביבות?
פילע MSP'ס באַקומען גוטע רעזולטאַטן פון אַ דריי-שטאַפּל מאָדעל באַזירט אויף פֿראַגעס וואָס ניט-ספּעציאַליסטן קענען ענטפֿערן:
- שטאַפּל 1 – קריטישע סאַפּלייערז: סערוויסעס וואו אַ דורכפאַל קען פאַראורזאַכן אויספאַלן פון קייפל קאַסטאַמערז, ערנסטע דאַטן אינצידענטן אָדער רעגולאַטאָרישע פּראָבלעמען (למשל, וואָלקן פּלאַטפאָרמעס וואָס האָסטינג פּראָדוקציע, קאָר RMM מכשירים, סטראַטעגישע זיכערהייט פּאַרטנערס).
- שטאַפּל 2 – וויכטיקע סאַפּלייערז: סערוויסעס וואָס שטיצן שליסל אָפּעראַציעס אָדער האַלטן לימיטירטע קונה דאַטן אָבער זענען גרינגער צו פאַרבייַטן אָדער אַרבעטן אַרום (למשל, טיקעטינג מכשירים, צווייטיק מאָניטאָרינג פּלאַטפאָרמעס).
- שטאַפּל 3 – נידעריק-אימפּאַקט סאַפּלייערז: סערוויסעס אָן קיין באַדייַטנדיקע קונה דאַטן און אָן פֿאַרהעכערטן צוטריט, וואו דורכפאַל איז אומבאַקוועם אָבער נישט געשעפט-קריטיש.
פֿאַר יעדן סאַפּלייער, ענטפֿערט איר אַ פּאָר סטרוקטורירטע פֿראַגעס וועגן דאַטן סענסיטיוויטי, צוטריט מדרגה, געשעפֿט השפּעה און רעגולאַטאָרישע ויסשטעל, און דערנאָך באַשטימט אַ שטאַפּל. פֿון דאָרט קענט איר סטאַנדאַרדיזירן רעקווירעמענץ - למשל, שטאַפּל 1 מוז צושטעלן קראַנט סערטיפיקאַציע אָדער עקוויוואַלענט פארזיכערונג, יערלעך באריכטן און פֿאָרמעלע אינצידענט מעלדונג קלאָזולעס , בשעת שטאַפּל 3 קען נאָר דאַרפֿן גרונט קאָנטראָלס און אַן איין-מאָל באריכטן.
ווי אזוי פארבעסערט דאס איינפלוסן פון שטאפלען אין אייער ISMS רעאלע באשלוסן?
ווען שטאפלען און זייער באַגרינדונג לעבן אין אייער ISMS, הייבן זיי אָן צו פֿאָרמען באַשלוסן נאַטירלעך:
- פּראָקורמענט קען זען ווען זיי גייען באַלד אַרייננעמען אַ טיער 1 סאַפּלייער און עס אויטאָמאַטיש דורכפֿירן די ריכטיקע קאָנטראָלס.
- זיכערהייט און סערוויס טימז האָבן אַ געמיינזאַמע שפּראַך פֿאַר באַשליסן ווי טיף צו אויספאָרשן אַ פּראָבלעם פֿאַרבונדן מיט אַ באַזונדערן פאַרקויפער.
- די פירערשאַפט קען זען, אויף איין בליק, וויפיל פון אייער סערוויס סטאַק ליגט אויף טיער 1 סאַפּלייערז און וואו קאָנצענטראַציע ריזיקע קען עקזיסטירן.
ניצן ISMS.online צו האָסטן אַ לעבעדיק סאַפּלייער רעגיסטער, טיערינג לאָגיק און באַווייַז שפּור מיינט אַז איר קענט סטרויערן קלאַסיפיקאַציעס ווי ראָלעס טוישן זיך, בשעת איר נאָך ווייזט אָדיטאָרס און קאַסטאַמערז פארוואס יעדער סאַפּלייער ווערט באהאנדלט ווי ער ווערט.
ווי זאָל אַן MSP פּריאָריטיזירן סאַפּלייער ריסקס וואָס קענען ווירקן אויף קייפל קאַסטאַמערז אין דער זעלביקער צייט?
