HodeiShield®

Nola ebaluatu TPRM plataformak nire sektorerako?

Egilea: HodeitekArgitaratua

Hirugarrenen arriskurako tresna bat erosi, alderatu edo ordezkatzeko zorian dauden segurtasun eta betetze arduradunentzat, demo bat ikusi aurretik beren araudiak zer eskatzen duen jakin nahi dutenentzat.

Hasi lotzen zaituen araudiatik, ez funtzioen zerrendatik. Arau bakoitzerako (DORA, NIS2, ENS, HIPAA, CMMC 2.0, SAMA edo ECC) egiaztatu hirugarrenei buruz zer eskatzen duen, zer ebidentzia espero duen eta plataformak arduraduna eta data dituela gordetzen duen. Gero, erosi aurretik, probatu zure hornitzaileekin eta idatzi tresna bakoitzak zer ez duen egiten.

Deskargatu kontrol-zerrenda PDF formatuanTPRM plataformen ebaluazio-zerrenda sektorearen arabera. PDF, zuzeneko deskarga, formulariorik gabe

Edozein sektoretan balio duten irizpideak

Arau bakoitza aztertu aurretik, sei galdera dira beti baliagarri. Bakar bat ere ez dago tresnaren markaren menpe, eta guztiak zure datuekin egindako demo batean probatu daitezke.

Plataforman zer egiaztatu

  • Hirugarrenen inbentarioa: barne-arduraduna, kritikotasuna, kontratuaren datuak eta azpikontratistak.
  • Ebidentzia arduradunarekin, baliozkotasun-datarekin eta egoerarekin, eta iraungitakoak zenbatzeari uztea.
  • Hornitzailearen informazioa nola lortzen den: galdetegia, dokumentuak, kanpoko eskaneatzea, SBOM. Bide bakoitzak gauza desberdina neurtzen du.
  • Puntuazioa edo arriskua nola kalkulatzen den: sarrera ikusgarriak, metodo dokumentatua eta zenbatespen gisa markatutako balioak.
  • Aldaketen erregistroa, zure datuen esportazioa eta API bat, tresna uzteko aukera izateko.
  • Datuak non ostatatzen diren, zer azpiduntzaile parte hartzen duten eta plataformak zer ez duen egiten. Bakar batek ere ez zaitu bere kabuz betetzera eramaten.

DORA: EBko finantza-erakundeak

DORA 2022/2554 Erregelamendua (EB) da eta 2025eko urtarrilaren 17tik aplikatzen da. 28. artikuluak argi uzten du erakundeak erantzule izaten jarraitzen duela azpikontratatuta ere, IKT hirugarrenen arriskuaren estrategia eskatzen du eta 3. atalean kontratu-akordio guztien informazio-erregistro bat. 29. artikuluak kontzentrazio-arriskua ebaluatzeko eskatzen du, 30.ak gutxieneko kontratu-klausulak ezartzen ditu (irteera-planekin eta sarbide- eta auditoria-eskubideekin funtzio kritiko edo garrantzitsuetarako) eta 31.ak hornitzaile kritikoen izendapena aurreikusten du, eta ondoren Europako gainbegiratzepean geratzen dira.

Erregistroaren formatua 2024/2956 Betearazpen-erregelamenduak (EB) finkatzen du.

Plataforman zer egiaztatu

  • Erregistro bat LEI, jurisdikzio, onartzen duen funtzio eta kritikotasunarekin, hornitzaile eta kontratu bakoitzeko.
  • Txantiloi ofizialen formatuko esportazioa (gainbegiratzaileen gidek xBRL-CSV paketeak aipatzen dituzte), kanal ofizialetik aurkeztea zure esku geratuz.
  • Kontratu bakoitzeko irteera-planaren, auditoria-eskubidearen eta azpikontratazio-katearen jarraipena.
  • Kontzentrazio-ikuspegi bat: zenbat funtziok dauden hornitzaile beraren menpe.

