IT აუდიტი | მესამე მხარის რისკები | საოპერაციო მდგრადობა
ICT აუთსორსინგისა და მესამე მხარეების ტექნოლოგიური რისკების აუდიტი
გარე ტექნოლოგიურ მომწოდებლებთან დაკავშირებული კიბერუსაფრთხოების, ინფორმაციული უსაფრთხოების, საოპერაციო და რეგულაციური რისკების დამოუკიდებელი შეფასება — აუთსორსინგის მმართველობის, კონტრაქტების, Cloud ინფრასტრუქტურის, მომსახურების უწყვეტობისა და მომწოდებლების უსაფრთხოების კონტროლების შემოწმებით.
რატომ არის მნიშვნელოვანი ICT აუთსორსინგის რისკების აუდიტი?
გარე ტექნოლოგიურ სერვისებზე დამოკიდებულებამ შეიძლება კრიტიკული რისკები შექმნას. მომსახურების გადაცემა არ აუქმებს ორგანიზაციის პასუხისმგებლობას ამ რისკების მართვაზე. ვაფასებთ როგორც კონტროლის დიზაინს, ისე მისი პრაქტიკული მოქმედების მტკიცებულებას.
- მომწოდებლების კონცენტრაცია და საერთო შეფერხების წერტილები
- არასანქცირებული წვდომა, მონაცემთა გამჟღავნება და საზღვარგარეთ გადაცემა
- უსაფრთხოების ინციდენტები, დაგვიანებული შეტყობინება და სერვისის შეფერხება
- სუსტი კონტრაქტები, არასაკმარისი მონიტორინგი და რთული გამოსვლა
ვისთვის არის განკუთვნილი მომსახურება?
აუდიტი განკუთვნილია ორგანიზაციებისთვის, რომელთა საქმიანობა გარე ICT მომწოდებლებზეა დამოკიდებული. რეგულაციური ვალდებულებები განსხვავდება სექტორის, სამართლებრივი სტატუსისა და მომსახურების კრიტიკულობის მიხედვით.
- ბანკები, მიკრობანკები, FinTech და საგადახდო მომსახურების პროვაიდერები
- სადაზღვევო, ენერგეტიკული, კომუნალური და სატელეკომუნიკაციო ორგანიზაციები
- ჯანდაცვა, საჯარო სექტორი და კრიტიკული ინფრასტრუქტურა
- Cloud და მართული ICT მომსახურებების მომხმარებელი ორგანიზაციები
ICT აუთსორსინგის აუდიტის თორმეტი მიმართულება
მომწოდებლებსა და ტესტებს რისკის მიხედვით ვარჩევთ, კრიტიკული სერვისების პრიორიტეტით. თითოეული მიგნება უკავშირდება კრიტერიუმს, მტკიცებულებას, რისკსა და რეკომენდებულ ქმედებას. ტექნიკური ტესტირება ცალკე ფარგლებსა და წვდომის თანხმობას საჭიროებს.
- 01
ICT აუთსორსინგის მმართველობა
სტრატეგია, საბჭოს ზედამხედველობა, პასუხისმგებლობა, დამტკიცება, რისკის მადა და ანგარიშგება.
- 02
მესამე მხარის რისკის შეფასება
კრიტიკულობა, არსებითობა, საწყისი და ნარჩენი რისკი, ხელახალი შეფასება და ესკალაცია.
- 03
მომწოდებლის წინასწარი შემოწმება
ფინანსური მდგომარეობა, უსაფრთხოების მტკიცებულებები, იურისდიქცია, მფლობელობა და ქვეკონტრაქტორები.
- 04
საკონტრაქტო უსაფრთხოება და აუდიტის უფლებები
მონაცემთა მფლობელობა, კონფიდენციალურობა, SLA, წვდომის უფლებები, შეტყობინება და გამოსვლის პირობები.
- 05
Cloud უსაფრთხოება და განაწილებული პასუხისმგებლობა
IaaS/PaaS/SaaS როლები, კონფიგურაცია, დაშიფვრა, ჟურნალები, მონაცემთა მდებარეობა და აღდგენა.
