Evaluación de proveedores antes de firmar un contrato

La gestión del riesgo del proveedor comienza con la comprensión de lo que el proveedor puede interrumpir. Una empresa de comidas y un proveedor de nóminas no deben recibir la misma revisión simplemente porque ambos envían facturas. Clasificar el proceso de negocio, el acceso a la información, la sustituibilidad y la sensibilidad al tiempo. Pregunte qué sucede si el servicio se detiene en su día más ocupado. Esto ayuda a un pequeño equipo a concentrar su esfuerzo donde un fallo tendría el mayor impacto operativo.

Solicitar evidencia adecuada a la dependencia: responsabilidades de servicio, controles de acceso, contactos de incidentes, opciones de exportación de datos y arreglos de continuidad. Un certificado o documento de ventas pulido no responde a todas las preguntas sobre su implementación en particular. Confirme quién opera el servicio y si los subcontratistas realizan un trabajo crítico. Mantenga las declaraciones del proveedor fechadas y distinga un compromiso contractual de una tranquilidad informal. No cargue registros de clientes para demostrar su caso de uso durante una conversación de ventas.

Supongamos que una plataforma de reservas almacena todas las citas y los datos de contacto de los clientes. Antes de un compromiso largo, pruebe una exportación con registros de muestra no sensibles. ¿Puede otro sistema interpretar fechas, notas y estado de pago? ¿Cuánto tiempo tomaría una transferencia, y quién puede autorizarla? Un botón de exportación disponible no es prueba de una migración utilizable. Escriba un método de operación temporal para el período entre servicios, incluyendo cómo el personal evitaría reservas duplicadas.

Cree un breve registro de decisiones que cubra el propietario del servicio nombrado, los datos aprobados, los límites de acceso, la escalada de interrupciones y los costos de salida. Haga que los asesores calificados revisen los términos que requieren interpretación legal. Reevaluar cuando el proveedor obtiene un nuevo acceso o se vuelve más difícil de reemplazar, en lugar de confiar solo en un cuestionario anual. Los recursos para pequeñas empresas del NIST proporcionan un punto de partida de ciberseguridad; esta revisión operativa es un marco de planificación de Motenza y no certifica a un proveedor como seguro.

Registrar el servicio, el propietario del negocio, la dependencia crítica y el acceso a la información aprobada. Añádanse las pruebas recibidas, los puntos contractuales que requieran asesoramiento y una prueba práctica de salida. Incluya el costo total de salir, no solo el precio de la suscripción mensual. Si el proveedor no puede responder a una pregunta crítica de recuperación, muéstrela como no resuelta antes de la aprobación. El registro debe ayudar a un nuevo gerente a entender por qué se eligió al proveedor. También le da al equipo un punto de partida útil cuando el producto o las responsabilidades del proveedor cambian.