Tedarikçi denetimi: kritik tedarikçilerinizin güvenliğini kanıtla doğrulayın.
Anket yanıtlarına güvenmek yerine, verinize ve sistemlerinize erişen tedarikçilerin bilgi güvenliği, siber güvenlik ve KVKK kontrollerini online ve yerinde denetliyoruz.
Tedarikçi denetimi; bir tedarikçinin sizin verinizi ve hizmetinizi koruyan kontrollerinin gerçekten uygulandığını belge, kanıt, görüşme ve gerektiğinde yerinde gözlemle doğrulama çalışmasıdır. Secure Fors, 100’ü aşkın tedarikçi denetiminden gelen birikimle denetimi online ve yerinde aşamaları birlikte yürütür, bulguları risk seviyesine göre raporlar ve kapanışa kadar takip eder.
Anket ve sertifika tek başına yeterli değildir.
Tedarikçi güvenlik anketleri hızlı bir başlangıç sağlar, ancak yanıtlar çoğu zaman beyana dayanır. ISO/IEC 27001 gibi belgeler ise belirli bir kapsamı ve dönemi gösterir; sizin aldığınız hizmeti kapsamayabilir.
Verinize erişen, sistemlerinize bağlanan veya iş sürekliliğinizi doğrudan etkileyen tedarikçilerde, kontrollerin uygulanıp uygulanmadığını kanıtla görmek gerekir. Tedarikçi denetimi bu boşluğu kapatır.
Denetimde neleri inceliyoruz?
Yönetişim ve politikalar
Bilgi güvenliği politikası, roller, risk yönetimi ve farkındalık eğitimleri.
Erişim yönetimi
Kişiye özel hesaplar, çok faktörlü doğrulama, ayrıcalıklı erişim ve yetki gözden geçirmeleri.
Veri koruma ve KVKK
Şifreleme, veri saklama yeri, yurt dışı aktarım, iade ve imha süreçleri.
Altyapı ve uç nokta
Yama yönetimi, zararlı yazılım koruması, kayıt izleme ve zafiyet yönetimi.
Olay ve süreklilik
Olay müdahale prosedürü, bildirim taahhüdü, yedekleme ve felaket kurtarma testleri.
Alt yükleniciler
Dördüncü taraflar, sözleşmesel güvenlik gereklilikleri ve denetim hakları.
Denetim beş adımda ilerler.
Kapsam ve kritiklik
Tedarikçinin eriştiği veri, sistem ve hizmete göre denetim derinliği belirlenir.
Ön değerlendirme
Kademeye uygun soru seti ve kanıt talebi tedarikçiye iletilir.
Online denetim
Belgeler ve kanıtlar incelenir; sorumlularla görüşmeler yapılır.
Yerinde denetim
Gerekli durumlarda kontroller tedarikçinin lokasyonunda gözlemlenir.
Rapor ve takip
Bulgular risk seviyesiyle raporlanır, aksiyonlar kapanışa kadar izlenir.
Tedarikçinin kritikliğine göre üç seviye.
Quick Check
Yeni tedarikçi kabulünde ve düşük kritiklikteki tedarikçilerde hızlı ön değerlendirme.
Advanced Check
Kritik tedarikçilerde online ve yerinde denetimin birlikte yürütüldüğü kapsamlı denetim.
Continuous Check
Tedarikçi portföyünün periyodik olarak yeniden değerlendirilmesi ve izlenmesi.
Hangi standartlara göre denetliyoruz?
Denetim kriterleri kurumunuzun sektörüne ve tedarikçinin kritikliğine göre belirlenir. Değerlendirmelerde ISO/IEC 27001, tedarikçi ilişkilerinde bilgi güvenliğini ele alan ISO/IEC 27036, NIST çerçeveleri, Bilgi ve İletişim Güvenliği Rehberi (BİG Rehberi) ve 6698 sayılı KVKK gereklilikleri birlikte referans alınır.
Denetim sonunda tedarikçi bazında bulgular, toplanan kanıtlar, risk seviyesi ve düzeltici aksiyon önerilerini içeren rapor ile yönetime yönelik bir özet teslim edilir.
Tedarikçi denetimi hakkında sık sorulanlar
Tedarikçi denetimi ile tedarikçi anketi arasındaki fark nedir?
Anket, tedarikçinin kendi beyanına dayanan bir ön değerlendirmedir. Denetim ise bu beyanların belge, kanıt, görüşme ve gerektiğinde yerinde gözlemle doğrulanmasıdır.
Hangi tedarikçiler denetlenmeli?
Öncelik; kişisel veya gizli verinize erişen, sistemlerinize uzaktan bağlanan ya da kesintisi iş sürekliliğinizi doğrudan etkileyen kritik tedarikçilerdir. Kritiklik sınıflandırması bu önceliği belirler.
Denetim online mı yapılır, yerinde mi?
Her ikisi de mümkündür. Advanced Check paketinde online ve yerinde denetim birlikte yürütülür; düşük kritiklikteki tedarikçiler için online değerlendirme çoğu zaman yeterlidir.
Tedarikçi denetime katılmak istemezse ne olur?
Sözleşmede denetim hakkı tanımlı değilse süreç zorlaşır. Bu nedenle sözleşmelere denetim hakkı ve güvenlik gerekliliklerinin eklenmesini öneriyoruz; bu durumda bile kanıta dayalı uzaktan değerlendirme yapılabilir.
Denetim sonunda ne teslim edilir?
Tedarikçi bazında bulgular, kanıtlar, risk seviyesi ve düzeltici aksiyon önerilerini içeren rapor ile yönetim özeti teslim edilir. Bulguların kapanışı takip edilebilir.
Denetlediğimiz tedarikçilerin ortalama olgunluk puanı: yaklaşık 50 / 100
- Puanlanmış 11 tedarikçi denetiminin 5’inde tedarikçi 50 puanın altında kaldı.
- En sık eksik: zafiyet yönetiminin merkezi bir araçla ve kapanış takibiyle yürütülmemesi (değerlendirilen denetimlerin yaklaşık %89’u).
- En zayıf alanlar: yapay zekâ ve model güvenliği, kullanım ömrü dolmuş bileşenler ve sürekli zafiyet yönetimi.
Kritik tedarikçilerinizi birlikte belirleyelim.
Kısa bir ön görüşmede tedarikçi portföyünüzü ve öncelikli denetim ihtiyacınızı değerlendirelim.