TPRM pro malé a střední firmy: co to je a proč už to není jen pro velké podniky

Donedávna znělo „řízení rizik třetích stran“ jako něco pro banky a nadnárodní firmy s celým vyhrazeným oddělením. Už ne. Dnes musí firma s 20 zaměstnanci, která prodává software větší společnosti, prokázat, že její dodavatelé —a ona sama jako dodavatel— nejsou bezpečnostní díra. To je TPRM, a vysvětlujeme, co to je a kde začít bez vyhrazeného týmu.

Co je TPRM, jednou větou

TPRM (Third-Party Risk Management, řízení rizik třetích stran) je proces hodnocení a řízení rizika, které přidávají vaši dodavatelé: vaše hostování, váš CRM, platební bránu, agentura spravující data zákazníků. Každý z nich se dotýká vašich informací, vašeho provozu nebo vašich vlastních zákazníků — a pokud jeden selže, je to problém i pro vás.

Není to jednorázový audit. Je to vědět kdykoli, jaké dodavatele máte, jak kritičtí jsou, jakých dat se dotýkají a jak bezpeční jsou.

Proč na tom teď záleží malým a středním firmám

Tři věci se změnily a posunuly TPRM od velkých firem k malým:

• Vaši klienti to vyžadují. Pokud prodáváte střední nebo velké firmě, před podpisem vám pošlou bezpečnostní dotazník. Pokud na něj odpovíte špatně, obchod neuzavřete.
• Útoky přicházejí přes řetězec. Nejběžnějším způsobem, jak napadnout velkou firmu, je přes menšího, méně chráněného dodavatele. Vy můžete být tím dodavatelem — nebo ho mít.
• Regulace se posunula níž. Předpisy o ochraně dat a bezpečnostní rámce už nerozlišují podle velikosti firmy: pokud zpracováváte osobní údaje, odpovídáte i za to, jak s nimi nakládají vaši dodavatelé.

Čtyři rizika, která přináší dodavatel

Když hodnotíte třetí stranu, ve skutečnosti se díváte na čtyři fronty:

• Data. Má přístup k osobním, finančním nebo citlivým informacím? Kde je uchovává?
• Provozní. Pokud služba spadne, zastaví se váš byznys? Jak snadné je ji nahradit?
• Právní a compliance. Máte podepsanou a platnou smlouvu, NDA a smlouvu o zpracování osobních údajů (DPA)?
• Reputační. Incident u dodavatele spojeného s vaším jménem se odráží i na vás.

Jak začít bez bezpečnostního týmu

K začátku nepotřebujete CISO ani enterprise nástroj. Minimální, uspořádaný proces vás už staví před většinu ostatních:

• 1. Inventura. Vypište všechny dodavatele, kteří se dotýkají dat nebo provozu. Většina malých a středních firem je překvapena jejich počtem.
• 2. Klasifikujte podle kritičnosti. Ne všichni si zaslouží stejné zkoumání. Zpracovatel plateb není totéž co poznámková aplikace týmu.
• 3. Onboarding pomocí dotazníku. Před najmutím (nebo u těch, které už máte) vám strukturovaný dotazník řekne, jakých dat se dotýká, jak odolná je služba a jakou bezpečnostní dokumentaci má.
• 4. Bodujte a monitorujte. Přiřaďte úroveň rizika a pravidelně ji revidujte — nenechte ji zamrznout na prvním dni.
• 5. Žádejte nápravu. Když něco chybí (nepodepsaná DPA, propadlý certifikát), otevřete konkrétní požadavek s odpovědnou osobou a termínem.

Chyba spočívající v tom, že to považujete za formalitu

Nejčastější past je udělat TPRM jednou, uložit PDF do složky a zapomenout. Riziko není statické: certifikáty vypršejí, dodavatelé mění subdodavatele a dotazník, na který jste odpověděli před rokem, už neodráží realitu. Dobrý proces je živý: portfolio dodavatelů s úrovní rizika, plánované revize a sledovaná náprava.

Shrnutí

TPRM přestalo být luxusem velkých firem a stalo se prodejní podmínkou a praktickou povinností jakékoli malé nebo střední firmy pracující s daty. Dobrá zpráva: nepotřebujete vyhrazený tým, jen uspořádaný proces. Přesně to vám dává Cautium — jedno místo pro onboarding dodavatelů pomocí dotazníku, hodnocení jejich rizika, sledování nápravy a odpovídání na dotazníky, které vám přicházejí, vše na jednom místě.