การวางแผนแบบสอบถามการประเมินความปลอดภัยของผู้ขายของคุณ [ฉบับปี 2023]

การเป็นหุ้นส่วนทางธุรกิจต้องการความไว้วางใจ แต่การรู้ว่าผู้ขายของคุณสมควรได้รับความไว้วางใจนั้นเป็นเรื่องยาก ด้วยการเพิ่มขึ้นของเทคโนโลยีสารสนเทศวิธีการที่ความไว้วางใจสามารถถูกทําลายได้ทั้งโดยเจตนาหรือไม่ตั้งใจได้ทวีคูณและซับซ้อนมากขึ้น

แบบสอบถามการประเมินความปลอดภัยของผู้ขายเป็นวิธีหนึ่งในการตรวจสอบว่าผู้ให้บริการปฏิบัติตามแนวทางปฏิบัติด้านความปลอดภัยของข้อมูลที่เหมาะสม เพื่อให้ธุรกิจของคุณสามารถชั่งน้ําหนักความเสี่ยงในการมอบความไว้วางใจให้กับข้อมูลของคุณได้

บทความนี้สรุปคําแนะนําที่เป็นประโยชน์ในการสร้างแบบสอบถามการประเมินผู้ขายอย่างละเอียดซึ่งเป็นส่วนหนึ่งของโปรแกรมความปลอดภัยของคุณ แบบสอบถามด้านความปลอดภัยนั้นน่ารําคาญในการจัดการ การวางแผนที่ดีเป็นสิ่งสําคัญเพื่อให้แน่ใจว่าคุณถามคําถามที่ถูกต้อง และในลักษณะที่ให้ข้อมูลเชิงลึกที่ดีที่สุดจากโปรแกรมการจัดการความเสี่ยงของผู้ขายของคุณ

1. รู้จักธุรกิจของคุณ

ประเภทของข้อมูลที่ธุรกิจของคุณสร้างขึ้นและประเภทของบริการที่ใช้เป็นข้อพิจารณาหลักในการลดความเสี่ยงของบุคคลที่สาม UpGuard ได้ค้นพบการละเมิดของผู้ขายบุคคลที่สามที่มีข้อมูลลูกค้าที่สามารถระบุตัวตนได้ โดยเฉพาะรายละเอียดบัตรเครดิตและ SSN สามารถใช้โดยผู้ประสงค์ร้ายในการโจรกรรมข้อมูลประจําตัวและการฉ้อโกง การละเมิดที่มีเวชระเบียนมีค่ามากกว่าบัตรเครดิตบนเว็บมืด การละเมิดที่มีข้อมูลทางธุรกิจที่เป็นกรรมสิทธิ์ เช่น การเงิน พิมพ์เขียว รหัส และเอกสารกลยุทธ์/การส่งข้อความทําให้คู่แข่งได้เปรียบเมื่อถูกเปิดเผย และรายละเอียดการใช้งานและข้อมูลทางจิตวิทยาอื่นๆ สามารถช่วยให้ผู้โจมตีกําหนดเป้าหมายผู้คนโดยการให้ข้อมูลสําหรับความพยายามฟิชชิ่งที่มุ่งเน้นมากขึ้น

ตัวอย่างเช่น หากธุรกิจของคุณใช้ผลิตภัณฑ์ SaaS (Software-As-A-Service) บนคลาวด์ การทําความเข้าใจความปลอดภัยของข้อมูลจะเป็นหนึ่งในข้อกังวลอันดับต้น ๆ ของคุณ หากโซลูชันไอทีของคุณใช้ในองค์กรเป็นหลัก โดยที่ที่เก็บข้อมูลอยู่ภายในศูนย์ข้อมูลที่มีการจัดการ คุณอาจต้องการถามคําถามเพิ่มเติมเกี่ยวกับการทดสอบความปลอดภัยในวงจรการพัฒนาซอฟต์แวร์เพื่อทําความเข้าใจความเป็นไปได้ของช่องโหว่

