Apa Itu Manajemen Risiko Pihak Ketiga (TPRM)? Siklus, Jenis Risiko, dan Cara Memulai
CyberRank Research
Manajemen risiko pihak ketiga (TPRM) adalah proses berkelanjutan untuk mengidentifikasi, menilai, memantau, dan mengurangi risiko yang berasal dari organisasi yang Anda andalkan tetapi tidak Anda kendalikan: vendor, pemasok, penyedia layanan, kontraktor, dan mitra. Cakupannya meliputi risiko siber, operasional, kepatuhan, keuangan, dan reputasi sepanjang hubungan, mulai dari due diligence sebelum kontrak hingga pengakhiran. CyberRank dibangun untuk sisi siber dari pekerjaan ini: CyberRank memberi setiap vendor security rating AAA hingga D dari sinyal publik (outside-in), menggabungkannya dengan tingkat dampak yang Anda tetapkan, dan menilai ulang vendor yang dipantau setiap malam.
Intisari
- TPRM adalah sebuah siklus, bukan kuesioner sekali jalan: identifikasi, tetapkan tingkat, nilai, kontrak, pantau, akhiri.
- Tingkat dampak bisnis menentukan seberapa besar upaya untuk setiap vendor. Penyedia penggajian dan pemasok alat tulis kantor tidak perlu ditinjau dengan cara yang sama.
- Risiko siber adalah bagian risiko pihak ketiga yang paling cepat berubah, sehingga tinjauan sesaat perlu dilengkapi pemantauan berkelanjutan.
- NIST CSF 2.0 (kategori GV.SC), NIST SP 800-161r1, dan kontrol ISO/IEC 27001:2022 5.19–5.23 memberi Anda struktur yang siap pakai.
- CyberRank mencakup langkah-langkah siber dari siklus ini dalam satu platform: rating AAA–D dari domain, tingkat dampak dengan heat map risiko, visibilitas pihak keempat, dan penilaian ulang setiap malam.
Apa itu manajemen risiko pihak ketiga?
Manajemen risiko pihak ketiga adalah disiplin untuk memutuskan organisasi luar mana yang aman untuk Anda andalkan, dengan syarat apa, dan bagaimana Anda tahu ketika hal itu berubah.
"Pihak ketiga" adalah entitas eksternal apa pun yang dapat memengaruhi kerahasiaan, integritas, ketersediaan, atau kepatuhan Anda: penyedia cloud, pemroses penggajian, agensi pemasaran dengan akses ke CMS Anda, mitra logistik, atau pengelola pustaka perangkat lunak. Untuk definisi singkat, lihat entri glosarium kami tentang TPRM.
NIST menyebut sisi keamanan sibernya sebagai cybersecurity supply chain risk management (C-SCRM): mengidentifikasi, menilai, dan memitigasi risiko keamanan siber di seluruh rantai pasok pada semua tingkat organisasi (NIST SP 800-161r1). Dalam praktiknya, sebagian besar program TPRM perusahaan menempatkan risiko siber di pusat, karena risiko ini paling cepat berubah dan paling sulit terlihat dari kontrak maupun tagihan.
Pusat siber inilah yang menjadi dasar CyberRank. Alih-alih menunggu vendor mengisi kuesioner, CyberRank menilai vendor dari luar, cukup dari situs web atau nama perusahaannya, sehingga Anda melihat postur keamanan dan privasinya dalam hitungan menit.
Mengapa ini penting sekarang
Penyerang semakin sering menjangkau target mereka melalui pemasok daripada menyerang langsung, sebagaimana dijelaskan secara rinci dalam artikel kami tentang serangan rantai pasok. Analisis ENISA terhadap 24 serangan rantai pasok menemukan bahwa sekitar 62% memanfaatkan kepercayaan pelanggan kepada pemasoknya, dan pada sekitar 66% insiden penyerang berfokus pada kode milik pemasok untuk membobol pelanggan (ENISA, Threat Landscape for Supply Chain Attacks, 2021).