Iturria: 2022/2554 Erregelamendua (EB) (DORA), 28 eta 31 artikuluen artean, EUR-Lex-en (fitxa berri batean irekitzen da); 2024/2956 Betearazpen-erregelamendua (EB), informazio-erregistroaren txantiloiak, EUR-Lex-en (fitxa berri batean irekitzen da)

NIS2: EBko erakunde funtsezko eta garrantzitsuak

2022/2555 Zuzentarauak (EB) 21. artikuluaren 2. apartatuko d) letran hornidura-katearen segurtasun-neurriak eskatzen ditu, hornitzaile zuzen bakoitzarekiko harremanaren segurtasun-alderdiak barne. 21. artikuluaren 3. apartatuak gehitzen du hornitzaile bakoitzaren zuzeneko ahulguneak eta bere produktuen eta zibersegurtasun-jardunen kalitate orokorra kontuan hartu behar direla. 20. artikuluak zuzendaritza-organoa egiten du neurri horiek onartzeaz eta gainbegiratzeaz arduradun.

DNS, hodei, datu-zentro, kudeatutako zerbitzu eta beste hornitzaile mota jakin batzuetarako, 2024/2690 Betearazpen-erregelamenduak (EB) eskakizun teknikoak gehitzen ditu.

Plataforman zer egiaztatu

  • Hornitzaile bakoitzeko ebaluazioa, ahulguneak eta segurtasun-jardunak barne, ez galdetegi generiko bat soilik.
  • Hornitzaileak zuri egindako intzidentzien jakinarazpen-klausulak, epearen jarraipenarekin.
  • Zuzendaritza-organoak onartu eta berrikus ditzakeen txostenak.
  • Intzidentzien kudeaketa 23. artikuluko epeekin: 24 ordu, 72 ordu eta hilabete bat.

Iturria: 2022/2555 Zuzentaraua (EB) (NIS2), 20., 21. eta 23. artikuluak, EUR-Lex-en (fitxa berri batean irekitzen da); 2024/2690 Betearazpen-erregelamendua (EB), eskakizun tekniko eta metodologikoak, EUR-Lex-en (fitxa berri batean irekitzen da)

ENS: Espainiako sektore publikoa eta bere hornitzaileak

311/2022 Errege Dekretua sektore publikoari aplikatzen zaio eta, 2. artikuluaren 3. apartatuaren arabera, erakunde publiko bati zerbitzuak edo irtenbideak ematen dizkioten erakunde pribatuen sistemei ere bai. II. eranskinean, op.ext.1 neurriak zerbitzu-mailaren akordio bat eskatzen du kanpoko baliabideak erabili aurretik, op.ext.2k haren betetzea neurtzeko sistema arrunt bat eta op.ext.3k hornidura-katearen babesa.

Lehen biak kategoria ertain eta altuan aplikatzen dira; op.ext.3 kategoria altuan aplikatzen da.

Plataforman zer egiaztatu

  • Sistemaren kategoria bereizten duela (oinarrizkoa, ertaina, altua) eta zer op.ext neurri aplikatzen diren erakusten duela.
  • Hornitzaile bakoitzeko zerbitzu-mailaren akordioak eta haien betetzearen aldizkako neurketa.
  • Hornidura-katean sortutako intzidentzia baterako inpaktu- eta arrisku-analisia, ukipen-neurriekin.
  • Hornitzailearen beraren ENS konformitate-egoera, erakunde publiko bati zerbitzua ematen dionean.

Iturria: 311/2022 Errege Dekretua (ENS), 2. artikulua eta II. eranskina, op.ext neurriak, BOE-n (gaztelaniaz) (fitxa berri batean irekitzen da)

HIPAA: AEBetako osasuna eta business associate-ak

HIPAAren arabera, covered entity baten kontura babestutako osasun-informazioa sortzen, jasotzen, mantentzen edo transmititzen duena business associate da. Security Rule-ak (45 CFR 164.308(b) eta 164.314(a)) business associate bati ePHI maneiatzeko baimena ematen dio kontratuko berme egokiak daudenean soilik. 164.502(e) eta 164.504(e) ataletan gauza bera arautzen da Privacy Rule-rentzat, business associate-ak bere azpikontratistengandik lortu behar dituen bermeak barne.

