Sicurezza dei fornitori: la maggior parte del rischio non è nostra, ma delle aziende con cui lavoriamo

Dal punto di vista finanziario, sostengo fortemente quest'ultimo punto, ci è successo quasi la stessa cosa.

La regola che applichiamo è questa: quando arriva una richiesta di cambio IBAN, non si risponde dal canale da cui è arrivata. Si chiama il vecchio numero presente nel nostro archivio. Non si chiama mai il numero indicato nell'email, perché anche quello potrebbe essere falso.

Abbiamo anche introdotto una soglia di importo: i primi pagamenti sopra una certa cifra richiedono due firme. Ha rallentato le cose, sì. Ma ci ha salvati una volta e quella volta ha ripagato tutto.

Parlo come account manager, guardando dal lato del fornitore, perché questi audit li riceviamo anche noi.

Devo dire che un allegato di sicurezza ben preparato è utile anche per il fornitore, perché chiarisce le aspettative. Il punto critico è che ogni cliente invia liste di domande con formati e ambiti diversi. Riscriviamo le stesse informazioni dieci volte l'anno su template diversi.

Come suggerimento: se accettate certificazioni indipendenti, ditelo subito. Applicate un modulo breve per i fornitori certificati e uno lungo per gli altri. Riduce il lavoro sia a voi che a noi.

Un'aggiunta dal team compliance: la catena dei subappaltatori viene spesso trascurata nelle valutazioni.

Auditate il vostro fornitore, lui affida una parte del lavoro a un'altra azienda e i vostri dati finiscono lì. Se nel contratto non c'è l'obbligo di preavviso sull'uso di subappaltatori e di estensione degli stessi obblighi a loro, significa che non vedete affatto il secondo anello della catena.

C'è un punto che mi incuriosisce. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Mi farebbe piacere se scrivesse il risultato.

Ho vissuto la stessa cosa.

Sono emerse tre opinioni diverse, si completano a vicenda. Se il percorso di notifica è lungo la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse. comunque spero che le sia utile.

Raro trovare articoli che spiegano le cose così chiaramente. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Inizia con un piccolo test, non impegnarti subito su tutto. Se scrivete qui il risultato, sarà utile anche ad altri.

Riassumo l'argomento perché sono state date diverse risposte. comunque un report di scansione automatica e un penetration test non sono la stessa cosa.

Correggetemi se sbaglio.

Riassumo l'argomento, perché sono state date diverse risposte. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Spero che le sia utile.

Preso nota grazie.

Non trascurare nulla: Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere. Correggetemi se sbaglio.

Approfondisco l'aspetto tecnico. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata. Correggetemi se sbaglio.

Sono della stessa opinione. La risposta varia molto in base al settore non esiste una regola generale.

Se scrivete qui il risultato sarà utile anche ad altri.

riassumo l'argomento, prché sono state date diverse risposte. quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

io seguirei questa strada.

Riassumo l'argomento perché sono state date diverse risposte. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

È tutto scusate se mi sono dilungato.

Sì, per quanto riguarda catena di approvvigionamento la situazione è esattamente così. Cercare di farlo da soli è la strada più costosa.

Naturalmente cambia se la vostra situazione è diversa.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. Buon lavoro.