Ders 5.43: Üçüncü taraf riski
Northwind'in verisinin ve erişiminin büyük kısmı tedarikçilerde durur: bir ödeme işlemcisi, bir destek platformu, bir ağ yüklenicisi. Onların zayıflıkları Northwind'in olaylarına dönüşür; NIS2 de ISO/IEC 27001 de tedarikçi riskinin yönetilmesini bekler. İş çoğunlukla dikkatli okumaktır: hangi tedarikçiler en önemli, incelemeleri güncel mi, bir ankette iddia ettikleri bağımsız denetim raporlarıyla örtüşüyor mu ve o rapor müşterinin ne yapması gerektiğini söylüyor. Laboratuvarda Northwind'in tedarikçilerini katmanlara ayırıyor ve PayFlow'un SOC 2 Type II raporunu anketine göre okuyorsun.
17 dk
Bu derste öğreneceklerin
- Tedarikçileri veri ve erişime göre katmanlara ayırmak
- Gecikmiş incelemeleri bulmak
- Anket yanıtlarını denetim kanıtıyla karşılaştırmak
- Bir SOC 2 Type II raporunun dönemini, görüşünü ve istisnalarını okumak
- Tamamlayıcı kullanıcı kuruluş denetimlerini belirlemek
Temel terimler
- Üçüncü taraf risk yönetimi (TPRM)
- Tedarikçilerden ve iş ortaklarından gelen riskleri belirlemek ve yönetmek.
- Katmanlama
- İnceleme derinliğini ve sıklığını belirlemek için tedarikçileri ne kadar zarar verebileceklerine göre gruplamak.
- SOC 2 Type II
- Bir hizmet kuruluşunun denetimleri hakkında bir dönem boyunca test edilmiş bağımsız denetçi raporu (AICPA).
- İstisna
- Denetçinin bir denetimin tanımlandığı gibi çalışmadığını bulduğu durum.
- Köprü mektubu
- Rapor döneminin sonu ile bugün arasındaki süreyi kapsayan tedarikçi beyanı.
- CUEC
- Tamamlayıcı kullanıcı kuruluş denetimleri: tedarikçinin denetimlerinin etkili olması için müşterinin yapması gerekenler.
← Sızmış parolalar, parola cümleleri ve parola yöneticileri · Tüm dersler · Birden çok ülkede bildirim →