אייערע העכסט-פּריאָריטעט סאַפּלייער ריסקס זענען די וואָס קענען קאַסקאַדירן אַריבער קונה סביבות, ניט נאָר פאַרשאַפן אפגעזונדערטע פּראָבלעמען. אַן עפעקטיוו טשעקליסט קאָנצענטרירט זיך אויף די וועגן ווי אַן איינציקער סאַפּלייער דורכפאַל קען אונטערמינירן אַוויילאַביליטי, קאַנפאַדענשיאַלאַטי אָדער קאַנפאָרמאַטי פֿאַר עטלעכע קליענטן אין דער זעלביקער צייט.
וועלכע ריזיקע געביטן פארדינען די מערסטע אויפמערקזאמקייט פון MSP'ס?
פיר דאָמעינען דאָמינירן געוויינטלעך אין געראטן סערוויס סביבות:
- געטיילטע אינפראַסטרוקטור און פּלאַטפאָרמעס: קלאָוד האָסטינג, RMM, אויטענטיפיקאַציע און מאָניטאָרינג מכשירים וואָס שטיצן פילע קונה סביבות סיימאַלטייניאַסלי.
- פריוויליגירטע צוטריט וועגן: יעדער סאַפּלייער חשבון אָדער אינטעגראַציע וואָס קען מאָדיפיצירן קאָנפיגוראַציעס, דעפּלויען קאָד אָדער צוטריט דאַטן אַריבער טענאַנץ.
- רעגולירטע דאַטן האַנדלינג: פארקויפער וואָס פּראָצעסירן פּערזענלעכע אָדער אַנדערע רעגולירטע דאַטן אין אייער נאָמען, ספּעציעל ווען גרענעץ-איבערשרייטנדיקע טראַנספערס אָדער סוב-פּראַסעסערז זענען ינוואַלווד.
- אָפּעראַציאָנעלע ווידערשטאַנד און אינצידענט נאַטור: ווי אַ סאַפּלייער קאָמוניקירט, אויספאָרשט און ערהוילט זיך פון אינצידענטן, און ווי דאָס שטימט מיט אייערע אייגענע פאַרפליכטונגען און שפּיל־ביכער.
דורך וואָגן פֿראַגעס און באַווייַזן אַרום די געביטן, פֿאַרמייַדט איר צו פֿאַרשווענדן ענערגיע אויף ריזיקעס אין די עדזש-קעיס, בשעת איר ווײַזט נאָך ISO 27001 אוידיטאָרן און פֿירמע קויפֿער אַז איר האָט דורכגעטראַכט די רעאַליסטישע דורכפֿאַל מאָדעס אין אײַער צושטעל קייט.
ווי אזוי קענט איר איבערזעצן דעם ריזיקע פאקוס אין קלארע מעסעדזשעס פאר קאסטומערס און אוידיטארן?
אַמאָל איר ווייסט וועלכע סאַפּלייער ריזיקעס זענען די מערסטע וויכטיק, קענט איר דערקלערן אייער שטעלונג אויף אַ וועג וואָס בויט בטחון אַנשטאָט דייַגעס:
- פֿאַר אַ האָסטינג פּראַוויידער, קענט איר ווייַזן ווי זייער ריזיליאַנס, אַקסעס קאָנטראָלס און סערטיפיקאַציעס שטיצן די SLAs וואָס איר גיט קאַסטאַמערז.
- פֿאַר אַ מאָניטאָרינג פּאַרטנער, קענט איר ווייַזן ווי געמיינזאַמע אינצידענט פּלענער, לאָגינג און אָנזאָג טרעשאָולדז פּאַסן אין דיין קוילעלדיק ענטפער מאָדעל.
- פֿאַר דאַטן פּראַסעסערז, קענט איר באַשרײַבן ווי קאָנטראַקטן, טעכנישע מיטלען און השגחה קאָמבינירן זיך צו באַשיצן פּערזענלעכע דאַטן.
כאַפּן די פונקטן אין אַן ISMS, און קענען גיין פון אַ ספּעציפֿישן סאַפּלייער ריזיקירן צו די אונטערלייגנדיקע באַווייַזן אין אַ פּאָר קליקן, העלפֿט אײַך שנעל ענטפֿערן שווערע פֿראַגעס. דאָס איז אָפֿט דער חילוק צווישן אַ פֿאָרזיכטיקן קויפֿער און איינעם וואָס זעט אײַער MSP ווי אַ זיכערן לאַנג-טערמין פּאַרטנער.
