Různí dodavatelé mohou pro organizaci představovat různou míru rizika. Vztahy s vyšším rizikem vyžadují důkladnější přezkoumání, zatímco použití stejné úrovně zajištění u dodavatelů s nízkým rizikem by bylo do značné míry ztrátou času. Mějte zavedenou spolehlivou metodiku, která uplatňuje přiměřenou míru ujištění vzhledem k inherentnímu riziku vztahu.

Pokud se jako odborníci spoléháme při hodnocení našich dodavatelů pouze na bezpečnostní dotazníky, jsme nuceni se snažit zjistit, zda má náš dodavatel skutečně dobré bezpečnostní kontroly, nebo zda je pouze dobrý ve vyplňování dotazníků. To je náročný úkol. Spoléhání se na informace z různých nástrojů, včetně dotazníků, poskytuje největší přehled o skutečné provozní účinnosti kontrol.

Jedním z přístupů, který pomáhá bojovat s tímto problémem, je zaslat každé firmě v RFP krátký dotazník založený na povinných kontrolách (ne více než 15 otázek). Věci jako “Máte tým, který se věnuje bezpečnosti?”. Ty upozorní na kritické kontrolní mechanismy. K dalšímu rozlišení dodavatelů vám může pomoci použití jednorázové zprávy z nástroje, jako je RiskRecon, která vám poskytne rychlé posouzení vnější kybernetické hygieny organizace. Když je dodavatel nakonec vybrán, můžete provést úplné posouzení jako součást procesu nástupu.

Jakmile se rozhodnete, že samotný dotazník nesplňuje to, co potřebujete, a chcete do svého programu vnést více, první, po čem se mnoho organizací poohlédne, je přidání nástroje pro průběžné monitorování, jako je například RiskRecon. Tyto nástroje řeší mnoho problémů a omezení bezpečnostního dotazníku. Dotazníky jsou statické a bodové, zatímco nástroj pro průběžné monitorování může sledovat vašeho dodavatele i v době, kdy neprovádíte revize. Nástroje průběžného monitorování jsou také užitečné pro pomoc při ověřování účinnosti bezpečnostních kontrol, jimiž se dotazník zabývá.

Je sice pravda, že RiskRecon je omezen na to, že vidí pouze věci viditelné zvenčí, ale tím, že vidíte, jakým postojem se organizace prezentuje světu, se o ní můžete dozvědět strašně moc. V mnoha ohledech je to něco jako dům. Těžko najdete mnoho domů, které zvenku vypadají jako chatrč, ale uvnitř jako sídlo. Při pohledu na postoje vystupující navenek se můžeme dozvědět, jak daná organizace přistupuje k bezpečnosti. Berou záplatování vážně? Obtěžují se se zabezpečením systémů, nebo mají nebezpečné síťové služby vystavené internetu? Vrátíme-li se tedy k analogii s domem, můžeme učinit spravedlivý předpoklad, že ve většině případů organizace, které vypadají špatně navenek, jsou pravděpodobně problémové i uvnitř. Velké hostingové organizace se mohou tomuto trendu vymykat, ale většinou platí.