|
시장보고서
상품코드
1950773
IDC PlanScape : IT 보안의 제3자 위험 관리IDC PlanScape: IT Security Third-Party Risk Management |
||||||
IDC PlanScape에서는 CISO의 관점에서 제3자 위험 관리 프로그램을 구축하는 방법에 초점을 맞추었습니다. IDC IT 임원 프로그램(IEP)의 객원 연구 고문인 닉 커틀리(Nick Kirtley)는 "현대의 비즈니스 환경에서 써드파티 제품 및 서비스는 단순히 '있으면 편리한 것'이 아니라 '꼭 필요한 것'입니다. 최신 AI의 파도를 생각해보자. 적어도 일부 제 3자에 의존하지 않고 빠르게 사업을 진행하는 것은 사실상 불가능할 것입니다. 이로 인해 위험이 발생하지만, 적절한 써드파티를 선정하고 해당 제품 및 서비스의 지속적인 이용에 있어 올바른 선택을 통해 이러한 위험을 크게 줄일 수 있습니다."라고 말했습니다.
IDC PlanScape 도표
주요 요약
IT 보안에서 타사 위험 관리가 중요한 이유는 무엇인가?
IT 보안에서 타사 위험 관리란 무엇인가?
주요 이해관계자는 누구인가?
조직은 IT 보안에서 타사 위험 관리를 어떻게 활용할 수 있을까?
- 신규 써드파티 평가 지원부터 시작
- 계약 갱신을 개선의 기회로 활용하기
- 타사 우선순위 지정
- 보안 관련 보증서 및 인증서 요청하기
- 제3자 리스크 및 과제 등록
- 규제 요건을 활용하여 최소한의 보안 요건 개선을 추진합니다.
- 정기적인 검토 실시
- 외부 스캔 서비스 이용
- 내부 조직 측의 보안 대책이 확실하게 시행되도록 합니다.
- 프라이버시 요구 사항 고려
- 타사 제품 및 서비스에 대한 보안 모니터링 수행
- 승인되지 않은 타사 및 섀도우 IT 서비스 도입 방지
- 제3자 리스크 정보 교환 플랫폼 활용
- 주요 리스크를 포괄하는 설문지 및 보안 요구사항 개발 및 개선
기술 구매자를 위한 조언
관련 조사
LSHThis IDC PlanScape focuses on how to develop a third-party risk management program from a CISO perspective."Third-party products and services are not just 'nice to haves' but 'must-haves' in a modern business environment. Just think about the latest wave of AI. It would be practically impossible to move at speed without relying on at least some third parties. This introduces risk, which can be greatly reduced by making the right choices upon selection of third parties and in ongoing use of their products and services," says Nick Kirtley, adjunct research advisor, IT Executive Programs (IEP), IDC.
IDC PlanScape Figure
Executive Summary
Why Is IT Security Third-Party Risk Management Important?
What Is IT Security Third-Party Risk Management?
Who Are the Key Stakeholders?
How Can My Organization Take Advantage of IT Security Third-Party Risk Management?
- Begin with supporting assessments of new third parties
- Use contract renewals as an opportunity to address shortcomings
- Prioritize third parties
- Require security attestations and certificates
- Register third-party risks and shortcomings
- Use regulatory requirements to push for improved minimum security requirements
- Perform periodic reviews
- Use external scanning services
- Ensure internal organization-side security measures are implemented
- Consider privacy requirements
- Implement security monitoring of third-party products and services
- Prevent unsanctioned third parties and shadow IT and services
- Use a third-party risk exchange
- Develop and improve questionnaires and security requirements to cover major risks