Regulasi pun menyusul: NIS2 di Uni Eropa menjadikan keamanan rantai pasok sebagai langkah manajemen risiko yang eksplisit, DORA menetapkan aturan pihak ketiga TIK bagi entitas keuangan, dan Undang-Undang Pelindungan Data Pribadi (UU PDP No. 27 Tahun 2022) tetap membebankan tanggung jawab kepada pengendali data ketika prosesor mengolah data pribadi atas namanya.
Pihak ketiga vs vendor: apa bedanya?
Vendor adalah pihak ketiga yang menjual barang atau jasa kepada Anda berdasarkan kontrak; "pihak ketiga" adalah kategori yang lebih luas, yang juga mencakup mitra, afiliasi, kontraktor, reseller, dan hubungan eksternal lainnya.
Setiap vendor adalah pihak ketiga, tetapi tidak setiap pihak ketiga adalah vendor. Untuk keperluan keamanan, akses yang dimiliki setiap hubungan lebih penting daripada labelnya.
CyberRank juga tidak mempersoalkan label: organisasi apa pun yang memiliki situs web atau nama perusahaan dapat dinilai, baik itu pemasok berkontrak, reseller, maupun mitra joint venture.
| Aspek | Manajemen risiko pihak ketiga (TPRM) | Manajemen risiko vendor (VRM) |
|---|---|---|
| Cakupan | Manajemen risiko pihak ketiga (TPRM)Semua hubungan eksternal: vendor, mitra, afiliasi, kontraktor, distributor | Manajemen risiko vendor (VRM)Pemasok produk dan jasa yang terikat kontrak |
| Pemilik umum | Manajemen risiko pihak ketiga (TPRM)Fungsi risiko perusahaan atau keamanan, bersama legal, kepatuhan, dan pengadaan | Manajemen risiko vendor (VRM)Pengadaan dengan masukan kuat dari tim keamanan |
| Jenis risiko | Manajemen risiko pihak ketiga (TPRM)Siber, operasional, kepatuhan, keuangan, reputasi, strategis, konsentrasi | Manajemen risiko vendor (VRM)Terutama siber, operasional, kepatuhan, dan kinerja kontrak |
| Pihak keempat | Manajemen risiko pihak ketiga (TPRM)Dilacak bila material | Manajemen risiko vendor (VRM)Biasanya melalui pengungkapan dari pemasok |
Apa saja jenis risiko pihak ketiga?
Risiko pihak ketiga bukan satu risiko. Program yang baik menamai setiap jenis, bukti yang mengujinya, dan siapa yang memutuskan. Kolom terakhir menunjukkan di mana CyberRank menyediakan bukti tersebut, dan di mana tidak.
| Jenis risiko | Seperti apa wujudnya | Bukti yang diminta atau diperiksa | Bagaimana CyberRank membantu |
|---|---|---|---|
| Keamanan siber | Seperti apa wujudnyaKerentanan yang terekspos, autentikasi email yang lemah, kredensial bocor, insiden di vendor | Bukti yang diminta atau diperiksaPenilaian outside-in, kuesioner keamanan, sertifikat SOC 2 Type II atau ISO/IEC 27001 (periksa cakupannya), ringkasan uji penetrasi | Bagaimana CyberRank membantuMenilai kerentanan, keamanan email (DKIM/DMARC), kredensial yang bocor, dan kebocoran data dari luar, sebagai sub-rating Security di dalam rating AAA–D |
| Perlindungan data dan privasi | Seperti apa wujudnyaData pribadi diproses tanpa dasar hukum, pemberitahuan privasi yang lemah, data disimpan di yurisdiksi yang tidak Anda izinkan | Bukti yang diminta atau diperiksaPerjanjian pemrosesan data, tinjauan kebijakan privasi, informasi hosting dan residensi data | Bagaimana CyberRank membantuSub-rating Privacy, tinjauan kebijakan privasi, serta pemeriksaan hosting dan residensi data terhadap yurisdiksi yang Anda izinkan |
| Operasional | Seperti apa wujudnyaGangguan pada penyedia kritis menghentikan layanan Anda | Bukti yang diminta atau diperiksaRencana kelangsungan bisnis dan pemulihan bencana, SLA, tanggal uji terakhir | Bagaimana CyberRank membantuMenggabungkan tingkat dampak Anda dengan kemungkinan insiden, sehingga penyedia kritis dengan postur lemah menonjol di heat map |