จํานวนความสัมพันธ์กับผู้ขายที่ธุรกิจของคุณมีและความสําคัญของความสัมพันธ์เหล่านั้นก็ควรค่าแก่การชี้แจงเช่นกัน บางอุตสาหกรรมและบริษัทมีความแข็งแกร่งในการบูรณาการในแนวดิ่ง และความสัมพันธ์กับผู้ขายอาจมีความเสี่ยงน้อยกว่า ในกรณีอื่นๆ ผู้ขายเป็นส่วนหนึ่งของกระบวนการทางธุรกิจหลักและสามารถเปิดเผยทรัพย์สินที่สําคัญที่สุดของคุณได้อย่างง่ายดาย

คําถามสําคัญ

1. ธุรกิจของคุณสร้างข้อมูลประเภทใดบ้าง และเก็บไว้ที่ใด
2. คุณมีผู้ขายกี่ราย?
3. อะไรคือความสําคัญของความสัมพันธ์กับผู้ขายของคุณ?

เรียนรู้วิธีเลือกซอฟต์แวร์แบบสอบถามความปลอดภัยอัตโนมัติ >

2. ชี้แจงเป้าหมายของคุณ

เช่นเดียวกับทุกโครงการการสร้างแบบสอบถามการประเมินความเสี่ยงของผู้ขายที่ประสบความสําเร็จเริ่มต้นด้วยการกําหนดเป้าหมายที่ชัดเจน สําหรับองค์กรที่มีวุฒิภาวะน้อย การจัดทําแบบสอบถามอาจเป็นเป้าหมาย สําหรับองค์กรที่เติบโตเต็มที่คุณอาจมีกระบวนการอยู่แล้ว แต่จําเป็นต้องทําให้มีประสิทธิภาพมากขึ้น ขอบเขตที่ใหญ่ขึ้นสําหรับแบบสอบถามของคุณต้องสมดุลกับค่าใช้จ่ายที่เพิ่มขึ้นในการบํารุงรักษาและบริหารจัดการ

สุดท้ายนี้ การพูดอย่างตรงไปตรงมาเกี่ยวกับสิ่งที่ขับเคลื่อนโปรแกรมความเสี่ยงของผู้ขายของคุณในท้ายที่สุดทําให้มั่นใจได้ว่าทุกคนมีความสําคัญสูงสุดเท่าเทียมกัน การละเมิดข้อมูลที่เลวร้ายที่สุดสําหรับธุรกิจของคุณจะเป็นอย่างไร คุณอาจต้องเผชิญกับบทลงโทษด้านกฎระเบียบอะไรบ้าง? ชีวิตมนุษย์อาจสูญหายจากการหยุดให้บริการได้หรือไม่? แม้ว่าเป้าหมายคือเพื่อให้ทุกอย่างทํางานได้อย่างสมบูรณ์แบบตลอดเวลา แต่การบรรลุความสอดคล้องในลําดับความสําคัญระดับบนสุดจะเป็นแนวทางที่สามารถหลีกเลี่ยงความขัดแย้งหรือความเข้าใจผิดเมื่อหารายละเอียดของคําถามที่จะถาม

คําถามสําคัญ

1. การละเมิดข้อมูลที่ไม่ดีสําหรับธุรกิจของคุณมีลักษณะอย่างไร
2. คุณต้องดําเนินการประเมินกี่ครั้งในแต่ละเดือน
3. ผลลัพธ์ที่ดีสําหรับโปรแกรมความเสี่ยงของผู้ขายมีลักษณะอย่างไร

