Vendor Security · Preparation Kit
Chuẩn bị Vendor Security Assessment
Bộ tài liệu chuẩn bị quy trình đánh giá bảo mật nhà cung cấp, từ vendor inventory, security questionnaire, đến ongoing monitoring. Yêu cầu phổ biến trong ISO 27001 (A.5.19, A.5.20), SOC 2 (CC9.2), HIPAA (BAA).
Nhận hỗ trợ từ pTrackly →1. Vendor Inventory
- □ Liệt kê tất cả vendors xử lý hoặc truy cập dữ liệu công ty
- □ Phân loại vendor theo criticality: critical / high / medium / low
- □ Xác định: vendor có access personal data không? Có store CHD/PHI không?
- □ Document vendor owner (ai trong công ty làm việc với vendor này)
2. Security Questionnaire
- □ Gửi security questionnaire khi onboard vendor mới
- □ Câu hỏi phổ biến: có ISO 27001 / SOC 2 không? Encryption? Access control? Incident response?
- □ Request SOC 2 report hoặc ISO 27001 certificate nếu vendor là critical
- □ Đánh giá questionnaire responses, pass / conditional pass / fail
3. Vendor Risk Assessment
- □ Đánh giá inherent risk: data sensitivity × vendor access level
- □ Đánh giá vendor security posture từ questionnaire và certifications
- □ Tính residual risk sau khi vendor controls
- □ Document risk acceptance hoặc require vendor remediation
4. Vendor Agreements (Contracts)
- □ Security requirements trong contract: confidentiality, data protection, incident notification
- □ Data Processing Agreement (DPA) nếu vendor xử lý personal data (GDPR/PDPD)
- □ Business Associate Agreement (BAA) nếu vendor access PHI (HIPAA)
- □ Right to audit clause, quyền kiểm toán vendor khi cần
- □ Breach notification timeline, vendor phải thông báo breach trong bao lâu
5. Ongoing Monitoring
- □ Re-assess vendor security annually hoặc khi có major change
- □ Track vendor certification expiry: SOC 2 report 1 năm, ISO 27001 cert 3 năm
- □ Monitor vendor incidents, có breach nào xảy ra không?
- □ Offboard vendor checklist khi ngừng sử dụng: xóa data, revoke access
pTrackly giúp bạn triển khai Vendor Security nhanh hơn với templates và evidence collection tự động.
Đặt Demo Miễn Phí
Biến kiến thức tuân thủ thành công việc được thực hiện
Trợ lý AI hướng dẫn từng bước, bằng chứng được thu thập tự động và trạng thái kiểm soát luôn nằm trong một workspace.
Trong buổi trao đổi, chúng tôi xác định framework, phạm vi hệ thống và cách pTrackly phù hợp với quy trình hiện tại của bạn.
Không thay thế đơn vị kiểm toán hoặc tổ chức chứng nhận độc lập.