Vendor mana yang harus ditinjau lebih dulu?
CyberRank Research
Tinjau lebih dulu vendor yang mendukung layanan kritis atau memegang data sensitif. Di dalam kelompok itu, naikkan vendor yang memakai AI dalam keputusan tentang orang, memegang data yang harus tetap rahasia melewati 2030, atau mengirim perangkat lunak dan pembaruan ke lingkungan Anda. CyberRank menggabungkan tingkat dampak yang Anda tetapkan dengan kemungkinan kebocoran setiap vendor dalam satu heat map.
Intisari
- Dampak lebih dulu: apa yang berhenti jika vendor gagal, dan data apa yang dipegangnya.
- AI dalam keputusan tentang orang dan data yang harus rahasia melewati 2030 menaikkan urutan vendor.
- Vendor yang mengirim perangkat lunak atau pembaruan ke sistem Anda adalah jalur yang dipakai serangan rantai pasok.
- Heat map CyberRank menempatkan vendor yang kritis tetapi lemah di urutan teratas.
Jawabannya, bagian demi bagian
| Bagian pertanyaan | Jawaban singkat | Baca lebih lanjut | Cara CyberRank membantu |
|---|---|---|---|
| Dampak dan data | Jawaban singkatTentukan tingkat menurut apa yang berhenti jika vendor gagal dan data yang dipegangnya | Baca lebih lanjutcara menentukan tingkat vendor dalam TPRM | Cara CyberRank membantuTingkat dampak × kemungkinan kebocoran → level risiko dan heat map |
| Penggunaan AI | Jawaban singkatNaikkan vendor yang memakai AI dalam rekrutmen, pendidikan, atau akses ke layanan esensial | Baca lebih lanjutAI berisiko tinggi menurut EU AI Act | Cara CyberRank membantuKandidat level AI Act dan kecocokan Annex III (Beta) |
| Data berumur panjang | Jawaban singkatNaikkan vendor yang memegang data yang harus rahasia melewati 2030 | Baca lebih lanjutrisiko kuantum pada kriptografi vendor | Cara CyberRank membantuPostur kripto-kuantum per vendor (Beta) |
| Perangkat lunak yang Anda pasang | Jawaban singkatNaikkan vendor yang pembaruan dan paketnya masuk ke sistem Anda | Baca lebih lanjutjenis serangan rantai pasok | Cara CyberRank membantuSinyal kerentanan dan tampilan pihak keempat |
Mulai dari dampak
Ajukan dua pertanyaan kepada setiap pemilik bisnis untuk setiap vendor: apa yang berhenti jika vendor ini gagal, dan data apa yang dipegangnya? Critical berarti kegagalannya menghentikan layanan kritis atau vendor memegang data pribadi atau keuangan yang sensitif; High berarti penting, tetapi dampaknya dapat dimitigasi untuk sementara. Tinjau Critical lebih dulu, lalu High. Alasan penentuan tingkat dilakukan sebelum penilaian dijelaskan secara rinci dalam panduan kami tentang manajemen risiko pihak ketiga.
Tambahkan penggunaan AI
Di dalam setiap tingkat, naikkan vendor yang AI-nya masuk area Annex III seperti ketenagakerjaan, pendidikan, atau akses ke layanan esensial, karena penggunaan itu dapat berisiko tinggi dan membawa kewajiban deployer bagi Anda. Kecocokan adalah kandidat, bukan kesimpulan: tim hukum Anda yang mengonfirmasi levelnya. Area Annex III dijelaskan secara rinci dalam artikel kami tentang EU AI Act dan vendor Anda.
Tambahkan data berumur panjang
Berikutnya, naikkan vendor yang membawa data yang harus tetap rahasia melewati 2030: data kesehatan, keuangan, identitas, hukum, dan pemerintahan. Penyerang dapat merekam lalu lintas itu hari ini dan mendekripsinya setelah komputer kuantum ada, sehingga pertukaran kunci vendor sudah penting sekarang. Alasan hal ini menjadikan kesiapan kuantum sebagai risiko pihak ketiga dijelaskan secara rinci dalam panduan kami tentang keamanan kuantum.
Tambahkan perangkat lunak yang Anda pasang
Terakhir, naikkan vendor yang mengirim perangkat lunak, pembaruan, atau paket ke lingkungan Anda, serta penyedia layanan terkelola yang alat administrasinya menjangkau sistem Anda. Inilah jalur yang dipakai dalam SolarWinds, Kaseya, dan XZ Utils. Jenis-jenis serangannya dijelaskan secara rinci dalam artikel kami tentang serangan rantai pasok dan cara mencegahnya.
Di mana CyberRank tidak membantu
CyberRank tidak dapat mengetahui apa yang berhenti jika vendor gagal; hanya pemilik bisnis Anda yang dapat menetapkan tingkat dampak. CyberRank tidak membuat klasifikasi hukum AI Act dan tidak dapat melihat kriptografi internal atau sistem build vendor. CyberRank mengurutkan vendor dengan tingkat dan konfirmasi dari tim Anda, dan urutan tinjauan akhir tetap keputusan Anda.
Pertanyaan yang sering diajukan
Dapatkan rating keamanan gratis Anda
Jalankan rating keamanan CyberRank gratis untuk organisasi mana pun dan lihat sinyal risiko vendor yang sama seperti yang digunakan pelanggan kami.
Dapatkan rating keamanan gratis Anda