- 06
იდენტობა და პრივილეგირებული წვდომა
მომწოდებლის ანგარიშები, MFA, თანხმობები, დისტანციური წვდომა, გადახედვა და გაუქმება.
- 07
მონაცემთა დაცვა და პირადი ცხოვრება
კლასიფიკაცია, დამუშავების პირობები, გადაცემა, შენახვა, მინიმიზაცია და წაშლა.
- 08
მონიტორინგი და ინციდენტებზე რეაგირება
აღმოჩენა, შეტყობინება, ესკალაცია, ერთობლივი რეაგირება და მიღებული გამოცდილება.
- 09
უწყვეტობა და კატასტროფის შემდგომი აღდგენა
RTO/RPO, სარეზერვო ასლები, აღდგენა, რეზერვირება, სავარჯიშოები და კოორდინაცია.
- 10
მეოთხე მხარე და კონცენტრაციის რისკი
ქვეკონტრაქტორები, საერთო მომწოდებლები, გეოგრაფიული დამოკიდებულება და საერთო შეფერხების წერტილები.
- 11
მომწოდებლის შედეგები და SLA
ხელმისაწვდომობა, ინციდენტები, უსაფრთხოების მაჩვენებლები, გადახედვა და განმეორებითი ხარვეზები.
- 12
გამოსვლა და მომწოდებლის ცვლილება
პორტაბელურობა, ჩანაცვლება, მონაცემთა დაბრუნება ან წაშლა, ცოდნის გადაცემა და უწყვეტობა.
როგორ ვატარებთ აუდიტს?
- 01
დაგეგმვა და ფარგლები
კრიტიკული მომწოდებლების, სისტემების, კონტრაქტებისა და კრიტერიუმების განსაზღვრა.
- 02
რისკის კლასიფიკაცია
დამოკიდებულებების, არსებითობისა და საწყისი რისკის აღწერა.
- 03
მტკიცებულებების განხილვა
კონტრაქტების, შეფასებების, გარანტიის ანგარიშებისა და ტექნიკური ჩანაწერების შემოწმება.
- 04
კონტროლების ტესტირება
პასუხისმგებლებთან ინტერვიუ და შეთანხმებული მმართველობის, უსაფრთხოებისა და აღდგენის კონტროლების შემოწმება.
- 05
მიგნებები და რისკი
დიზაინის ხარვეზებისა და მოქმედების ჩავარდნების გამიჯვნა, ნარჩენი რისკის შეფასება.
- 06
ანგარიშგება
დამოუკიდებელი ანგარიშის წარდგენა მტკიცებულებებითა და პრიორიტეტული რეკომენდაციებით.
რა მტკიცებულებებს განვიხილავთ?
მტკიცებულებების ზუსტი სია განისაზღვრება შეთანხმებული მომწოდებლების, სერვისებისა და აუდიტის კრიტერიუმების მიხედვით.
- მომწოდებლების რეესტრები, კლასიფიკაცია და რისკის შეფასებები
- წინასწარი შემოწმება, კონტრაქტები, SLA და გარანტიის ანგარიშები
- Cloud არქიტექტურა, წვდომის ჩანაწერები და უსაფრთხოების მონიტორინგი
- ინციდენტების, უწყვეტობის, აღდგენისა და მომწოდებლის შედეგების ჩანაწერები
- ქვეკონტრაქტორების სიები, გამოსვლის გეგმები და კომიტეტების ანგარიშები
რას მიიღებს ორგანიზაცია?
საბოლოო შედეგები დამოკიდებულია შეთანხმებულ ფარგლებსა და ხელმისაწვდომ მტკიცებულებებზე.
- 01
დამოუკიდებელი აუდიტის ანგარიში
ფარგლები, კრიტერიუმები, მტკიცებულებები, მიგნებები და დასკვნები.
- 02
მომწოდებლების რისკის მატრიცა
კრიტიკულობა, საწყისი და ნარჩენი რისკები.
- 03
რეგულაციური და კონტროლების მატრიცა
ორგანიზაციისთვის გამოყენებადი მოთხოვნების რუკა.