Business associate batek covered entity-ri urraketa bat jakinarazi behar dio atzerapen bidegaberik gabe eta, gehienez, aurkitu eta 60 egun naturaleko epean (164.410).

Plataforman zer egiaztatu

  • Zer hirugarrenek ukitzen duten osasun-informazioa markatzea eta bakoitzaren business associate kontratuaren egoera, datekin.
  • Business associate-aren azpikontratisten eta haien bermeen erregistroa.
  • Urraketak jakinarazteko klausulen eta 60 eguneko epearen jarraipena.
  • Plataformak berak osasun-informazioa gordeko badu, business associate da: eskatu kontratua datuak kargatu aurretik.

Iturria: 45 CFR 164.308(b), business associate-ekiko kontratuak, eCFR-n (fitxa berri batean irekitzen da); 45 CFR 164.314(a), business associate-en kontratuak (Security Rule), eCFR-n (fitxa berri batean irekitzen da); 45 CFR 164.502(e), business associate-ei egindako jakinarazpenak, eCFR-n (fitxa berri batean irekitzen da); 45 CFR 164.504(e), business associate-en kontratuen edukia, eCFR-n (fitxa berri batean irekitzen da); 45 CFR 164.410, business associate-aren jakinarazpena, eCFR-n (fitxa berri batean irekitzen da)

CMMC 2.0: AEBetako defentsa-hornidura katea

CMMC programa 32 CFR 170. zatian dago. 170.23 atalak kontratista nagusia betetzera behartzen du eta bere azpikontratistei betetzeko eskatzera, maneiatzen duten informazioaren araberako gutxieneko maila batekin: 1. maila CUI gabeko kontratu federaletako informaziorako eta gutxienez 2. maila CUI dagoenean. 170.16(c) eta 170.17(c) atalek gehitzen dute CUI maneiatzen duen hodei-hornitzaileak FedRAMP Moderate baimena izan behar duela edo baliokideak diren eskakizunak bete behar dituela.

Plataforman zer egiaztatu

  • Hornitzaile bakoitzeko eremu bat maneiatzen duen informazio motarekin (FCI edo CUI) eta eskatzen zaion CMMC mailarekin.
  • Eskakizunak kontratuan transmititu dituzula frogatzen duen ebidentzia (flow-down).
  • Azpikontratista bakoitzaren egoera eskatutako mailaren aldean, azken ebidentziaren datarekin.
  • CUI tresnan kargatuko baduzu, haren ostatatzeak 170.16(c)-ko hodei-eskakizuna betetzen duela.

Iturria: 32 CFR 170.23, azpikontratistei aplikatzea, eCFR-n (fitxa berri batean irekitzen da); 32 CFR 170. zatia (CMMC programa), eCFR-n (fitxa berri batean irekitzen da)

SAMA eta NCAren ECC: Saudi Arabiako finantza- eta sektore nazionala

SAMAren Cyber Security Framework-ak 3.4 domeinua eskaintzen die hirugarrenei, hiru azpidomeinurekin: 3.4.1 kontratuak eta hornitzaileen kudeaketa, 3.4.2 azpikontratazioa eta 3.4.3 hodei-konputazioa. NCAren Essential Cybersecurity Controls-ek (ECC-2:2024) 4. domeinua dute, hirugarrenen eta hodei-konputazioaren zibersegurtasuna.

Plataforman zer egiaztatu

  • Esparruen liburutegiak SAMA eta ECC barne hartzen dituela eta edizioa adierazten duela (guk kontsultatutakoa ECC-2:2024 da).
  • Sistemetara edo datuetara sarbidea duten hirugarrenen inbentarioa eta hornitzaile bakoitzeko kontratu-klausulak.
  • Azpikontratazio- eta hodei-hornitzaileen marka, SAMAn azpidomeinu propioa dutenak.
  • Kontrol bakoitzeko ebidentzia, arduradunarekin eta datarekin, gainbegiratze-erakundeari erantzuteko.

