La réponse courte
Identifier l'accès nécessaire, qui l'approuve et lorsqu'il est révisé par chaque fournisseur. Vérifier également les dépendances et les accords sous-jacents à la fin de la coopération.
Dressez un inventaire qui va au-delà des contrats
Un fournisseur peut avoir accès à une application, un périphérique réseau, un environnement cloud ou un portail de gestion. Demandez à chaque propriétaire interne quels tiers peuvent supporter et quelle route. Incluez également les projets temporaires. L'enquête devrait montrer ce que quelqu'un peut techniquement faire, et pas seulement quel service a été commandé.
Limiter l'accès à la commande
Discutez des systèmes réellement nécessaires et de la question de savoir si l'accès doit rester disponible en permanence. Utilisez des comptes nominatifs, une authentification adaptée et des limitations techniques lorsque c’est possible. Désignez un responsable et une date de réévaluation pour toute extension des droits. La description d'un contrat ne remplace pas le contrôle de la configuration réelle.
En parlant d'incidents et de changements à l'avance
Qui doit être contacté lorsqu’une utilisation suspecte d’un compte fournisseur est détectée ? Quelles informations le fournisseur peut-il fournir et qui décide d'interrompre l'accès? Les principes du CNSC en matière de sécurité des chaînes mettent l'accent sur les dépendances et la collaboration avec les fournisseurs. Traduisez ces principes en accords que votre équipe peut appliquer.
Ferme également la coopération technique
Un contrat résilié ne signifie pas automatiquement que les comptes et les liens disparaissent. Vérifiez l'accès, les clés, les droits de gestion et le transfert de documentation. JViT aide à intégrer de tels contrôles dans votre gestion de la sécurité, afin que l'expertise externe soit disponible avec des responsabilités claires.
Parlez-en avec votre équipe
- Quelles parties ont un accès technique?
- Qui approuve de nouveaux droits?
- Qui peut être atteint dans un incident?
- L'accès à la résiliation est-il manifestement retiré?