- 04
უსაფრთხოების მიგნებების რეესტრი
კონტროლის სისუსტეები, მტკიცებულებები და გავლენა.
- 05
დამოკიდებულებების შეფასება
კრიტიკული მომწოდებლები, მეოთხე მხარეები და კონცენტრაცია.
- 06
მაკორექტირებელი გეგმა
პრიორიტეტული, რისკზე დაფუძნებული რეკომენდაციები.
- 07
ხელმძღვანელობის რეზიუმე
ძირითადი რისკები და გადაწყვეტილებები.
- 08
არასავალდებულო შემდგომი შეფასება
გამოსწორების მტკიცებულებების ცალკე გადამოწმება.
რატომ IO Consulting?
ჩვენი მიდგომა აერთიანებს სტრუქტურირებულ, მტკიცებულებებზე დაფუძნებულ პროცედურებს ფინანსური სექტორის ტექნოლოგიური რისკის, კიბერუსაფრთხოებისა და საოპერაციო მდგრადობის ხედვასთან. ანგარიშში აუდიტორის დასკვნა გამიჯნულია მენეჯმენტის ქმედებებისგან; მარეგულირებლის მხარდაჭერას არ ვამტკიცებთ.
- დამოუკიდებელი დასკვნები და მიკვლევადი მტკიცებულებები
- ტექნიკური კონტროლების შეფასება კითხვარების მიღმა
- მომწოდებლის უწყვეტობისა და აღდგენის ხედვა
- მკაფიო რეკომენდაციები ხელმძღვანელობისა და აუდიტის კომიტეტებისთვის
რა ღირებულებას ქმნის აუდიტი?
დამოუკიდებელი ხედვა ხელმძღვანელობას პრიორიტეტების განსაზღვრაში ეხმარება; ის ვერ იძლევა შესაბამისობის, რისკის აღმოფხვრის ან საზედამხედველო დამტკიცების გარანტიას.
- კრიტიკული მომწოდებლებისა და Cloud დამოკიდებულებების გააზრება
- საკონტრაქტო უფლებებისა და წვდომის კონტროლების გაძლიერება
- ინციდენტების კოორდინაციის, უწყვეტობისა და გამოსვლის მზადყოფნის გაუმჯობესება
- გამოსწორების პრიორიტეტიზაცია და მარეგულირებელი მზადყოფნის მხარდაჭერა
რეგულაციური და მეთოდოლოგიური საფუძველი
საქართველოს მოთხოვნები კონკრეტული ორგანიზაციისა და აუთსორსინგული ურთიერთობის მიხედვით უნდა განისაზღვროს. NBG-ის Cloud აუთსორსინგისა და საოპერაციო რისკის მოთხოვნები შეიძლება შეეხებოდეს ზედამხედველობის ქვეშ მყოფ ფინანსურ ორგანიზაციებს. ISO/IEC 27001:2022, ISO/IEC 27036, ISO 22301, NIST CSF 2.0 და COBIT 2019 შეფასების წყაროებია და ავტომატურ სამართლებრივ ვალდებულებებს არ ქმნის. EBA-ის სახელმძღვანელო და EU DORA განიხილება მხოლოდ მათი მოქმედების სფეროს შესაბამის შემთხვევაში.
- NBG-ის №195/04 ბრძანება Cloud აუთსორსინგის შესახებ
- NIST CSF 2.0-ის მიწოდების ჯაჭვის რისკის სახელმძღვანელო
- EBA-ის აუთსორსინგის სახელმძღვანელო, შესაბამის შემთხვევაში
- EU DORA, შესაბამის შემთხვევაში
ხშირად დასმული კითხვები
რა არის ICT აუთსორსინგის რისკი?
ეს არის გარე მომწოდებლებზე ტექნოლოგიის, მონაცემებისა და კრიტიკული სერვისების დამოკიდებულებით წარმოქმნილი რისკი. ორგანიზაცია საკუთარ რისკზე პასუხისმგებლობას ინარჩუნებს.
რით განსხვავდება წინასწარი შემოწმება აუდიტისგან?