| Kepatuhan dan regulasi | Seperti apa wujudnyaKegagalan vendor membuat Anda melanggar NIS2, DORA, UU PDP, atau aturan sektor | Bukti yang diminta atau diperiksaKlausul kontrak, hak audit, atestasi regulasi | Bagaimana CyberRank membantuPemeriksaan sertifikat, kuesioner dengan bukti dan tanggal kedaluwarsa, laporan untuk auditor, dan Assurance Statement yang dapat diverifikasi |
| Keuangan | Seperti apa wujudnyaPemasok utama bangkrut sementara data Anda ada di servernya | Bukti yang diminta atau diperiksaLaporan keuangan, pemeriksaan kredit, rencana keluar | Bagaimana CyberRank membantuTidak dicakup CyberRank; gunakan pemeriksaan keuangan di sampingnya |
| Konsentrasi dan pihak keempat | Seperti apa wujudnyaBeberapa vendor Anda bergantung pada penyedia cloud, identitas, atau transfer file yang sama | Bukti yang diminta atau diperiksaDaftar subprosesor, pemetaan dependensi, analisis konsentrasi | Bagaimana CyberRank membantuMenampilkan pemasok milik vendor Anda (pihak keempat) beserta rating-nya dan menggabungkan risiko rantai pasok hingga dua tingkat |
Apa saja enam tahap siklus TPRM?
Identifikasi, tetapkan tingkat, nilai, kontrak, pantau, dan akhiri. Begitulah sebagian besar program yang matang berjalan.
NIST CSF 2.0 menyatakan gagasan yang sama sebagai hasil: pemasok diketahui dan diprioritaskan menurut kekritisannya (GV.SC-04), due diligence dilakukan sebelum hubungan dimulai (GV.SC-06), dan risiko dipantau selama hubungan berlangsung (GV.SC-07).
| Tahap | Apa yang terjadi | Keluaran | Pemilik umum | Bagaimana CyberRank membantu |
|---|---|---|---|---|
| 1. Identifikasi | Apa yang terjadiSusun inventaris setiap pihak ketiga yang menyentuh data, sistem, atau layanan kritis Anda | KeluaranDaftar vendor | Pemilik umumPengadaan + TI | Bagaimana CyberRank membantuTambahkan vendor lewat domain atau nama perusahaan; vendor yang ditemukan CyberRank baru ditambahkan setelah Anda konfirmasi |
| 2. Tetapkan tingkat | Apa yang terjadiNilai setiap hubungan menurut dampak bisnis dan akses data | KeluaranTingkat dampak (mis. Kritis, Tinggi, Sedang, Rendah) | Pemilik umumPemilik bisnis + keamanan | Bagaimana CyberRank membantuTetapkan tingkat dampak per vendor; CyberRank mengubah tingkat dan kemungkinan insiden menjadi level risiko |
| 3. Nilai | Apa yang terjadiDue diligence dan penilaian risiko sesuai tingkat: rating outside-in, kuesioner, sertifikat | KeluaranRating risiko dan temuan | Pemilik umumTim keamanan / TPRM | Bagaimana CyberRank membantuRating AAA–D dalam hitungan menit, ditambah kuesioner dengan unggahan bukti |
| 4. Kontrak | Apa yang terjadiMasukkan persyaratan keamanan, notifikasi, audit, dan lokasi data ke dalam perjanjian | KeluaranLampiran keamanan yang ditandatangani | Pemilik umumLegal + pengadaan | Bagaimana CyberRank membantuBaseline menetapkan rating minimum yang Anda terima; vendor di bawahnya dapat dikirimi kuesioner secara otomatis |
| 5. Pantau | Apa yang terjadiAwasi perubahan di antara tinjauan: kerentanan baru, insiden, penurunan rating, perubahan kebijakan | KeluaranPeringatan, pemicu penilaian ulang | Pemilik umumTim keamanan / TPRM | Bagaimana CyberRank membantuPenilaian ulang setiap malam, dengan event untuk perubahan rating, kebocoran data baru, dan perubahan kebijakan privasi |
| 6. Akhiri | Apa yang terjadiCabut akses, kembalikan atau musnahkan data, tutup catatan | KeluaranDaftar periksa pengakhiran | Pemilik umumTI + pemilik bisnis | Bagaimana CyberRank membantuDilakukan di sistem Anda sendiri; CyberRank tidak terlibat dalam pencabutan akses |
Mengapa penetapan tingkat dilakukan sebelum penilaian
Tingkat menentukan seberapa dalam setiap penilaian. Tanpa itu, tim akan mengirim kuesioner 300 pertanyaan ke setiap pemasok dan kewalahan, atau tidak meninjau apa pun secara mendalam. Model sederhana yang berhasil:
- Kritis: kegagalan langsung menghentikan layanan kritis, atau vendor menyimpan data pribadi atau keuangan yang sensitif.