ווי קען אַן MSP מאַכן ISO 27001 אַנעקס A 5.19–5.22 פילן פּראַקטיש אַנשטאָט טעאָרעטיש?
אַנעקס א 5.19–5.22 קען זיך פֿילן אַבסטראַקט ביז איר איבערזעצט יעדן קאָנטראָל אין ספּעציפֿישע אַקציעס, רעקאָרדס און פֿאַראַנטוואָרטלעכקייטן. די ציל איז נישט צו איבערשרייבן דעם סטאַנדאַרט, נאָר צו באַשליסן פּונקט ווי אייער אָרגאַניזאַציע וועט באַווייַזן אַז יעדע פֿאָדערונג איז דערפֿילט אין טעגלעכן סאַפּלייער פאַרוואַלטונג.
וואָס איז אַ פּראַקטישער וועג צו אָפּעראַציאָנאַליזירן יעדן אַנעקס A סאַפּלייער קאָנטראָל?
א פשוטער מוסטער איז צו פֿאַרבינדן יעדן קאָנטראָל צו דריי עלעמענטן: פּראָצעס שריט, אינפֿאָרמאַציע וואָס איז געכאפט געוואָרן און באַווייַז טיפּ :
- A.5.19 – אינפֿאָרמאַציע זיכערהייט אין סאַפּלייער באַציִונגען:
- *פּראָצעס שריט:* באַשליסן וועלכע סאַפּלייערז זענען אין דעם פאַרנעם און דאָקומענטירן באַזישע זיכערהייט ערוואַרטונגען.
- *אינפֿאָרמאַציע:* סאַפּלייער אינווענטאַר, ריזיקאָ שטאַפּלען, מינימום קריטעריאַ לויט שטאַפּל.
- *באווייז:* באשטעטיגטע סאַפּלייערז רשימה, ריזיקירן אַסעסמאַנט הערות, אויסנאַם רעקאָרדס.
- A.5.20 – אַדרעסירן אינפֿאָרמאַציע זיכערהייט אין סאַפּלייער אַגרימאַנץ:
- *פּראָצעס שריט:* זיכער מאַכן אַז קאָנטראַקטן אַנטהאַלטן דעפינירטע זיכערהייט, פּריוואַטקייט און אינצידענט האַנדלינג טערמינען איידער זיי גייען אין קראַפט.
- *אינפֿאָרמאַציע:* ראָלעס אונטער דאַטן שוץ געזעץ, אָנזאָג צייט-סקאַלעס, אָדיט/רעפּאָרטינג רעכט, SLA אַליינמאַנט.
- *באווייזן:* אונטערגעשריבענע קאנטראקטן, דאטן פראסעסינג אפמאכן, קאנטראקט איבערבליק טשעקליסטן.
- A.5.21 – פאַרוואַלטן אינפֿאָרמאַציע זיכערהייט אין די אינפֿאָרמאַציע טעכנאָלאָגיע צושטעל קייט:
- *פּראָצעס שריט:* פֿאַרשטיין ווי אייערע סאַפּלייערז פֿאַרלאָזן זיך אויף זייערע אייגענע סאַפּלייערז און וואוהין דאַטן פֿליסט.
- *אינפֿאָרמאַציע:* סוב-פּראַסעסערז, האָסטינג לאָקאַציעס, קריטישע אָפּהענגיקייט קייטן.
- *באווייזן:* דאקומענטאציע פון סופלייערס, ארכיטעקטור דיאגראמען, ליסטעס פון סוב-פראסעסארס.
- A.5.22 – מאָניטאָרינג, איבערבליק און ענדערונג פאַרוואַלטונג פון סאַפּלייער באַדינונגען:
- *פּראָצעס שריט:* איבערקוקן פאָרשטעלונג און ריזיקע רעגולער און ווען עס איז דא א באדייטנדיקע ענדערונג.
- *אינפֿאָרמאַציע:* איבערקוקן רעזולטאַטן, אויפֿגעהויבענע פּראָבלעמען, געמאַכטע באַשלוסן און אונטערגענומעןע אַקציעס.
