Página traduzida e verificada automaticamente. Prevalece a versão em inglês. Algumas partes ainda estão em inglês enquanto a tradução é verificada. Ver em inglês · Informar um erro de tradução
TPR-02 · Terceiros e Cadeia de Suprimentos
Due diligence proporcional ao risco
Os terceiros são avaliados antes da contratação e periodicamente depois, com uma profundidade proporcional àquilo a que têm acesso.
6frameworks o tratam integralmente
2parcialmente
0o deixam de fora
SOC 2 ISO 27001 NIST CSF PCI DSS HIPAA GDPR Lei de IA da UE NIST AI RMF
1Onde cada framework o exige
- SOC 2CompletoCC9.2
- ISO 27001CompletoA.5.21
- NIST CSFCompletoGV.SC-07
- PCI DSSCompleto12.8.4
- HIPAAParcial164.308(b) Garantias satisfatórias por meio do contrato.
- GDPRCompletoArt. 28(1)
- Lei de IA da UEParcialArt. 25 Deveres contratuais entre os agentes da cadeia de valor.
- NIST AI RMFCompletoGOVERN 6.1
Construa o controle uma vez em relação a este objetivo e cite a cláusula sobre a qual cada auditor perguntar. Um mapeamento parcial diz o que o framework deixa de fora; uma ausência é uma constatação sobre o framework, não uma lacuna no seu programa.
2O que normalmente o comprova
Registros de avaliação, justificativa da classificação por níveis, datas de reavaliação.
?Por que existe
Um questionário enviado a todos é um questionário que ninguém lê.
Para uma organização menorDois níveis, com um conjunto curto de perguntas para o nível inferior.