- Tinggi: penting, tetapi dampaknya dapat dimitigasi untuk sementara.
- Sedang: mendukung operasional normal.
- Rendah: dampak operasional minimal dan tanpa akses ke data sensitif.
Bagaimana CyberRank menerapkan tingkat dampak
CyberRank memakai model yang sama. Anda memberi setiap vendor tingkat dampak, CyberRank menggabungkannya dengan kemungkinan insiden menjadi level risiko, dan heat map menempatkan vendor yang kritis tetapi lemah di urutan teratas. Rating rendah pada vendor berdampak kecil tidak mengalihkan perhatian Anda dari rating sedang-sedang saja pada pemroses penggajian Anda.
Kerangka kerja apa yang memandu program TPRM?
Anda tidak perlu menciptakan kerangka kerja sendiri. Rujukan berikut banyak dipakai dan saling terpetakan.
| Kerangka kerja | Apa yang diberikan | Penggunaannya |
|---|---|---|
| NIST CSF 2.0, kategori GV.SC | Apa yang diberikanSepuluh hasil rantai pasok, dari program dan peran (GV.SC-01, -02) hingga due diligence (GV.SC-06), pemantauan (GV.SC-07), dan aktivitas pascakontrak (GV.SC-10) | PenggunaannyaStruktur program dan pelaporan ke direksi |
| NIST SP 800-161r1 | Apa yang diberikanPraktik C-SCRM terperinci, templat kebijakan, dan panduan penilaian risiko | PenggunaannyaDesain program dan pemilihan kontrol |
| ISO/IEC 27001:2022 Annex A 5.19–5.23 | Apa yang diberikanKontrol hubungan pemasok, perjanjian, rantai pasok TIK, pemantauan, dan layanan cloud | PenggunaannyaSertifikasi dan bukti audit |
| Aturan risiko TI OJK untuk bank di Indonesia | Apa yang diberikanPenilaian risiko, perlindungan kontraktual, dan pengawasan berkelanjutan atas penyedia jasa alih daya | PenggunaannyaBank dan lembaga keuangan di Indonesia |
| CSA Cloud Controls Matrix dan CAIQ | Apa yang diberikanSet pertanyaan standar untuk penyedia cloud | PenggunaannyaMenilai vendor SaaS, PaaS, dan IaaS |
Bagaimana CyberRank terpetakan ke kerangka kerja ini
Assurance Statement CyberRank dibangun di atas kontrol pemasok ISO/IEC 27001:2022 5.21 dan 5.22: ketika setiap vendor memenuhi baseline Anda, Anda dapat menerbitkan pernyataan yang dapat diverifikasi pelanggan, mitra, dan auditor lewat kode QR. Rating, riwayat pemantauan, dan laporannya menjadi bukti pemasok yang diminta NIST CSF GV.SC dan pengawasan OJK.
Bagaimana memulai program TPRM dalam 30 hari?
Inventaris di minggu 1, penetapan tingkat di minggu 2, baseline tingkat kritis di minggu 3, dan penetapan aturan di minggu 4.
