تقييم مخاطر الأطراف الثالثة والموردين
موردوك يحتفظون ببياناتك، ويشغّلون عملياتك، ويحملون على عاتقهم استمرار خدمتك. الاستبيان المعبّأ يخبرك بما هم مستعدون لادّعائه. ونحن نخبرك بما يستطيعون إثباته بالأدلة.
نظرة عامة على الخدمة
تقييم الأطراف الثالثة هو الموضع الذي تنهار عنده معظم بيئات الضبط بصمت. المنشأة حاصلة على الشهادة، والسياسات محدّثة، والتدقيق الداخلي نظيف، ثم يفقد مزوّد خدمة الرواتب كل شيء بسبب خادم نقل ملفات لم تُثبَّت عليه التحديثات الأمنية.
تقيّم ZULTIV موردّيك بالطريقة نفسها التي يقيّمك بها المدقق: وفق معيار محدّد، واستناداً إلى الأدلة، مع ملاحظة مصنّفة الدرجة عن كل فجوة. وتخرج في النهاية عارفاً أي الموردين يطبّق فعلاً الضوابط التي يَعِد بها عقده، وأيّهم يحتاج إلى إضافة بنود معالجة عند التجديد، وأيّهم يمثّل خطراً ينبغي تصعيده الآن.
ما الذي يُقيَّم
- الحوكمة والمساءلة: من يتولى الأمن لدى المورّد، وهل يملك هذا الشخص صلاحية فعلية
- الشهادات والتقارير التصديقية: قراءة بيانات نطاق التطبيق قراءة صحيحة، لا مجرّد جمع لشعارات الشهادات
- التعامل مع البيانات: ما الذي يحتفظون به، وأين يوجد، ومن يستطيع الوصول إليه، وكم يبقى
- التحكم في الوصول: الالتحاق والنقل والمغادرة، والوصول المميّز، وموظفوهم العاملون عن بُعد
- الضوابط التقنية: وتيرة تثبيت التحديثات الأمنية، والتشفير أثناء النقل وفي حالة السكون، والتسجيل والمراقبة
- الاستجابة للحوادث، ومُهل الإبلاغ المنصوص عليها في العقد مقابل تلك الواردة في إجراءاتهم
- استمرارية الأعمال، وأهداف التعافي لديهم مقابل قدرتك على تحمّل انقطاع خدمتهم
- الأطراف الرابعة: مَن يعتمد عليه مورّدك، لأن مخاطر التركّز لديه صارت مخاطرك أنت
- الموقف التعاقدي: حقوق التدقيق، وملاحق الأمن، وشروط معالجة البيانات، وأحكام إنهاء التعاقد
نطاق التطبيق
يُتفق على نطاق التطبيق كتابةً قبل بدء أي عمل، لأن عبارة «قيّموا موردينا» تعني أحجام عمل شديدة الاختلاف بحسب الإجابة عن ثلاثة أسئلة: كم عددهم، وإلى أي عمق، وما حجم الأدلة التي يحق لك طلبها.
مراجعة الفئات
تصنيف مجتمع الموردين بالكامل بحسب الأهمية الحرجة ومدى انكشاف البيانات، ليقع الجهد حيث تقع المخاطر. وهي عادةً المهمة الأولى الصحيحة.
تقييم قياسي
مراجعة قائمة على الأدلة لمورّد محدّد وفق معيار متفق عليه، مع سجل ملاحظات مصنّفة الدرجة وموقف واضح من المعالجة.
تقييم معمّق
للموردين الحرجين: مقابلات، وتتبّع مسار الضوابط، وأخذ عيّنات، وحيثما يسمح عقدك، مراجعة ميدانية أو على الأنظمة الحيّة.
المنهجية
01: التصنيف
نحصر الموردين الداخلين في النطاق ونرتّبهم في فئات بحسب حساسية البيانات، والأهمية الحرجة للأعمال، وإمكانية الاستبدال. فليس كل مورّد يستحق القدر نفسه من التدقيق.
02: تحديد المعيار
نتفق على ما تُقاس به كل فئة: مجموعة ضوابطك أنت، أو الملحق A من ISO/IEC 27001، أو NIST CSF، أو توقعات جهة تنظيمية. يُكتب سقف المتطلبات أولاً.
03: جمع الأدلة
استبيان، ثم تحقّق: الشهادات وبيانات نطاق تطبيقها، وتقارير SOC 2 والاستثناءات الواردة فيها، والسياسات، والتذاكر، ومستخرجات الإعدادات، والمقابلات.
04: اختبار الادعاءات
حيثما يُدّعى وجود ضابط، نأخذ عيّنة منه. واتفاقية مستوى خدمة معلنة بتثبيت التحديثات خلال 30 يوماً تُراجَع مقابل سجلات التحديث الفعلية، ولا تُقبل لمجرد أن الخانة قد أُشِّر عليها.
05: التصنيف والتقرير
تُكتب كل فجوة مع فصل المتطلب عن الدليل عن أوجه القصور، ثم تُصنَّف بحسب المخاطر المتبقية عليك أنت، لا بحسب مدى إحراج إثارتها.
