TPRM
- Bên thứ ba: nhà cung cấp, nhà thầu, nhà cung cấp dịch vụ (cả đám mây), nhà cung ứng, đối tác. TPRM: nhận diện, theo dõi, đánh giá rủi ro từ bên thứ ba.
- Hai lý do thuê ngoài: tiết kiệm chi phí nhờ chuyên môn hóa; giảm rủi ro hoạt động nhờ chuyên gia.
- TPRM áp cho cả chuỗi cung ứng: bên thứ tư, thứ năm.
- Rủi ro: chất lượng dịch vụ, gián đoạn, gian lận, vi phạm dữ liệu và tuân thủ, rò rỉ thông tin, đánh cắp sở hữu trí tuệ, gián điệp.
- Rủi ro tăng do thuê ngoài cả quy trình lõi, bên thứ ba ở nước ngoài (country, legal, compliance risk), IoT và COVID-19. Khảo sát: gần 60% doanh nghiệp bị rò rỉ dữ liệu qua bên thứ ba; 77% có tầm nhìn hạn chế về bên thứ ba; 80% gặp ít nhất một vụ rò rỉ liên quan bên thứ ba trong năm.
Vòng đời năm giai đoạn
- Business model decision: thuê ngoài hay không, việc gì; theo khẩu vị rủi ro.
- Evaluation, risk rating, and due diligence: theo nguyên tắc tương xứng.
- Contracts, SLAs, and contract management: trách nhiệm, kỳ vọng rõ ràng; xử lý vấn đề còn mở trước khi ký; rà soát định kỳ; giới hạn thuê ngoài cho bên thứ ba và thứ tư; quyền kiểm toán.
- Ongoing monitoring: theo lịch và theo trigger (sự cố, rò rỉ dữ liệu, thay đổi quy định, M&A, act of God); trigger hỗ trợ chiến lược rút lui.
- Remediation or termination: grievance period, chiến lược rút lui hoặc điều khoản chấm dứt, chuyển giao sở hữu trí tuệ.
Hai case
- Capital One (7/2019): cựu nhân viên AWS khai thác điểm yếu firewall, lấy dữ liệu khoảng 100 million khách hàng Mỹ, 140,000 số an sinh xã hội, 80,000 tài khoản; dữ liệu không mã hóa. OCC phạt $80 million (2020) vì không nhận diện, quản lý rủi ro trước khi chuyển lên đám mây; kiểm toán nội bộ 2015 bỏ sót điểm yếu.
- Morgan Stanley: OCC phạt $60 million (2020); 2016 và 2019 không đánh giá rủi ro thanh lý phần cứng, không đánh giá và giám sát nhà cung cấp, thầu phụ, không duy trì inventory dữ liệu khách hàng; phần cứng thải bỏ còn dữ liệu khách hàng.
- Bài học: trách nhiệm giải trình không chuyển giao được; trách nhiệm cuối cùng thuộc tổ chức dùng bên thứ ba.