Iturria: SAMA Cyber Security Framework, 3.4 domeinua «Third Party Cyber Security», SAMA Rulebook-ean (fitxa berri batean irekitzen da); NCA Essential Cybersecurity Controls (ECC-2:2024), 4. domeinua (fitxa berri batean irekitzen da)

Tresna motak eta HodeiShield non kokatzen den

Lau familia daude eta bat ere ez da abstraktuki hobea: galdetegi- eta ebidentzia-bilketako plataformak, kanpoko segurtasun-puntuazioko zerbitzuak, hornitzaile-modulua duten GRC suiteak eta hornitzaileen ebidentzia, arriskuaren kuantifikazioa eta esparru anitzeko betetzea batzen dituzten plataforma integratuak. HodeiShield laugarrenekoa da, eta aukera bat da beste batzuen artean.

Bere dokumentazioaren arabera, hornitzailearen puntuazioa kalkulatzen du 0tik 100era, mendekotasunak grafo batean, eragin-erradioa eta kontzentrazio-indizea (HHI) dituela; kanpoko eskaneatzea egiten du (ireki diren atakak, CVEak, ezagutzen diren urraketak), hornitzaileen SBOMak (CycloneDX edo SPDX) OSV.dev-ekin gurutzatzen ditu eta hornitzaileak galdetegiak erabilera bakarreko esteka batekin, konturik gabe, erantzuteko ataria eskaintzen du. FAIR esposizioa kuantifikatzen du euroetan, simulatutako ziurgabetasun-banda batekin (kalibratu gabea). 17 esparru neurtzen ditu, tartean NIS2, ENS, DORA, HIPAA, CMMC 2.0, SAMA CSF eta Saudi ECC-1:2018, bere kontrolen gaineko estaldura gisa, ez ziurtagiri gisa.

Mugak: dokumentu-ebidentzia kargatu edo estekatu egiten da, ez da hodeitik bere kabuz biltzen. DORAren informazio-erregistroa xBRL-CSV pakete gisa sortzen du, baina aurkeztea zuk egiten duzu.

Alderaketa nola egin

Bi edo hiru hautagaiekin, kargatu hamar hornitzaile errealak berberak bakoitzean, kritikoena eta azpikontratista gehien dituena barne. Eskatu tresna bakoitzari zure gainbegiratzaileak edo auditoreak eskatuko lukeena sortzeko: erregistroa, kontrol baten ebidentzia eta intzidentzia baten epea. Puntuatu PDFko zerrendarekin eta idatzi bakoitzak zer ez duen egiten.

Maiz egiten diren galderak

Zer da TPRM plataforma bat?
Hirugarrenak inbentariatzeko, haien segurtasun-ebidentzia biltzeko eta zaintzeko, arriskua neurtzeko eta gainbegiratzaileek eskatzen dituzten erregistroak gordetzeko softwarea. TPRM hirugarrenen arriskuaren kudeaketa da.
TPRM plataforma batek DORA edo NIS2 betetzera eramaten nau?
Ez. Erantzukizuna erakundearena da (DORAren 28. artikulua) eta, NIS2n, zuzendaritza-organoarena (20. artikulua). Tresnak datuak eta epeak ordenatzen ditu; erabakiak zuk hartzen dituzu.
Zer aldea dago kanpoko eskaneatzearen eta galdetegiaren artean?
Eskaneatzeak kanpotik ikusten dena neurtzen du, esate baterako ireki diren atakak edo ezagutzen diren urraketak. Galdetegiak hornitzaileak bere barne-kontrolei buruz adierazten duena biltzen du. Elkarren osagarri dira, eta bakar batek ere ez du bere kabuz frogatzen kontrol bat funtzionatzen duela.
Zein hornitzailerekin hasi?
Funtzio kritiko edo garrantzitsuak onartzen dituztenekin (DORA), osasun-informazioa (HIPAA) edo CUI (CMMC) ukitzen dutenekin eta alternatibarik ez dutenekin. Gero, zabaldu kritikotasunaren arabera.
Eta arau askoren mende nagoenean aldi berean?
Bilatu esparruen arteko korrespondentzia bat ebidentzia bera berrerabiltzeko, eta egiaztatu korrespondentzia bakoitza berrikusgarria dela. Bi esparrutarako balio duen erantzun batek korrespondentzia zuzena bada soilik balio du.
Zer galdetu nire datuak non gordetzen diren jakiteko?
Ostatatze-eskualdea, azpiduntzaileak, zifratzea, babeskopiak eta uztean datuak nola berreskuratzen dituzun. Araudiaren arabera eskakizun gehigarriak egon daitezke, CMMCn 170.16(c)-ko hodei-eskakizuna adibidez.