- *באווייזן:* איבערבליק נאטיצן, אפדעיטירטע ריזיקע אפשאצונגען, ענדערונג רעקארדס.
אויב איר קאָנפיגורירט דאָס אין אַן ISMS ווי ISMS.online, קענט איר צוטשעפּען טאַסקס, אייגנטימער און אָפּשאַצונג דאַטעס צו יעדן קאָנטראָל אַזוי אַז עס ווערט אַ טייל פון רוטין אָפּעראַציעס אַנשטאָט אַן איינמאָל-אַ-יאָר כאַאָס.
ווי אזוי העלפט דער צוגאַנג ווען אייער MSP לייגט צו נייע סטאַנדאַרדן אדער ראַיאָנען?
דורך באַגרינדן יעדן אַנעקס א קאָנטראָל אין קלאָרע פּראָצעס טריט און רעקאָרדס, שאַפט איר אַ סטרוקטור וואָס גייט גוט:
- ווען איר עקספּאַנדירט אין ראַיאָנען מיט עקסטרע פּריוואַטקייט געזעצן, קענט איר צולייגן נייע טשעקס און באַווייַז טייפּס אָן איבערפּלאַנירן אייער גאַנצן צוגאַנג.
- ווען איר נעמט אן נאָך פריימווערקס ווי SOC 2, קענט איר מאַפּירן זייערע סאַפּלייער-פֿאַרבונדענע ערוואַרטונגען אויף די זעלבע פּראָצעסן און רעגיסטערס.
- ווען איר באַקומט נאָך אַן MSP, האָט איר אַ גרייטן פּלאַן פֿאַר אָפּשאַצן און אינטעגרירן זייער סאַפּלייער באַזע.
אזא סארט קאנטינעויטעט איז אטראקטיוו פאר קויפער וואס זארגן זיך וועגן צוטיילטע אדער אימפראוויזירטע גאווערנענס. עס מאכט אויך דאס לעבן גרינגער פאר אייערע אייגענע טימס, ווייל זיי קענען זען ווי נייע באדערפענישן פאסן זיך אריין אין א באקאנטן סופלייער מענעדזשמענט מוסטער.
אויף וואָסערע באַווײַזן זאָל אַן MSP זיך פֿאַרלאָזן ווען פֿאַרשידענע ראַמען (ISO 27001, SOC 2, GDPR) זענען אַלע אָנווענדלעך?
ווען עטלעכע פריימווערקס זענען גילטיק אין איין מאל, איז די ריכטיגע באווייז מאַטעריאַל וואָס באַפרידיקט די שטרענגסטע ערוואַרטונגען און איז נאָך פּראַקטיש צו האַלטן. איר ווילט ויסמיידן צו צוזאַמענשטעלן באַזונדערע פּאַקעטן פֿאַר יעדן סטאַנדאַרט, אָבער איר דאַרפֿט אויך ויסמיידן זיך צו פֿאַרלאָזן אויף אַלגעמיינע סטייטמענטס וואָס וועלן נישט אויסהאַלטן די פֿראַגעס פֿון אַ רעגולאַטאָר אָדער אַודיטאָר.
ווי קען מען סטרוקטורירן א קראָס-פֿרэйמווערק באַווײַז פּאַק פֿאַר העכער-ריזיקירטע סאַפּלייערז?
א ווידער-ניצלעכע באווייז-פאקעט פאר קריטישע סופלייערס שליסט אפט איין:
- קערן פארזיכערונג אַרטיפאַקץ: איצטיקע ISO 27001 סערטיפיקאט, SOC 2 באריכט אדער ענלעכע, מיט א קלארן פארנעם וואס אריינרעכענט די סערוויסעס און לאקאציעס וואס איר ניצט.
- דאַטן שוץ דאָקומענטאַציע: דאַטן פּראַסעסינג אַגרימאַנץ, רעקאָרדס פון סוב-פּראַסעסערז, אַריבערפירן מעקאַניזאַמז און אַלע באַטייַטיק פּריוואַטקייט נאָוטאַסאַז אָדער TOMs (טעכנישע און אָרגאַניזאַציאָנעלע מיטלען).
- אפעראציאנעלע ווידערשטאנד אינפארמאציע: סאַמעריז פון געשעפט קאָנטינויִטעט און קאַטאַסטראָפע אָפּזוך פּלענער, RTO/RPO צילן און לעצטע טעסט רעזולטאַטן.