3. ศิลปินที่ดียืม

เมื่อพูดถึงการประเมินความเสี่ยงของผู้ขาย ไม่จําเป็นต้องคิดค้นวงล้อใหม่ แม้ว่าจะไม่มีเหตุผลสําหรับการก้มตัว - ความเสี่ยงของบุคคลที่สามมีความสําคัญมากกว่าที่เคย - เราทําตัวเราเองและระบบนิเวศของลูกค้าของเราเป็นอันตรายเมื่อเราไม่ได้สร้างสิ่งที่เคยทํามาก่อน และเช่นเดียวกับที่มนุษย์แบ่งปัน 99% ของ DNA กับลิง ธุรกิจก็เหมือนกันมากกว่าที่แตกต่างกัน ข้อกังวลหลักเกี่ยวกับความเสี่ยงของผู้ขายส่วนใหญ่จะเหมือนกันสําหรับทุกคน - ผู้ขายปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยหรือไม่ใครคือผู้ขายพวกเขาใช้เทคโนโลยีใดและได้รับการอัปเดตหรือไม่ - ในขณะที่รายละเอียดเล็ก ๆ น้อย ๆ จะเปลี่ยนไปในแต่ละ บริษัท การทําความเข้าใจประเด็นหลักเหล่านี้จะทําให้คุณเข้าใจโดยทั่วไปว่าผู้ขายของคุณจัดการกับความเสี่ยงด้านความปลอดภัยอย่างไร

Google VSAQ

การเริ่มต้นโปรแกรมการจัดการความเสี่ยงของผู้ขายเป็นเรื่องง่าย แหล่งข้อมูลเช่น VSAQ (แบบสอบถามการประเมินความปลอดภัยของผู้ขาย) โดย Google นั้นยอดเยี่ยมมากที่จะเคลื่อนไหวได้อย่างรวดเร็ว VSAQ เปิดตัวครั้งแรกในปี 2016 ได้รับการออกแบบมาเพื่อช่วยให้บริษัทต่างๆ เข้าใจแนวทางปฏิบัติด้านความปลอดภัยของผู้ขายโดยเฉพาะ ครอบคลุมหลายด้าน รวมถึงการปกป้องข้อมูล การจัดการห่วงโซ่อุปทาน และนโยบายความปลอดภัยของข้อมูล VSAQ ได้รับการออกแบบมาเพื่อให้การประเมินความเสี่ยงง่ายขึ้นสําหรับผู้ขาย โดยมุ่งเน้นไปที่การปรับปรุงกระบวนการตรวจสอบความปลอดภัย

ISO 27001, HIPAA, PCI DSS

อีกด้านหนึ่งของสเปกตรัมความซับซ้อนคือมาตรฐานเช่น ISO 27001, HIPAA และ PCI DSS (อุตสาหกรรมบัตรชําระเงิน มาตรฐานอุตสาหกรรมที่ครอบคลุมและข้อกําหนดด้านกฎระเบียบประเภทนี้มีแนวโน้มที่จะส่งผลให้เกิดแบบสอบถามความปลอดภัยของผู้ขายที่มีรายละเอียดมาก แบบสอบถามที่สอดคล้องกับมาตรฐานเหล่านี้มักจะเจาะลึกแนวคิด ได้แก่ :

• การรักษาความปลอดภัยทางกายภาพ รวมถึงศูนย์ข้อมูลของผู้ขาย
• ความปลอดภัยของแอปพลิเคชัน โดยเฉพาะอย่างยิ่งที่การทดสอบการเจาะระบบของเว็บแอปพลิเคชัน
• ความปลอดภัยของเครือข่าย
• ความปลอดภัยของข้อมูล
• การจัดการเหตุการณ์ด้านความปลอดภัยและการตอบสนองต่อเหตุการณ์
• แนวทางปฏิบัติในการทดสอบความปลอดภัยในกระบวนการพัฒนาซอฟต์แวร์ของผู้จําหน่าย
• การฝึกอบรมการตระหนักด้านความปลอดภัยทั่วทั้งองค์กรของผู้ขาย
• การกู้คืนจากภัยพิบัติและการวางแผนความต่อเนื่องทางธุรกิจสําหรับผู้ขาย

UpGuard VendorRisk สร้างแบบสอบถามที่สอดคล้องกับ ISO 27001, HIPAA และ PCI DSS ได้อย่างง่ายดาย ลูกค้าหลายรายในบริการทางการเงิน การดูแลสุขภาพ และภาคส่วนอื่นๆ ที่ได้รับการควบคุมใช้ VendorRisk เพื่อตรวจสอบการควบคุมความปลอดภัยของผู้ขาย

