Kurumlar faaliyetlerinin önemli bir bölümünü tedarikçiler, teknoloji sağlayıcıları, danışmanlar, bulut servisleri ve diğer dış hizmet sağlayıcılar aracılığıyla gerçekleştiriyor. Ancak risk yalnızca doğrudan sözleşme yaptığınız üçüncü taraflarla sınırlı değildir. Tedarikçilerinizin kendi hizmet aldığı kuruluşlar da sizin açınızdan 4. taraf risklerini oluşturabilir.
Bir tedarikçinin kritik operasyonlarını başka bir hizmet sağlayıcıya devretmesi, kurumunuz ile doğrudan sözleşmesi bulunmayan bir şirketin dolaylı olarak sizin hizmet sürekliliğinizi, verilerinizi veya sistemlerinizi etkileyebilmesi anlamına gelir.
Bu nedenle modern tedarikçi risk yönetiminde yalnızca “Tedarikçimiz güvenli mi?” sorusu değil, “Tedarikçimiz hangi kritik taraflara bağımlı?” sorusu da cevaplanmalıdır.
4. Taraf Riski Nedir?
Üçüncü taraf, kurumunuzun doğrudan hizmet aldığı veya iş ilişkisi kurduğu tedarikçidir. Dördüncü taraf ise bu tedarikçinin ürün veya hizmet sunabilmek için bağımlı olduğu başka bir kuruluş olabilir.
Örneğin kullandığınız bir SaaS uygulaması sizin üçüncü tarafınızken, bu uygulamanın üzerinde çalıştığı bulut altyapısı, kullandığı kimlik doğrulama hizmeti veya kritik alt yüklenicileri sizin açınızdan dördüncü taraf bağımlılıkları oluşturabilir.
Bu bağımlılıklar görünür değilse kurum, doğrudan kontrol etmediği bir noktada oluşabilecek kesinti veya güvenlik ihlalinin kendisini nasıl etkileyeceğini önceden değerlendiremeyebilir.
4. Taraf Riskleri Neden Önemlidir?
Kritik bir hizmetin güvenliği, yalnızca doğrudan hizmet sağlayıcının güvenlik seviyesine bağlı olmayabilir. Tedarikçinin kullandığı altyapı, yazılım, veri işleme veya operasyon hizmetleri de aynı hizmet zincirinin parçalarıdır.
Dördüncü tarafta yaşanan bir olay aşağıdaki sonuçlara neden olabilir:
- Kritik hizmetlerin kesintiye uğraması,
- Kurumsal veya kişisel verilerin etkilenmesi,
- Tedarik zinciri üzerinden sistemlere yetkisiz erişim,
- Yazılım veya güncelleme zincirinin tehlikeye girmesi,
- Regülasyon ve sözleşme yükümlülüklerinin ihlal edilmesi,
- Birden fazla kritik hizmetin aynı sağlayıcıya bağlı olması nedeniyle yoğunlaşma riski,
- İş sürekliliği ve operasyonel dayanıklılık problemleri.
Tedarikçi Denetimlerine 4. Taraflar Dahil Edilmeli mi?
Evet. Ancak bu, tedarikçinin kullandığı bütün şirketlerin aynı ayrıntı seviyesinde tek tek denetlenmesi gerektiği anlamına gelmez.
Öncelikle kurum açısından kritik tedarikçiler belirlenmeli, ardından bu tedarikçilerin hizmet sunabilmek için bağımlı olduğu kritik dış taraflar görünür hale getirilmelidir.
Lostar'ın Üçüncü Taraf Güvenlik Denetimi yaklaşımında tedarikçi riskleri; kritiklik, bilgi güvenliği, iş sürekliliği, teknik altyapı, sözleşmesel gereksinimler ve ilgili güvenlik kontrolleri açısından değerlendirilebilir.
4. Taraf Riskleri Nasıl Belirlenir?
Dördüncü taraf risklerinin yönetilebilmesi için ilk adım, kritik hizmetlerin arkasındaki bağımlılıkların haritalanmasıdır.
Özellikle aşağıdaki bilgiler toplanabilir:
- Tedarikçinin kullandığı kritik bulut ve veri merkezi sağlayıcıları,
- Alt yükleniciler ve dış kaynak sağlayıcıları,
- Kritik yazılım ve platform sağlayıcıları,
- Veri işleyen veya verilere erişebilen diğer taraflar,
- Kimlik doğrulama, ödeme, iletişim ve güvenlik hizmetleri,
- Hizmetin çalışması için zorunlu olan API ve üçüncü taraf entegrasyonları.
Bu bilgiler yalnızca envanter amacıyla değil, kritik bağımlılıkların hangi hizmetleri etkileyebileceğini anlayabilmek için kullanılmalıdır.
4. Taraf Risk Analizi Nasıl Yapılır?
Tespit edilen her dördüncü taraf aynı risk seviyesinde değildir. Değerlendirme, bu tarafın kritik hizmet üzerindeki etkisine göre yapılmalıdır.
Risk analizi sırasında aşağıdaki sorular değerlendirilebilir:
- Bu taraf devre dışı kalırsa hangi hizmetler etkilenir?
- Tedarikçinin alternatif sağlayıcısı var mı?