წინასწარი შემოწმება მომწოდებლის არჩევასა და ჩართვას ემსახურება. დამოუკიდებელი აუდიტი შეთანხმებული კრიტერიუმებით აფასებს კონტროლის დიზაინსა და მოქმედების მტკიცებულებას.
რომელი მომწოდებლები შედიან აუდიტში?
ფარგლები რისკზეა დაფუძნებული. პრიორიტეტია კრიტიკული მომწოდებლები; დანარჩენები ერთვებიან მონაცემებზე წვდომის, კონცენტრაციის ან სერვისის დამოკიდებულების მიხედვით.
მოიცავს თუ არა აუდიტი Cloud მომწოდებლებს?
დიახ, შეთანხმებული ფარგლებით. ვაფასებთ განაწილებულ პასუხისმგებლობას, კონფიგურაციას, მონაცემთა დამუშავებას, მტკიცებულებებს, უწყვეტობასა და გამოსვლას.
რომელი საკონტრაქტო პირობებია მნიშვნელოვანი?
მნიშვნელოვანია უსაფრთხოების ვალდებულებები, აუდიტისა და მარეგულირებლის წვდომა, ინციდენტის შეტყობინება, ქვეკონტრაქტორები, SLA, მონაცემთა დაბრუნება ან წაშლა და შეწყვეტა.
რა არის მეოთხე მხარის რისკი?
ის წარმოიშობა მომწოდებლის ქვეკონტრაქტორებისა და დამოკიდებულებებისგან, მათ შორის საერთო Cloud პლატფორმებისგან, რომლებმაც თქვენს სერვისზე შეიძლება იმოქმედოს.
როგორ ფასდება კონცენტრაციის რისკი?
ვადგენთ საერთო მომწოდებლებს, მდებარეობებს, ტექნოლოგიებსა და შეფერხების წერტილებს, შემდეგ ვაფასებთ ერთობლივი შეფერხების გავლენასა და ალტერნატივებს.
როგორ ფასდება უწყვეტობა და აღდგენა?
ვიხილავთ მომწოდებლის გეგმებს, RTO/RPO-ს, სარეზერვო ასლებისა და აღდგენის მტკიცებულებას, სავარჯიშოებსა და ორგანიზაციის გეგმებთან კოორდინაციას.
ყველა ქართულ ბანკს სჭირდება ცალკე ყოველწლიური გარე აუთსორსინგის აუდიტი?
ასეთი საერთო მოთხოვნა არ უნდა ვივარაუდოთ. NBG-ის გამოყენებადი ვალდებულებები და დამოუკიდებელი შეფასების საჭიროება უნდა შემოწმდეს კონკრეტული ორგანიზაციის, ურთიერთობისა და მოქმედი წესების მიხედვით.
რას შეიცავს ანგარიში?
შეთანხმებული ანგარიში მოიცავს ფარგლებს, კრიტერიუმებს, მტკიცებულებებს, მიგნებებს, რისკის გავლენასა და პრიორიტეტულ რეკომენდაციებს, ხელმძღვანელობის რეზიუმესთან ერთად.
შეიძლება აუდიტი მხოლოდ კრიტიკულ მომწოდებლებს შეეხოს?
დიახ. მიზნობრივი აუდიტი შეიძლება მოიცავდეს შერჩეულ კრიტიკულ მომწოდებლებს, თუ ფარგლები და გამონაკლისები დოკუმენტირებულია.
შეუძლია IO Consulting-ს გამოსწორების გადამოწმება?
არასავალდებულო, ცალკე შეთანხმებული შემდგომი შეფასება შეიძლება გადაამოწმოს მაკორექტირებელი ქმედებების მტკიცებულებები დამოუკიდებლობის დაცვით.
შეაფასეთ თქვენი ორგანიზაციის დამოკიდებულება ტექნოლოგიურ მომწოდებლებზე
IO Consulting გთავაზობთ ICT აუთსორსინგისა და მესამე მხარეების ტექნოლოგიური რისკების დამოუკიდებელ აუდიტს — მომწოდებლების უსაფრთხოების, კონტრაქტების, კრიტიკული დამოკიდებულებებისა და საოპერაციო მდგრადობის შეფასებით.
მოითხოვეთ აუდიტი