TPRM για ΜμΕ: τι είναι και γιατί δεν αφορά πια μόνο τις μεγάλες επιχειρήσεις

Μέχρι πρόσφατα, η «διαχείριση κινδύνου τρίτων» ακουγόταν σαν κάτι για τράπεζες και πολυεθνικές με ολόκληρο αποκλειστικό τμήμα. Όχι πια. Σήμερα, μια επιχείρηση 20 ατόμων που πουλάει λογισμικό σε μια μεγαλύτερη εταιρεία πρέπει να αποδείξει ότι οι προμηθευτές της —και η ίδια ως προμηθευτής— δεν αποτελούν κενό ασφαλείας. Αυτό είναι το TPRM, και εξηγούμε τι είναι και από πού να ξεκινήσεις χωρίς αποκλειστική ομάδα.

Τι είναι το TPRM, με μία φράση

Το TPRM (Third-Party Risk Management, διαχείριση κινδύνου τρίτων) είναι η διαδικασία αξιολόγησης και ελέγχου του κινδύνου που προσθέτουν οι προμηθευτές σου: το hosting σου, το CRM σου, η πύλη πληρωμών σου, το πρακτορείο που διαχειρίζεται τα δεδομένα των πελατών σου. Καθένας από αυτούς αγγίζει τις πληροφορίες σου, τη λειτουργία σου ή τους ίδιους τους πελάτες σου — κι αν ένας αποτύχει, το πρόβλημα γίνεται και δικό σου.

Δεν είναι μια εφάπαξ ελεγκτική διαδικασία. Είναι το να ξέρεις, ανά πάσα στιγμή, ποιους προμηθευτές έχεις, πόσο κρίσιμοι είναι, ποια δεδομένα αγγίζουν και πόσο ασφαλείς είναι.

Γιατί έχει σημασία τώρα για τις ΜμΕ

Τρία πράγματα άλλαξαν και έσπρωξαν το TPRM από τις μεγάλες στις μικρές επιχειρήσεις:

• Οι πελάτες σου το απαιτούν. Αν πουλάς σε μια μεσαία ή μεγάλη εταιρεία, πριν την υπογραφή θα σου στείλουν ένα ερωτηματολόγιο ασφαλείας. Αν απαντήσεις άσχημα, δεν κλείνεις τη συμφωνία.
• Οι επιθέσεις μπαίνουν μέσω της αλυσίδας. Ο πιο συνηθισμένος τρόπος για να παραβιαστεί μια μεγάλη εταιρεία είναι μέσω ενός μικρότερου, λιγότερο προστατευμένου προμηθευτή. Εσύ μπορεί να είσαι αυτός ο προμηθευτής — ή να έχεις έναν.
• Η νομοθεσία κατέβηκε επίπεδο. Οι κανόνες προστασίας δεδομένων και τα πλαίσια ασφαλείας δεν κάνουν πια διάκριση βάσει μεγέθους: αν επεξεργάζεσαι προσωπικά δεδομένα, ευθύνεσαι και για το πώς τα χειρίζονται οι προμηθευτές σου.

Οι τέσσερις κίνδυνοι που φέρνει ένας προμηθευτής

Όταν αξιολογείς έναν τρίτο, στην πραγματικότητα κοιτάς τέσσερα μέτωπα:

• Δεδομένα. Έχει πρόσβαση σε προσωπικές, οικονομικές ή ευαίσθητες πληροφορίες; Πού τις αποθηκεύει;
• Λειτουργικός. Αν η υπηρεσία πέσει, σταματάει η επιχείρησή σου; Πόσο εύκολο είναι να αντικατασταθεί;
• Νομικά και συμμόρφωση. Έχεις υπογεγραμμένη και ενεργή σύμβαση, NDA και συμφωνία επεξεργασίας δεδομένων (DPA);
• Φήμη. Ένα περιστατικό σε προμηθευτή που συνδέεται με το όνομά σου σε επηρεάζει κι εσένα.

Πώς να ξεκινήσεις χωρίς ομάδα ασφαλείας

Δεν χρειάζεσαι CISO ή enterprise εργαλείο για να ξεκινήσεις. Μια ελάχιστη, οργανωμένη διαδικασία σε βάζει ήδη μπροστά από τους περισσότερους:

• 1. Απογραφή. Κατέγραψε όλους τους προμηθευτές που αγγίζουν δεδομένα ή λειτουργία. Οι περισσότερες ΜμΕ εκπλήσσονται με το πόσοι είναι.
• 2. Ταξινόμησε κατά κρισιμότητα. Δεν αξίζουν όλοι τον ίδιο έλεγχο. Ένας πάροχος επεξεργασίας πληρωμών δεν είναι το ίδιο με την εφαρμογή σημειώσεων της ομάδας.
• 3. Ένταξη με ερωτηματολόγιο. Πριν τον προσλάβεις (ή για όσους έχεις ήδη), ένα δομημένο ερωτηματολόγιο σου λέει ποια δεδομένα αγγίζει, πόσο ανθεκτική είναι η υπηρεσία και τι τεκμηρίωση ασφαλείας διαθέτει.
• 4. Βαθμολόγησε και παρακολούθησε. Ανάθεσε ένα επίπεδο κινδύνου και επανεξέτασέ το περιοδικά — μην το αφήσεις παγωμένο από την πρώτη μέρα.
• 5. Ζήτα διορθωτικές ενέργειες. Όταν λείπει κάτι (ένα ανυπόγραφο DPA, ένα ληγμένο πιστοποιητικό), άνοιξε ένα συγκεκριμένο αίτημα με υπεύθυνο και ημερομηνία.

Το λάθος να το αντιμετωπίζεις ως γραφειοκρατία

Η πιο συνηθισμένη παγίδα είναι να κάνεις το TPRM μία φορά, να αποθηκεύεις τα PDF σε έναν φάκελο και να το ξεχνάς. Ο κίνδυνος δεν είναι στατικός: τα πιστοποιητικά λήγουν, οι προμηθευτές αλλάζουν υπο-επεξεργαστές, και το ερωτηματολόγιο που απάντησες πριν από ένα χρόνο δεν αντικατοπτρίζει πια την πραγματικότητα. Μια καλή διαδικασία είναι ζωντανή: χαρτοφυλάκιο προμηθευτών με το επίπεδο κινδύνου τους, προγραμματισμένες επανεξετάσεις και παρακολουθούμενες διορθωτικές ενέργειες.

Εν κατακλείδι

Το TPRM έπαψε να είναι πολυτέλεια των μεγάλων επιχειρήσεων και έγινε προϋπόθεση πώλησης και πρακτική υποχρέωση για κάθε ΜμΕ που διαχειρίζεται δεδομένα. Τα καλά νέα: δεν χρειάζεται αποκλειστική ομάδα, μόνο μια οργανωμένη διαδικασία. Ακριβώς αυτό σου δίνει το Cautium — ένα μέρος για να εντάσσεις προμηθευτές με ερωτηματολόγιο, να βαθμολογείς τον κίνδυνό τους, να παρακολουθείς διορθωτικές ενέργειες και να απαντάς στα ερωτηματολόγια που σου στέλνουν, όλα σε ένα μέρος.