ด้วยวัตถุประสงค์ระดับสูงสําหรับโปรแกรมและการพิจารณาลําดับความสําคัญ คุณจึงพร้อมที่จะเริ่มร่างแบบสอบถาม หากคุณเลือกเทมเพลตหรือมาตรฐานอุตสาหกรรมแบบสอบถามความปลอดภัยของของคุณจะถูกแบ่งออกเป็นหมวดหมู่ซึ่งช่วยในการจัดระเบียบคําถามอย่างมีเหตุผลและเพื่อให้แน่ใจว่าครอบคลุมครอบคลุมโดยหลีกเลี่ยงจุดบอดสําหรับความเสี่ยงด้านความปลอดภัย การทําความเข้าใจว่าพื้นที่ใดมีความสําคัญ และสิ่งที่คุณจําเป็นต้องรู้ในด้านเหล่านั้น สามารถช่วยสร้างแบบสอบถามที่ปรับให้เหมาะกับธุรกิจของคุณได้

คําถามสําคัญ

1. แบบสอบถามความปลอดภัยสําหรับธุรกิจที่คล้ายคลึงกันคุณสามารถหาได้ทางออนไลน์
2. แบบสอบถามความปลอดภัยมาตรฐานใดที่เสนอคําถามที่คุณสามารถใช้ได้
3. มีวิธีแก้ปัญหาที่สามารถช่วยคุณเริ่มต้นใช้งานความสามารถที่พร้อมใช้งานทันทีหรือไม่?
4. คุณจะรู้ได้อย่างไรว่าโปรแกรมรักษาความปลอดภัยของคุณไม่ทํางาน

4. บุคลากรและทรัพยากร

ข้อจํากัดประการหนึ่งที่ควรนําไปสู่การตัดสินใจขอบเขตและความจําเพาะของแบบสอบถามการประเมินความเสี่ยงของผู้ขายคือจํานวนคนที่จะอ่านและประมวลผลคําตอบ ในโลกที่สมบูรณ์แบบ คุณจะมีข้อมูลมากเท่าที่คุณจะจินตนาการได้ สําหรับพวกเราที่อาศัยอยู่ในโลกแห่งความเป็นจริงมีค่าใช้จ่ายด้านเวลาในการประมวลผลข้อมูล การจัดโครงสร้างข้อมูลให้เป็นคําตอบจริง/เท็จหรือตัวเลข - อะไรก็ตามที่สามารถประเมินปัจจัยเสี่ยงโดยทางโปรแกรม - สามารถช่วยทําให้ส่วนต่างๆ ของการบริโภคนั้นเป็นไปโดยอัตโนมัติ เพื่อให้บุคลากรใช้เวลาอ่านเฉพาะส่วนการตอบกลับฟรีที่ต้องตีความและตัดสิน

ด้วยเหตุนี้โปรแกรมความเสี่ยงของผู้ขายของคุณจะมีงบประมาณบางประเภทและจํานวนคนที่ทํางานอยู่ พวกเขาจะมีคําถามจํานวนคงที่ที่สามารถอ่านได้ในช่วงเวลาที่กําหนด คําถามของคุณควรได้รับการกําหนดเพื่อใช้ประโยชน์สูงสุดจากเวลานั้น เพื่อขจัดความเสี่ยงอย่างรวดเร็ว และทําความเข้าใจว่าผู้ขายตรงตามความต้องการของคุณหรือไม่

คําถามสําคัญ

1. มีกี่คนที่จะจัดการแบบสอบถามการประเมินความปลอดภัยของผู้จัดจําหน่าย
2. พวกเขาจะมีหน้าที่อะไรอีกบ้าง?
3. การประเมินจะเร็วขึ้นหรืออัตโนมัติได้อย่างไร