- Minggu 1, inventaris: kumpulkan daftar vendor dari keuangan (siapa yang Anda bayar), TI (siapa yang punya akses atau integrasi), dan pejabat pelindungan data (siapa yang memproses data pribadi). Gabungkan menjadi satu daftar.
- Minggu 2, tetapkan tingkat: ajukan dua pertanyaan kepada setiap pemilik bisnis untuk setiap vendor: apa yang berhenti jika vendor ini gagal, dan data apa yang mereka pegang? Tetapkan tingkatnya.
- Minggu 3, baseline tingkat kritis: jalankan penilaian outside-in pada setiap vendor Kritis dan Tinggi agar Anda punya gambaran awal tanpa menunggu kuesioner. Di CyberRank, cukup domain atau nama perusahaan per vendor; Anda bisa mencobanya dulu dengan security rating gratis kami.
- Minggu 4, tetapkan aturan: tentukan rating minimum per tingkat, frekuensi penilaian ulang, dan apa yang memicu tinjauan di luar jadwal (insiden, penurunan rating, perubahan layanan yang material). Cara memilih frekuensinya dijelaskan secara rinci dalam artikel kami tentang seberapa sering vendor harus dinilai ulang.
Organisasi mana yang paling membutuhkan manajemen risiko pihak ketiga?
Setiap organisasi yang memiliki pemasok membutuhkannya, tetapi sektor yang diatur dan organisasi yang memegang data sensitif menghadapi ekspektasi paling ketat.
- Bank dan lembaga keuangan: pengawasan OJK atas alih daya TI di Indonesia dan DORA di Uni Eropa. Lihat manajemen risiko vendor untuk bank.
- Rumah sakit dan penyedia layanan kesehatan: data kesehatan termasuk data pribadi paling sensitif menurut UU PDP. Lihat manajemen risiko vendor untuk layanan kesehatan.
- Instansi pemerintah dan BUMN: layanan publik bergantung pada system integrator dan penyedia cloud. Lihat manajemen risiko vendor untuk pemerintah dan BUMN.
- Perusahaan terbuka (Tbk): insiden di vendor dapat cepat menjadi isu tingkat direksi dan keterbukaan informasi. Lihat manajemen risiko vendor untuk perusahaan terbuka.
Apa yang perlu dicari dalam platform TPRM?
Penilaian outside-in, penetapan tingkat dampak, visibilitas pihak keempat, pemantauan, kuesioner, metode penilaian yang dapat dijelaskan, dan laporan siap audit. CyberRank dirancang untuk mencakup ketujuhnya dalam satu platform.
| Kemampuan | Mengapa penting | Di CyberRank |
|---|---|---|
| Penilaian outside-in dari domain atau nama perusahaan | Mengapa pentingMemberi gambaran awal dalam hitungan menit, tanpa bergantung pada laporan vendor sendiri | Di CyberRankRating AAA–D dengan sub-rating Security dan Privacy terpisah |
| Tingkat dampak digabung dengan kemungkinan | Mengapa pentingMenjaga perhatian pada vendor yang penting, bukan sekadar skor terendah | Di CyberRankTingkat dampak × kemungkinan insiden → level risiko dan heat map |
| Visibilitas pihak keempat | Mengapa pentingMenunjukkan risiko yang diteruskan vendor langsung Anda | Di CyberRankPihak keempat dengan rating masing-masing, digabung hingga dua tingkat |
| Pemantauan dengan peringatan perubahan | Mengapa pentingMenangkap perubahan di antara tinjauan tahunan | Di CyberRankPenilaian ulang setiap malam; event untuk perubahan rating, kebocoran baru, dan perubahan kebijakan privasi |
| Kuesioner dengan bukti dan pelacakan kedaluwarsa | Mengapa pentingMencakup kontrol yang tidak terlihat dari luar | Di CyberRankPembuat kuesioner, unggahan bukti, tanggal kedaluwarsa, pengiriman otomatis di bawah baseline |
| Metode penilaian yang terbuka dan dapat dijelaskan | Mengapa pentingMemungkinkan Anda mempertahankan keputusan di depan auditor dan vendor | Di CyberRankMetodologi 360 poin yang dipublikasikan: amati, nilai, skor risiko, gabungkan |
| Laporan untuk eksekutif dan auditor | Mengapa pentingMengubah temuan menjadi bukti | Di CyberRankManagement Report, Cyber Risk Report, Credential Leak Report, dan Assurance Statement |
Posisi CyberRank
CyberRank adalah platform risiko siber vendor. Anda memasukkan situs web atau nama perusahaan vendor, lalu CyberRank menilainya dari sinyal publik (outside-in), termasuk kerentanan, keamanan email (DKIM/DMARC), kebocoran data, kredensial yang bocor, sertifikasi, kebijakan privasi, hosting cloud dan residensi data, serta pemasok milik vendor itu sendiri. Setiap vendor mendapat rating dari AAA hingga D dengan sub-rating Security dan Privacy terpisah.