- זיכערהייט אָפּעראַציעס מאַטעריאַל: הויך-לעוועל באַשרייַבונגען פון מאָניטאָרינג, אינצידענט דעטעקשאַן און עסאַקאַלאַציע, פּלוס בייַשפּיל אָנזאָג טעמפּלאַטעס אָדער פּלייבוק אַוטליינז.
- אויסנעמען און לעכער: דאקומענטירטע געביטן וואו קאַווערידזש איז טיילווייז אָדער ניטאָ, מיט אייערע אייגענע קאָמפּענסירנדיקע קאָנטראָלס אָדער ריזיקאָ באַהאַנדלונגען רעקאָרדירט.
דורך דעם צו דיזיינען אלס א געמיינזאמען מאדעל, קענט איר צופאסן די פארלאנגטע טיפקייט לויט שטאפל בשעת איר נאך אלץ קאנסיסטענט אפשאצן סופלייערס איבער אלע פריימווערקס. למשל, GDPR קען ברענגען טיפערע פראגעס וועגן דאטן האנדלונג, בשעת SOC 2 קען אונטערשטרייכן קאנטראל דיזיין און אפעראציע; דער פעקל ווערט דער געטיילטער קאנטעינער פאר ביידע.
ווי קען ISMS מכשירים העלפֿן פֿאַרמייַדן דופּליקאַציע און פֿאַרפעלטע גאַפּס?
אויפהאלטן אזא סארט באווייזן אין א גענערישן פייל סטאר ווערט שנעל שווער צו קאנטראלירן. אן ISMS פלאטפארמע ווי ISMS.online קען:
- פֿאַרבינדט יעדן סאַפּלייער צו די ריזיקעס, קאָנטראָלן און רעקווייערמענץ וואָס ער שטיצט אַריבער ISO 27001, SOC 2, GDPR און אַנדערע סטאַנדאַרדן.
- פֿאָלגט די עקספּיראַציע דאַטעס פֿאַר סערטיפֿיקאַטן און באַריכטן, און אַקטיוויירט דערמאָנונגען איידער זיי עקספּירירן.
- האַלט אָן אויסנאַם-באַשלוסן און באַהאַנדלונגען לעבן דעם פֿאַרבונדענעם סאַפּלייער, אַזוי איר קענט ווײַזן ווי איר האָט פֿאַרמינדערט גאַפּס איבער צײַט.
דאָס ניט נאָר רעדוצירט די לאַסט פון אויפהאַלטן קייפל סטאַנדאַרדן, עס גיט אײַך אויך אַ שטאַרקערע, מער שפּורבאַרע געשיכטע ווען אַ קונה אָדער אַודיטאָר וויל זען ווי איר בלייבט אין קאָנטראָל פון אײַערע אַפּסטרים אָפּהענגיקייטן.
ווי קען אַן MSP אריבערגיין פון איין-מאליקער דיו דילידזשענס צו אן עכט קאנטינעווערליכער סאַפּלייער אויפזיכט מאָדעל?
דער איבערגאַנג צו קאָנטינויִערלעכער אויפזיכט פּאַסירט ווען סאַפּלייער ריזיקע, באַווײַזן, אינצידענטן און ענדערונגען לעבן אין איין אָרט און ווערן איבערגעקוקט לויט אַ פּלאַן וואָס פּאַסט צו זייער השפּעה. מען גייט פֿון "מיר האָבן זיי אָפּגעקוקט איין מאָל ווען מיר האָבן אונטערגעשריבן דעם קאָנטראַקט" צו "מיר ווייסן ווי זיי טוען זיך איצט, און מיר האָבן אַ פּלאַן אויב דאָס ענדערט זיך".
וואָס זענען די שליסל ינגרידיאַנץ פון אַ סאַסטיינאַבאַל קאַנטיניואַס סאַפּלייער השגחה צוגאַנג?
אין פּראַקטיק, טוען רובֿ MSP'ס וואָס האָבן הצלחה מיט קאָנטינויִערלעכער השגחה פֿיר זאַכן:
- פֿאַרבינדן באריכטן צו ריזיקאָ לעוועלס: הויך-ריזיקירטע סאַפּלייערס באַקומען מער אָפטע, סטרוקטורירטע איבערבליקן; נידעריק-ריזיקירטע ווערן ווייניקער אָפט איבערגעקוקט אָדער נאָר ביי ענדערונגען.