5. กระบวนการจัดการวงจรชีวิตเอกสาร

การแจกจ่ายแบบสอบถามเป็นเพียงส่วนหนึ่งของการจัดการ หลังจากส่งไปแล้ว ผู้รับอาจต้องการการแจ้งเตือนการติดตามผล ผู้รับแบบสอบถามของคุณอาจไม่ใช่ผู้ติดต่อด้านความปลอดภัยของผู้ขายที่เหมาะสม ซึ่งจะทําให้เกิดความล่าช้าเพิ่มเติมในการจัดการคําสั่งซื้อ หากมีการเบี่ยงเบนจากเกณฑ์การจัดการความเสี่ยงที่ยอมรับได้ หรือตัวเลือกทางเทคโนโลยีในส่วนของผู้ขายที่องค์กรของคุณไม่เคยกล่าวถึงมาก่อน คุณจะต้องดําเนินการตรวจสอบภายในเพื่อตัดสินใจว่าการตอบสนองนั้นยอมรับได้หรือไม่ หากอยู่นอกนโยบายความปลอดภัยของคุณ คุณจะต้องตรวจสอบผลลัพธ์กับผู้ขายและดูว่าพวกเขาสามารถแก้ไขปัญหาหรือแสดงให้เห็นว่าการควบคุมการชดเชยในพื้นที่อื่นๆ ช่วยลดความเสี่ยงที่อาจเกิดขึ้นได้หรือไม่

หลังจากตัดสินใจเกี่ยวกับการส่งผู้ขายที่ยอมรับได้แล้วเอกสารเหล่านั้นจะต้องถูกเก็บไว้ในโซลูชันที่เข้าถึงได้ง่ายและตรวจสอบได้เพื่อให้สามารถเรียกคืนได้ในกรณีที่มีการตรวจสอบภายในการเปลี่ยนแปลงนโยบายความปลอดภัยหรือการละเมิดกับผู้ขายรายนั้น พวกเขาจะต้องถูกกําหนดเวลาให้ส่งอีกครั้งในอนาคต สภาพแวดล้อมภัยคุกคามทางไซเบอร์เปลี่ยนไป ธุรกิจของคุณเปลี่ยนไป และแนวทางปฏิบัติด้านความปลอดภัยของผู้ขายก็เปลี่ยนไป การส่งแบบสอบถามการประเมินความเสี่ยงของผู้ขายซ้ําประจําปีให้ความมั่นใจว่าสิ่งเหล่านั้นยังคงสอดคล้องกัน

เมื่อมีการรวบรวมแบบสอบถามการประเมินเมื่อเวลาผ่านไป วิธีที่โปรไฟล์ความเสี่ยงด้านความปลอดภัยของผู้จัดจําหน่ายมีการเปลี่ยนแปลงสามารถอนุมานได้จากการเปลี่ยนแปลงระหว่างช่วงเวลา และสามารถแสดงให้เห็นว่าผู้ขายมีความยืดหยุ่นมากขึ้นหรือมีความเสี่ยงมากขึ้นเมื่อความสัมพันธ์ดําเนินไป

เรียนรู้วิธีปรับปรุงกระบวนการแบบสอบถามผู้ขาย>

คําถามสําคัญ

1. แบบสอบถามความปลอดภัยจะถูกแจกจ่ายให้กับผู้ขายบ่อยแค่ไหน
2. เมื่อใดที่จะต้องเข้าถึงแบบสอบถามความปลอดภัยเพื่อตรวจสอบ
3. ส่วนใดของกระบวนการนั้นที่สามารถทําให้เป็นอัตโนมัติได้?