06: المعالجة وإعادة التحقق
تحصل على موقف معالجة لكل مورّد: القبول، أو التصحيح بحلول تاريخ محدّد، أو إضافة بند تعاقدي عند التجديد، أو الاستبدال. ونعيد التحقق متى كنت جاهزاً.
المخرجات الرئيسية
سجل مخاطر الموردين
كل مورّد جرى تقييمه، مع فئته ومعياره وتصنيف المخاطر المتبقية والمسؤول عنه: وثيقة حيّة، لا ملف PDF لمرة واحدة.
تقرير تقييم لكل مورّد
نطاق التطبيق، والمنهج، والأدلة التي فُحصت، وكل ملاحظة مصنّفة الدرجة، بصيغة يمكنك إرسالها إلى المورّد دون إعادة صياغتها.
إجراءات المعالجة والإجراءات التعاقدية
ما يجب على كل مورّد إصلاحه، وبحلول متى، وأي الفجوات يُغلق على نحو أفضل عبر العقد عند التجديد القادم.
ملخّص للإدارة
صفحتان لمجلس إدارتك أو لجنة المخاطر لديك: مخاطر التركّز، والموردون الذين يحتاجون إلى قرار، وما الذي تغيّر منذ المرة السابقة.
لمن هذه الخدمة
- المنشآت الحاصلة على ISO/IEC 27001 التي عليها إثبات ضوابط الموردين بموجب الملحق A من 5.19 إلى 5.22
- الشركات التي صار عملاؤها يرسلون إليها استبيان أمن الموردين كل ربع سنة
- القطاعات الخاضعة للتنظيم: المصارف والتأمين والخدمات المالية، والرعاية الصحية، وكل من يعالج بيانات شخصية بموجب قانون DPDP بصفته جهة أمينة على البيانات
- الفرق التي تُسنِد التطوير أو الدعم أو البنية التحتية إلى جهات خارجية ولم تتحقق يوماً مما يفعله هؤلاء الشركاء فعلياً
- كل من مرّ للتو بحادث لدى أحد مورديه ولا يريد حادثاً ثانياً
المواصفات والأطر التي نقيّم وفقاً لها
يُختار المعيار بما يناسب التزاماتك أنت، لا بما يريحنا نحن. وأكثرها شيوعاً:
- ISO/IEC 27001:2022الملحق A من 5.19 إلى 5.23، ضوابط الموردين
- ISO/IEC 27036أمن العلاقات مع الموردين
- SOC 2Trust Services Criteria & استثناءات التقرير
- NIST CSF 2.0وظيفة Govern & إدارة مخاطر سلسلة التوريد
- HIPAAالتزامات الشركاء المتعاقدين
- DPDP Act, 2023واجبات التعاقد مع معالجي البيانات
- GDPRمتطلبات المادة 28 الخاصة بالمعالج
الأسئلة الشائعة
إنها إشارة جيدة، لكنها ليست إجابة. السؤال هو ما الذي يغطيه بيان نطاق التطبيق في الشهادة: فمن الوارد تماماً أن يكون المورّد حاصلاً على الشهادة عن وحدة أعمال أو موقع أو خط منتجات لا علاقة له بالخدمة التي تشتريها. وقراءة بيان النطاق قراءة صحيحة من أوائل ما نقوم به.
هذا في ذاته ملاحظة، ونحن ندرجه في التقرير بهذه الصفة. وعملياً، تكمن القوة في العقد: فحقوق التدقيق وملاحق الأمن المتفق عليها عند التوقيع تساوي أضعاف ما تساويه الطلبات اللاحقة. وحيث تغيب هذه الحقوق، نخبرك بما ينبغي إضافته عند التجديد.
ليس جميعهم. رتّب المجتمع في فئات أولاً، ثم قيّم الفئة الحرجة تقييماً سليماً، وتعامل مع البقية باستبيان أخف تُراجَع إجاباته بالأدلة. فتوزيع الجهد نفسه على مئتي مورّد لا يقيّم أياً منهم تقييماً جيداً.
فقط إن أردت ذلك، ودائماً بتقديم منك. بعض العملاء يفضّلون أن نعمل بالكامل من خلال فريق إدارة الموردين لديهم؛ وآخرون يجدون أن مقيّماً مستقلاً يطرح أسئلة أصعب ويحصل على إجابات أوضح. وكلا الترتيبين يعمل.
الموردون الحرجون سنوياً، وفوراً عند أي تغيّر جوهري: استحواذ، أو اختراق، أو انتقال إلى معالج فرعي جديد، أو تبدّل في البيانات التي يحتفظون بها. أما الفئات الأدنى فيمكن أن تسير على دورة أطول.
اطلب تقييماً
لنتحدث عن احتياجك
أخبرنا تقريباً بعدد الموردين محل البحث وبما يمسّونه. وسنعود إليك بنطاق تطبيق ومنهج ورقم، لا بكتيّب تعريفي.