- Bu taraf kurum verilerine doğrudan veya dolaylı erişiyor mu?
- Aynı sağlayıcıya bağlı birden fazla kritik tedarikçi bulunuyor mu?
- Güvenlik ihlali gerçekleşirse kurum ne kadar hızlı haberdar olur?
- Tedarikçi sözleşmesi alt yüklenicilerin güvenliğine ilişkin yükümlülük içeriyor mu?
- İş sürekliliği ve olay müdahale planları bu bağımlılığı kapsıyor mu?
Yoğunlaşma Riski: Farklı Tedarikçiler Aynı Sağlayıcıya Bağlı Olabilir
Dördüncü taraf risklerinde gözden kaçabilen önemli konulardan biri yoğunlaşma riskidir.
Kurum farklı şirketlerden hizmet aldığını düşünebilir ancak bu şirketlerin tamamı aynı bulut sağlayıcısına, aynı veri merkezine veya aynı kritik yazılım altyapısına bağımlı olabilir.
Bu durumda görünürde bağımsız olan birçok hizmet gerçekte tek bir ortak hata noktasına bağlı hale gelebilir.
Tedarikçi risk değerlendirmesinde yalnızca şirket bazlı değil, ortak teknoloji ve altyapı bağımlılıkları bazında da analiz yapılması gerekir.
4. Taraf Riskleri İş Sürekliliğine Dahil Edilmeli
Kritik bir tedarikçinin kendi hizmet sağlayıcısında yaşanacak kesinti, kurumunuzun doğrudan operasyonunu etkileyebilir.
Bu nedenle dördüncü taraf bağımlılıklarının iş sürekliliği programlarında ve kriz senaryolarında dikkate alınması gerekir.
Özellikle kritik hizmetler için alternatif sağlayıcılar, kurtarma süreleri, iletişim süreçleri ve hizmet sağlayıcı kesintilerinin oluşturabileceği iş etkisi önceden değerlendirilmelidir.
Lostar'ın ISO 22301 Danışmanlığı kapsamında kritik ürün ve hizmetleri etkileyebilecek iç ve dış bağımlılıkların iş sürekliliği perspektifiyle değerlendirilmesi desteklenebilir.
ISO 27001 Dördüncü Taraf Risk Yönetimini Nasıl Destekler?
Tedarikçi ilişkileri ve dış hizmet sağlayıcılarla paylaşılan bilgi varlıkları, bilgi güvenliği yönetim sisteminin önemli parçalarıdır.
ISO 27001 Danışmanlığı kapsamında tedarikçi ilişkilerinden doğan bilgi güvenliği risklerinin belirlenmesi, uygun kontrollerin oluşturulması ve risklerin sistematik biçimde takip edilmesi sağlanabilir.
Tedarikçi Sözleşmelerinde Alt Yükleniciler Nasıl Ele Alınmalı?
Dördüncü taraf riskinin yönetilebilmesi için tedarikçinin kendi alt yüklenicileri üzerindeki sorumluluklarının da sözleşmelerde açık biçimde tanımlanması önemlidir.
Kurumun ihtiyaçlarına göre sözleşmelerde aşağıdaki konular değerlendirilebilir:
- Kritik alt yüklenicilerin bildirilmesi,
- Yeni alt yüklenici kullanımında değişiklik bildirimi,
- Bilgi güvenliği gereksinimlerinin alt taraflara aktarılması,
- Veri işleme ve veri lokasyonu gereksinimleri,
- Güvenlik olaylarının bildirim süreleri,
- İş sürekliliği ve kurtarma yükümlülükleri,
- Denetim ve güvence kanıtlarının paylaşılması.
4. Taraf Riskleri Sürekli İzlenmeli
Dördüncü taraf riskleri tek seferlik bir değerlendirmeyle yönetilemez. Tedarikçi ekosistemleri zaman içerisinde değişir; yeni hizmet sağlayıcılar devreye alınabilir, mevcut bağımlılıklar değişebilir veya yeni güvenlik açıkları ortaya çıkabilir.
Bu nedenle kritik tedarikçilerin ve bunlara bağlı kritik tarafların belirli aralıklarla yeniden değerlendirilmesi gerekir.
Risk seviyeleri, açık aksiyonlar, denetim bulguları, sözleşmesel gereksinimler ve iş sürekliliği bağımlılıkları merkezi bir risk yönetimi yaklaşımıyla takip edilmelidir.
Sonuç
Tedarikçi güvenliği yalnızca doğrudan sözleşme yapılan şirketlerin denetlenmesiyle sınırlı değildir. Kritik tedarikçilerinizin hizmet aldığı diğer kuruluşlar da kurumunuzun siber güvenliğini ve operasyonel dayanıklılığını etkileyebilir.
Etkili bir üçüncü taraf risk yönetimi programı; kritik tedarikçilerin belirlenmesini, dördüncü taraf bağımlılıklarının görünür hale getirilmesini, yoğunlaşma risklerinin analiz edilmesini ve bu yapıların iş sürekliliği ile bilgi güvenliği kontrollerine dahil edilmesini gerektirir.
Böylece kurum yalnızca doğrudan tedarikçisinin güvenliğini değil, kritik hizmetlerinin bağlı olduğu daha geniş ekosistemin oluşturduğu riski de yönetebilir.