6. ข้อจํากัดของการประเมินแบบสอบถามผู้ขาย

หากการประเมินผู้ขายฟังดูเหมือนงานจํานวนมากนั่นเป็นเพราะพวกเขาเป็นเช่นนั้น เป้าหมายของการย้ําสิ่งที่ทําให้แบบสอบถามที่ดีไม่ใช่เพื่อบอกคุณว่าคุณรู้อะไรอยู่แล้ว แต่เพื่อช่วยกําหนดกรณีทางธุรกิจเพื่อให้คุณดําเนินโปรแกรมความปลอดภัยของคุณ ส่วนหนึ่งคือการรู้ว่าอะไรอยู่นอกขอบเขต

อ่านคําแนะนําของเราเกี่ยวกับแบบสอบถามผู้ขายชั้นนํา

แบบสอบถามอาศัยคําตอบโดยสุจริตจากผู้ขายในการประเมินตนเอง เนื่องจากไม่มีการมองเห็นนโยบายความปลอดภัยภายในและแนวทางปฏิบัติในการบริหารความเสี่ยงของบริษัทอย่างอิสระ อย่างน้อยที่สุดแบบสอบถามการประเมินจะช่วยปกป้อง บริษัท หลักในกรณีที่เกิดเหตุการณ์โดยแสดงให้เห็นว่ามีการดําเนินการตรวจสอบสถานะและการประเมินความปลอดภัยของผู้ขายและดําเนินการภายใต้สมมติฐานที่ว่าผู้ขายมีการควบคุมบางอย่างเพื่อปกป้องข้อมูลและบริการ

ในวงกว้าง การรักษาแบบสอบถามอย่างสม่ําเสมอสําหรับผู้ขายจะกลายเป็นเรื่องยาก หลายบริษัทจะประเมินเฉพาะผู้ขายที่สําคัญที่สุดของตน โดยปล่อยให้อีกหลายร้อยรายไม่ทราบ การติดตามผู้ติดต่อด้านความปลอดภัยของผู้ขายและการต่ออายุแบบสอบถามการประเมินสามารถพิสูจน์ได้ว่าเป็นเรื่องที่ท้าทายแม้กระทั่งสําหรับผู้ขายกลุ่มเล็ก ๆ กระบวนการนี้มักจะต่อสู้กับงานทางธุรกิจโดยตรงมากขึ้นสําหรับทีมรักษาความปลอดภัยข้อมูลของคุณ และสามารถละเลยได้หากค่าใช้จ่ายในการบริหารจัดการมีมากกว่าความเสี่ยงที่รับรู้

โดยทั่วไปแล้วการประเมินแบบสอบถามจะถูกส่งเป็นประจําทุกปี แต่การเปลี่ยนแปลงความเสี่ยงด้านความปลอดภัยจะเกิดขึ้นในไม่กี่วินาที มีการเพิ่ม ลบ และอัปเดตเทคโนโลยี ช่องโหว่ถูกค้นพบในซอฟต์แวร์ที่ปลอดภัยก่อนหน้านี้ การกําหนดค่าและการควบคุมการเข้าถึงได้รับการแก้ไข - นี่คืองานประจําวันของแผนกไอที นี่คือเหตุผลที่แบบสอบถามควรมาพร้อมกับการจัดอันดับความปลอดภัยภายนอกที่เป็นอิสระซึ่งสามารถติดตามการเปลี่ยนแปลงที่สังเกตได้เมื่อเวลาผ่านไป

7. เรียนรู้เพิ่มเติม

แบบสอบถามความปลอดภัยของผู้ขายและการประเมินความเสี่ยงของผู้ขายค่อนข้างมากเมื่อคุณเริ่มเจาะลึกลงไปในรายละเอียด กระบวนการนี้เกี่ยวข้องกับการเขียนแบบสอบถามส่งไปยังผู้ขายอยู่จนกว่าจะเสร็จสมบูรณ์ทบทวนคําตอบการตัดสินใจว่าความเสี่ยงของผู้ขายเป็นที่ยอมรับได้หรือไม่และต่ออายุแบบสอบถามเป็นระยะ

ในคู่มือแบบสอบถามผู้ขาย เราจะมาดูวิธีปรับปรุงการประเมินความเสี่ยงและกระบวนการแบบสอบถามความปลอดภัย และสิ่งที่ UpGuard ทําเพื่อทําให้เป็นอัตโนมัติและจัดทําเอกสาร