- דעפינירן קלאָרע טריגערס: מסכים זיין וועלכע געשעענישן צווינגען א איבערבליק - ערנסטע אינצידענטן, מאטעריעלע ענדערונגען אין האוסטינג אדער אייגנטומערשאפט, נייע רעגולאציעס, אדער גרויסע פארשייבונגען אין סערוויס פארנעם.
- אינטעגרירן מיט עקזיסטירנדיקע וואָרקפלאָוז: בויען אריין סאַפּלייער טשעקס אין ענדערונג פאַרוואַלטונג, אינצידענט פאַרוואַלטונג און פּראָיעקט איניציאַציע אַזוי אַז זיי פּאַסירן ווי אַ טייל פון נאָרמאַלער אַרבעט.
- האַלט אַ לעבעדיק בילד: פירן איין רעגיסטער וואס ווייזט פאר יעדן סאַפּלייער: שטאַפּל, שליסל קאָנטאַקטן, לעצטע איבערבליק דאַטע, ווייַטער איבערבליק דאַטע, קראַנט באַווייַזן און אָפן אַקציעס.
די צוגאַנג קען אָנהייבן פּשוט אָבער ברענגט אַן איבערגעטריבענעם ווערט ווען עס ווערט איינגעוואָרצלט אין אייערע ISMS. טימז הערן אויף צו פֿאַרלאָזן זיך אויף זכּרון אָדער העלדישע מי פֿאַר אָדיטס און באַהאַנדלען אַנשטאָט דעם סאַפּלייער פאַרוואַלטונג ווי אַ נאָרמאַלע אָפּעראַציאָנעלע דיסציפּלין.
ווי אזוי איבערזעצט זיך קאנטינעווירלעכע אויפזיכט אין בעסערע ווידערשטאנדסקראפט און קאמערציעלע רעזולטאטן?
מיט אַ קאָנטינויִערלעכן מאָדעל, זענט איר מער מסתּמא צו באַמערקן און האַנדלען אויף ענדערונגען איידער זיי שאַטן אײַך אָדער אײַערע קאַסטאַמערז:
- אויב אַ קריטישער סאַפּלייער מעלדט אַ נייעם סוב-פּראַסעסאָר, קענט איר אָפּשאַצן די פּריוואַטקייט-איינפלוס און רעדן מיט קאַסטאַמערז פּראָאַקטיוו.
- אויב אַ פּאַרטנער ליידט פֿון אַן אינצידענט, קענט איר שנעל זען וועלכע סערוויסעס און קאַסטאַמערז קענען זיין אַפעקטירט, און רעאַגירן אויף אַ קאָאָרדינירטן וועג.
- אויב אַ שליסל סערטיפיקאַציע פאַרפעלט אָדער דער פאַרנעם ענדערט זיך, קענט איר באַשליסן צי צו שטופּן דעם סאַפּלייער, אַדזשאַסטירן אייערע אייגענע קאָנטראָלן אָדער באַטראַכטן אַלטערנאַטיוון.
קענען ווייזן דעם לעוועל פון קאנטראל און פארזיכטיגקייט גיט קאסטומערס און אוידיטארן באמערקבאַרע סיבות צו צוטרויען אייער MSP מיט קאמפליצירטע, לאנג-טערמין אויפגאבעס. אויב איר ווילט גיין אין יענער ריכטונג אן איבערוועלטיגן אייער מאַנשאַפֿט, איז די נוצן פון ISMS.online צו צענטראליזירן סאַפּלייער דאַטן, וואָרקפלאָוז און באַווייַזן אָפט איינער פון די מערסט עפעקטיוו ערשטע טריט. עס העלפט אייך זיך אויפפירן ווי דער ווידערשטאַנדספעיִקער, פאָרויסקוקנדיקער פּראַוויידער וואָס איר ווילט אַז אייער אָרגאַניזאַציע זאָל געזען ווערן ווי - אָן וואַרטן אויף דער ווייַטער אוידיט צו פאָרסירן דעם פּראָבלעם.
