مراجعة أمان الطرف الثالث

خطوات الاستخدام

أدخل العدد الإجمالي للموردين (vendors) الذين لديك في النظام. يشمل ذلك جميع الأطراف الثالثة التي تتعامل معها والمرتبطة ببيانات أو أنظمة حساسة. هذا المبلغ هو القاعدة الأساسية لحساب نسبة المراجعات المتأخرة.

أدخل عدد الموردين الحساسين (criticalVendors) من بين الإجمالي. المورد الحرج هو الذي لديه وصول إلى بيانات حساسة أو بنية تحتية أساسية. هذا الرقم يساعد في تقييم مدى خطورة تراكم المراجعات المتأخرة من منظور المخاطر.

أدخل عدد المراجعات الأمنية المتأخرة (overdueReviews) الإجمالي عبر جميع الموردين. تشمل هذه المراجعات التي تجاوزت موعدها المقرر دون إكمال. النسبة المحسوبة (overdueReviews / vendors) تعطي مؤشراً على مستوى المخاطر الأمنية الناتجة عن التأخير.

الأسئلة الشائعة

المورد العادي هو أي طرف ثالث يقدم خدمة أو منتج لكن دون وصول مباشر إلى بيانات حساسة أو أنظمة حيوية. على سبيل المثال، مزود خدمة التنظيف أو شركة توريد القرطاسية. المورد الحساس هو الذي يتعامل مع بيانات شخصية (مثل موفر خدمة سحابية يستضيف معلومات العملاء)، أو لديه إمكانية الوصول إلى الشبكة الداخلية، أو يؤثر على عمليات أساسية مثل معالجة الدفع. بالنسبة لهذه الآلة الحاسبة، يتم إدخال عدد الموردين الحساسين بشكل منفصل لأن تأخير مراجعتهم يشكل خطراً أكبر بكثير. من الناحية العملية، يجب أن يكون هناك معايير واضحة لتصنيف الموردين، مثل مستوى الوصول إلى البيانات، التأثير على استمرارية الأعمال، والالتزامات التنظيمية (مثل HIPAA للرعاية الصحية أو PCI DSS للبطاقات الائتمانية). إذا كانت نسبة الموردين الحساسين من بين المتأخرين مرتفعة، فإن ذلك يرفع مؤشر المخاطر العام وقد يستدعي إجراءات فورية.

معيار ISO 27001 يتطلب من المؤسسات إدارة مخاطر الأطراف الثالثة بشكل منهجي، بما في ذلك مراجعات دورية. مؤشر نسبة المراجعات المتأخرة هو مقياس أداء رئيسي (KPI) يمكن تضمينه في تقارير الامتثال. إذا كانت النسبة مرتفعة، فهذا يشير إلى فجوة في عملية المراجعة مما قد يؤدي إلى عدم الامتثال. في معيار NIST SP 800-53، يتم التركيز على التحكم في إدارة العلاقات مع الموردين (SR - Supply Chain Risk Management). يُنصح بوضع حد أقصى للنسبة (مثلاً 10%) ومراقبتها شهرياً. عند تجاوز الحد، يجب تنفيذ إجراءات تصحيحية مثل تعيين فريق إضافي للمراجعات أو استخدام أدوات آلية. أيضاً، يمكن ربط المؤشر بنظام إدارة المخاطر لتحديد أولويات التصحيح بناءً على خطورة الموردين المتأخرين. وبالتالي، استخدام هذا المؤشر يسهل إثبات العناية الواجبة أثناء التدقيق.

لا يوجد رقم مطلق ينطبق على الجميع، لكن الإرشادات العامة: للمؤسسات في قطاعات شديدة التنظيم (البنوك، الرعاية الصحية) يفضل أن تكون النسبة أقل من 5%، خاصة للموردين الحساسين. في القطاعات ذات المخاطر المتوسطة (التكنولوجيا العامة) يمكن قبول 10-15%، مع ضرورة مراجعة الموردين الحساسين بشكل منفصل. أما في البيئات منخفضة المخاطر، قد تكون 20% مقبولة مؤقتاً. لكن الأهم هو اتجاه النسبة: إذا كانت تتزايد شهراً بعد شهر، فهي علامة تحذير. أيضاً، يجب أن تكون عملية إعادة التقييم مستمرة: إذا كان هناك مورد حساس متأخر لمدة تزيد عن 3 أشهر، يجب رفع مستوى الخطر بغض النظر عن النسبة الإجمالية. يمكن للآلة الحاسبة أن تساعد في وضع حد ديناميكي: مثلاً، إذا (عدد الموردين الحساسين المتأخرين / عدد الموردين الحساسين) > 20%، فهذا خطر عالٍ. التركيز على التوزيع كما جاء في المثالين السابقين.

تحسين المؤشر يتطلب نهجاً متعدد الجوانب: أولاً، أتمتة أكبر قدر من عملية المراجعة باستخدام أدوات مثل منصات إدارة مخاطر الطرف الثالث التي ترسل تذكيرات تلقائية وتجميع الأدلة. ثانياً، تقسيم الموردين حسب المخاطر وتخصيص مواعيد مراجعة مختلفة: الموردين الحساسين كل 6 أشهر، والباقين سنوياً. ثالثاً، إنشاء حافز للموردين لإنهاء المراجعات في الوقت المحدد، مثل تضمين شرط جزائي في العقد أو خفض مستوى الوصول عند التأخير. رابعاً، إعادة تقييم عدد الموردين: هل جميعهم ضروريون؟ تقليل عدد الموردين (مثلاً عبر توحيد الخدمات) يقلل عبء المراجعة. خامساً، تطوير خطة طوارئ للموردين المتأخرين تشمل مراقبة إضافية أو استخدام بديل مؤقت. وأخيراً، مشاركة المؤشر مع الإدارة العليا بشكل دوري لضمان الدعم والموارد. باستخدام الآلة الحاسبة بشكل مستمر، يمكن تتبع أثر هذه التحسينات.

مراجعة أمان الطرف الثالث

أدخل القيم

خطوات الاستخدام

أمثلة محلولة

أمثلة محسوبة

الأسئلة الشائعة

أدخل القيم

خطوات الاستخدام

1لنفترض أن شركة تقنية لديها 500 مورد، منهم 50 مورداً حساساً. وقد تأخرت مراجعة 30 مورداً منهم. احسب مؤشر المخاطر وقدم توصيات.

2في شركة مالية، يتم التعامل مع 200 مورد، منهم 80 حساسين. إذا تأخرت مراجعات 40 مورداً، والنسبة المسموح بها داخلياً هي 10%، هل الشركة في حالة جيدة؟

أمثلة محسوبة

الأسئلة الشائعة