TPRM plataformen ebaluazio-zerrenda sektorearen arabera

Irizpide komunak eta DORA, NIS2, ENS, HIPAA, CMMC 2.0 eta SAMA edo ECC arauenak inprimatzeko moduko zerrenda batean, arau bakoitzaren iturriarekin eta oharretarako lekuarekin.

Deskargatu kontrol-zerrenda PDF formatuan

PDF, zuzeneko deskarga, formulariorik gabe

Lotutako gida

Nola lortu NIS2 betetzea softwarearekin?NIS2 baduzu araubide nagusi, irakurri softwareak betetzeko zer egin dezakeen eta zer ez.

Iturriak

  1. 2022/2554 Erregelamendua (EB) (DORA), 28 eta 31 artikuluen artean, EUR-Lex-en (fitxa berri batean irekitzen da)
  2. 2024/2956 Betearazpen-erregelamendua (EB), informazio-erregistroaren txantiloiak, EUR-Lex-en (fitxa berri batean irekitzen da)
  3. 2022/2555 Zuzentaraua (EB) (NIS2), 20., 21. eta 23. artikuluak, EUR-Lex-en (fitxa berri batean irekitzen da)
  4. 2024/2690 Betearazpen-erregelamendua (EB), eskakizun tekniko eta metodologikoak, EUR-Lex-en (fitxa berri batean irekitzen da)
  5. 311/2022 Errege Dekretua (ENS), 2. artikulua eta II. eranskina, op.ext neurriak, BOE-n (gaztelaniaz) (fitxa berri batean irekitzen da)
  6. 45 CFR 164.308(b), business associate-ekiko kontratuak, eCFR-n (fitxa berri batean irekitzen da)
  7. 45 CFR 164.314(a), business associate-en kontratuak (Security Rule), eCFR-n (fitxa berri batean irekitzen da)
  8. 45 CFR 164.502(e), business associate-ei egindako jakinarazpenak, eCFR-n (fitxa berri batean irekitzen da)
  9. 45 CFR 164.504(e), business associate-en kontratuen edukia, eCFR-n (fitxa berri batean irekitzen da)
  10. 45 CFR 164.410, business associate-aren jakinarazpena, eCFR-n (fitxa berri batean irekitzen da)
  11. 32 CFR 170.23, azpikontratistei aplikatzea, eCFR-n (fitxa berri batean irekitzen da)
  12. 32 CFR 170. zatia (CMMC programa), eCFR-n (fitxa berri batean irekitzen da)
  13. SAMA Cyber Security Framework, 3.4 domeinua «Third Party Cyber Security», SAMA Rulebook-ean (fitxa berri batean irekitzen da)
  14. NCA Essential Cybersecurity Controls (ECC-2:2024), 4. domeinua (fitxa berri batean irekitzen da)

Probatu zerrenda zure hornitzaileekin

Demo batean lagin-hornitzaileak kargatzen ditugu HodeiShielden eta zerrenda hau puntuz puntu aztertzen dugu, estaltzen ez duena barne. Hodeitekeko pertsona batek erantzuten dizu.

Eskatu demo bat