第三方風險有多少種類型？

---

第三方風險是指，當您將特定服務外包或利用第三方建立的軟體來完成特定任務時，您的公司可能遭受不利事件（例如資料洩露、運營中斷或聲譽損害）的可能性。任何提供軟體、有形商品、用品或服務的獨立公司或個人都被視為第三方。軟體供應商、招聘公司、顧問和承包商都是第三方示例。依賴外部人員來成功運營您的公司是危險的。畢竟，您必須相信另一個您無法控制其運營的組織。

第三方風險應該成為首要考慮因素，因為大多數企業至少將其日常活動的一部分外包出去。鑑於與外部各方打交道而導致的安全事件數量不斷增加，這一點尤其正確。貴公司的高階官員最終負責監督第三方關係。與內部組織管理的運營相同的標準也應用於識別和管理相關風險。

儘管供應商生命週期中與第三方互動產生的多種危害，但許多組織仍然沒有像管理內部風險那樣細緻地管理第三方風險。

未能管理這些風險的組織可能會受到監管行動、財務行動、法律行動、聲譽損害以及無法吸引新客戶或提供優質客戶服務的困擾。

第三方風險型別

第三方風險可以分為不同的型別和類別。以下是一些示例 -

網路安全風險

由於網路威脅的複雜性和速度，您比以往任何時候都更需要關注供應商的網路安全態勢。要量化供應商的網路安全風險，您必須首先確定組織的風險承受能力。一旦確定了可接受的風險水平，您就可以開始評估第三方的安全效能並進行必要的改進。在評估效能時，您應該關注供應商網路環境中的受損系統。雖然受損系統也不一定會導致資料丟失，但它們確實揭示了供應商如何發現和阻止攻擊。

合規性風險

與不遵守組織必須遵守才能運營的內部程式、法律和法規相關的風險稱為合規性風險。儘管某些一般規則適用於許多行業（例如 PCI DSS 和 GDPR），但特定行業的法律將對每個企業產生不同的影響。您必須確保供應商的網路安全合規性活動符合法律要求，因為不遵守這些法規通常會面臨鉅額罰款。

聲譽風險

關注聲譽風險的是公眾對您企業的看法。第三方賣家可能損害您聲譽的一些方式包括 -

• 與公司標準不符的互動。

• 由於疏忽或資料洩露導致的消費者資料丟失或洩露。

• 違反了法律和法規。

財務風險

當供應商未能達到組織為財務績效設定的標準時，就會產生第三方財務風險。供應商面臨的兩大主要財務問題是高成本和收入損失。如果不降低高成本，它們可能會阻礙業務擴充套件並導致過度負債。如果您想防止成本過高，則必須進行定期審計以確保供應商支出符合您合同中規定的條款。

管理收入損失的第一步是確定哪些供應商直接影響為您的公司創造收入的活動。監控和記錄您公司銷售活動的第三方系統就是一個例子。制定計劃來評估它們的風險至關重要，因為這些供應商和系統出現的任何問題都可能導致收入延遲或損失。

運營風險

當供應商流程停止時，就會產生運營風險。組織運營和第三方運營是相關的，因此，當供應商無法提供他們承諾的服務時，企業通常會發現自己無法執行日常任務。您的公司應該制定業務連續性計劃，以便您在供應商關閉的情況下能夠繼續運營，以降低運營風險。

戰略風險

供應商的業務決策與您公司的戰略目標相沖突會產生戰略風險。戰略風險通常會影響公司的整體價值，並可能影響合規性和聲譽風險。組織可以透過建立關鍵績效指標 (KPI) 來有效監控戰略風險，這些指標提供了有關供應商運營和流程的有見地的資訊。

如何最大程度地降低風險？

根據您組織的第三方風險管理 (TPRM) 計劃的現狀，您需要採取快速行動來降低第三方風險。首先，您應該評估您現有的 TPRM 計劃，以檢視您當前是否採取了任何安全措施。簡而言之，以下內容應包含在供應商風險管理流程的最早階段 -

• 供應商清單 - 您的供應商是誰？首先，您必須正確識別您的供應商。任何向您的企業提供商品或服務但不隸屬於您的企業的個人或企業都被稱為第三方供應商。第三方供應商的示例包括外部員工、服務提供商、製造商和供應商以及服務公司。該清單應包含第三方（您第三方供應商的供應商）並進行更新。

• 供應商評估流程 - 在編制所有供應商的完整清單後，您必須設計一個評估供應商的流程。組織利用此流程來評估和批准潛在的第三方供應商，以確保他們能夠遵守所有合同要求和協議。為了加快對現有供應商的評估和新供應商的入職流程，您現在應該提供供應商問卷模板。

雖然這些措施有助於為 TPRM 打下堅實的基礎，但它們本身是不夠的。第三方風險管理策略應考慮以下因素 -

• 大多數大型企業管理數百或數千家供應商，每家供應商都存在不同的風險。每個供應商都有自己的盡職調查和風險評估流程，以及其他特定於層級的標準，因此您的資訊安全團隊需要根據每個風險層級獨立地對每個供應商進行分類。此外，他們需要與供應商互動以鼓勵填寫風險概況問卷，並強調公司內部 TPRM 的重要性。

• 管理如此大量的供應商的另一個要求是優先考慮高風險和低風險供應商。為了確保沒有任何問題被遺漏，仍然必須使用相同的標準檢查定期評估所有供應商。

• 第三方風險管理不是一項“設定並忘記”的任務。應在入職流程期間以及每年至少填寫一次供應商問卷。為了確保供應商的安全態勢良好，持續監控它們並進行頻繁的評估和審查是必要的。

從這些考慮因素可以清楚地看出，成功的 TPRM 需要大量的時間和財務投入。資訊安全團隊可能沒有必要的技能來有效地管理第三方風險，因為他們必須關注組織安全計劃的所有其他方面。