نقيّم الوضع الأمني لمورّديك والأطراف الثالثة المتصلة بأنظمتك وفق متطلبات SAMA وNCA، ونبني عملية مستمرة لإدارة مخاطر الطرف الثالث — من الفحص قبل التعاقد حتى المراقبة الدورية — لتقليص أحد أكبر مصادر الاختراق غير المباشر.
ما تشمله الخدمة
- حصر المورّدين والأطراف الثالثة المتصلة بالأنظمة أو المعالِجة للبيانات وتصنيفهم حسب الحرجية ومستوى الوصول
- الفحص النافي للجهالة قبل التعاقد عبر استبيانات أمنية ومراجعة الشهادات والأدلة
- تقييم الوضع الأمني لكل طرف مقابل متطلبات SAMA وNCA وضوابط سلسلة التوريد
- مراجعة البنود الأمنية في العقود من حق التدقيق والإبلاغ عن الحوادث ومعالجة البيانات والخروج الآمن
- بناء عملية مراقبة مستمرة وإعادة تقييم دورية حسب مستوى مخاطر كل مورّد
- معالجة مخاطر الطرف الرابع وتركّز المورّدين والاعتماد المفرط على مزوّد واحد
المنهجية والمعايير
الحصر والتصنيف: نبني سجل المورّدين ونصنّفهم حسب الحرجية ونوع البيانات ومستوى الوصول
الفحص والتقييم: نرسل الاستبيانات ونراجع الأدلة ونقيّم كل طرف مقابل الإطار المرجعي
تحليل المخاطر: نحدد فجوات كل مورّد ونصنّف مخاطره ونربطها بأثرها على أعمالك
المعالجة التعاقدية: نصوغ متطلبات أمنية ملزمة وخطة معالجة لكل طرف عالي المخاطر
المراقبة المستمرة: نضع دورة إعادة تقييم ومؤشرات ونظام إنذار للتغيرات الجوهرية
المخرجات والتسليمات
- سجل مورّدين مصنّف حسب الحرجية ومستوى المخاطر
- تقارير تقييم فردية لكل طرف ثالث مع الفجوات ودرجة المخاطر
- نموذج استبيان أمني ومصفوفة معايير قبول المورّدين
- بنود أمنية تعاقدية جاهزة للإدراج في اتفاقيات المورّدين واتفاقية معالجة البيانات
- خطة معالجة مخاطر الطرف الثالث بالمسؤوليات والمدد الزمنية
- إطار وسياسة مراقبة مستمرة مع تقويم إعادة التقييم
الضوابط التنظيمية التي تغطّيها
المدة النموذجية
يعتمد الجدول على عدد المورّدين، ويُنجز تقييم دفعة أولى حرجة عادةً خلال أسبوعين إلى أربعة أسابيع، ثم تستمر المراقبة كعملية دورية.
أسئلة شائعة
هل نحتاج لتقييم كل مورّد بالعمق نفسه؟
لا، نطبّق نهجاً قائماً على المخاطر، فالمورّد الحرِج ذو الوصول الواسع للبيانات يخضع لتقييم أعمق وإعادة تقييم أكثر تواتراً من المورّد منخفض الأثر.
المورّد يرفض بند حق التدقيق، ما البديل؟
نقبل بدائل معتمدة مثل تقرير SOC 2 من النوع الثاني أو شهادة ISO 27001 سارية أو استبيان مستقل موثّق، مع تشديد شروط الإبلاغ عن الحوادث ومؤشرات المراقبة.