Third-party risk и supplier controls
Security requirements, due diligence и monitoring за vendors, MSPs и software suppliers.
Какво е
Security requirements, due diligence и monitoring за vendors, MSPs и software suppliers.
Как работи
Определя access boundaries, breach notification, MFA, logging, SBOM/provenance и offboarding requirements.
Vendor рискът е ваш риск с чуждо лого
Ако MSP има privileged remote access до 200 ваши systems, неговият account security е част от вашия attack surface.
По-смислени въпроси от questionnaire от 300 точки
- Какъв точно достъп има vendor-ът?
- Постоянен ли е?
- Има ли MFA и named accounts?
- Логват ли се sessions?
- Как се revoke-ва достъпът?
- Какво е breach-notification SLA?
- Има ли segmentation около vendor access?
Как да проверим
Инвентаризирайте всички active third-party accounts и сравнете с действащите договори. Orphaned vendor access е неприятно често човешко наследство.
Практическа имплементация
- Tier vendors by access/criticality.
- Contractual security clauses.
- Least-privilege third-party access.
- Time-bounded accounts.
- Monitor vendor sessions.
Какво НЕ решава
Questionnaire не доказва реално security posture.
Предпазва най-силно от
- Compromised Vendor/MSP · Software supply chain, DevOps и CI/CD
- Software Supply-Chain Attack · Software supply chain, DevOps и CI/CD
- Third-Party/Contractor Insider Risk · Insider, физически атаки и removable media
- Trusted Relationship Abuse / Island Hopping · Exploitation, persistence и attack-chain техники