Cybersec Wednesday｜供应商安全评估：你对你的IT服务供应商有足够认识吗？
在现今的数码商业环境中，许多公司将 IT工作，例如日常的技术支援、网站寄存和伺服器管理等，外判予第三方服务供应商。虽然为公司带来成本效益和灵活性，但同时在数据安全和合规性方面也带来一定的网络安全风险。为了确保第三方供应商能合符安全标准，针对供应商的安全评估（Vendor Risk Assessment）亦因而变得更重要。
甚么是供应商安全评估？
供应商安全评估是公司用来评估其第三方供应商的安全措施，确保供应商在被允许访问数据或网络资源前，能符合必要的安全标准，从而减少数据泄露的风险，并确保符合监管要求。
供应商安全评估的目的
1. 评估可有助于识别和管理与供应商合作可能会有的潜在网络安全漏洞和风险，借以保护公司资产。
2. 许多行业对数据保护有严格的规定，因此定期的安全评估能确保供应商遵守如有关法律，避免公司受到潜在问题影响。
3. 通过安全评估维持高安全标准，有助防止供应商引起的数据泄露事故，减少损害公司的声誉的可能。
供应商安全评估的应包含的内容
安全实践和政策： 审查供应商的安全协议、事故响应计划和员工培训计划。目标是确保与雇用公司的安全期望和行业最佳实践保持一致。
技术安全控制： 检查供应商的技术防御措施，例如加密方法和访问控制，以保护数据免受未经授权的访问或泄漏。
符合国际标准： 供应商是否有相关国际标准证书，如 ISO/IEC 27001等，以证明符合国际间的标准。
持续监控： 安全需要持续的警惕。有效的评估应包括持续监控和定期更新，以应对新的威胁和合规变化。
总结
随著对外部 IT 服务提供商的依赖增加，进行彻底的供应商安全评估的重要性也在增加。这些评估对于保护公司资产、确保合规性和维护数码时代的信任至关重要。通过严格评估第三方供应商，公司可以保护自己免受潜在威胁，并维护其对安全的承诺。同时，就相关安全评估服务，应考虑寻找专业人士来起草评估内容，或寻找第三方风险管理（TPRM）公司提供协助。以符合坊间及国际的标准。
关于 Cybersec Wednesday
每逢星期三，HKIRC网络安全团队都会挑选一个网络安全主题，以文章、贴士或最佳实践的形式与大家分享。 请留意每周三的更新，定时掌握最新鲜的网络安全资讯。