Anda menetapkan tingkat dampak per vendor, CyberRank menggabungkannya dengan kemungkinan insiden menjadi level risiko dan heat map, vendor yang dipantau dinilai ulang setiap malam, dan kuesioner dapat dikirim otomatis ke vendor di bawah baseline Anda. Rating adalah indikator postur berdasarkan metode yang dipublikasikan; rating melengkapi kuesioner dan audit, bukan menggantikannya. Lihat cara kerja CyberRank.
Sedang membandingkan beberapa platform? Lihat perbandingan CyberRank dengan alat risiko vendor lain, fitur demi fitur.
Kesimpulan
Manajemen risiko pihak ketiga berhasil bila proporsional dan berkelanjutan: kenali setiap pihak ketiga, tetapkan tingkatnya menurut dampak, nilai setiap tingkat dengan kedalaman yang tepat, atur kontrak untuk hal yang penting, dan awasi perubahan. Mulailah dari inventaris dan tingkat kritis; tahap selanjutnya dibangun di atas fondasi itu.
CyberRank memberi Anda separuh siber dari program tersebut sejak hari pertama: nilai vendor pertama Anda dengan security rating CyberRank gratis, lalu tambahkan tingkat dampak, pemantauan, dan laporan seiring program berkembang.
Bacaan terkait: serangan rantai pasok, cara kerjanya, dan cara mencegahnya; serta bisakah serangan rantai pasok dideteksi dari luar vendor?
Referensi
- NIST, SP 800-161 Rev. 1 (update 1): Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations
- NIST, The NIST Cybersecurity Framework (CSF) 2.0, CSWP 29
- NIST, SP 1305: CSF 2.0 Quick-Start Guide for C-SCRM
- ENISA, Threat Landscape for Supply Chain Attacks (2021)
- Cloud Security Alliance, Cloud Controls Matrix and CAIQ v4.1
Jawaban singkat
Jawaban singkat dan langsung untuk pertanyaan yang muncul dari artikel ini.
- Jawaban singkatManajemen Risiko Vendor untuk BankCara bank mengelola risiko vendor dan alih daya sesuai OJK dan DORA, vendor mana yang diprioritaskan, dan bukti berkelanjutan dari CyberRank.
- Jawaban singkatManajemen Risiko Vendor untuk Layanan KesehatanCara rumah sakit dan klinik mengelola risiko pihak ketiga atas data pasien sesuai UU PDP, pemasok yang diperiksa dulu, dan pemantauan CyberRank.
- Jawaban singkatManajemen Risiko Vendor untuk Pemerintah & BUMNCara instansi pemerintah dan BUMN mengelola risiko siber pemasok, vendor mana yang paling penting, dan bukti independen dari CyberRank.
- Jawaban singkatManajemen Risiko Vendor untuk Perusahaan TbkCara perusahaan terbuka mengawasi risiko siber pemasok di tingkat direksi, bukti yang diharapkan investor, dan laporan dari CyberRank.
- Jawaban singkatSeberapa Sering Vendor Harus Dinilai Ulang?Frekuensi penilaian ulang vendor per tingkat risiko, peristiwa yang memicu tinjauan di luar jadwal, dan cara CyberRank menilai ulang setiap malam.
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda