Vendor Risk Assessment

בדיקה שיטתית של הגורמים החיצוניים שמחזיקים מידע אישי של הארגון: מי הם, מה כל אחד מקבל, על בסיס איזו הסדרה כתובה, מי ספקי המשנה שלהם, ומה קורה למידע בסיום ההתקשרות. הפלט כולל תיעוד פיקוח ותעדוף לטיפול.

הדרישה המרכזית היא הסדרה כתובה מול ספק שמעבד מידע עבור בעל המאגר, ופיקוח מתועד על קיומה. ההסדר אמור לכלול הוראות אבטחת מידע, הגבלת השימוש למטרה המוסכמת, והגבלה על העברה לצד שלישי. הנוסח המדויק וסיווג הדרישות מחייבים בדיקה מול לשון התקנות ביחס לארגון הספציפי.

הבדיקה מבוססת על זכות ביקורת חוזית — סעיף שאמור להופיע בהסדר מול הספק — או על הסכמתו המפורשת. אם אין זכות ביקורת בהסכם הקיים, ניתן לפנות לספק ולבקש הסכמה, או לחדש את ההסכם ולהוסיף את הזכות. מקור ההרשאה מתועד לכל ספק.

הסירוב עצמו הוא ממצא ומתועד ככזה. החובה לפקח מוטלת על בעל המאגר ולא על הספק, כלומר הסירוב אינו פוטר את הארגון. השיקולים המעשיים הם חידוש ההסכם עם זכות ביקורת מפורשת, ובמקרים חמורים העברת השירות לספק אחר.

לא. הבדיקה בוחנת את מצב ההסדרה והציות; היא אינה מחליפה את ההסכם. אם אין הסכם כתוב עם ספק, הבדיקה תזהה זאת כממצא, אבל עדיין יידרש לערוך הסכם. הסדר הנכון הוא להסדיר תחילה ואז לפקח על הקיום.

האחריות אינה עוברת עם המידע. הגורם שמכתיב את מטרות העיבוד נושא באחריות גם כשבפועל ספק מפעיל את המערכת. סעיף שיפוי בהסכם מסדיר את ההתחשבנות בין הצדדים, אך אינו מעביר את האחריות כלפי הרגולטור וכלפי מי שנפגע.

בדיקת ספקים מתמקדת בחוץ — בגורמים החיצוניים שמעבדים מידע עבורכם. Assessment ארגוני בודק את הפנים: מאגרים, מינוי ממונה, נהלים, הרשאות וזכויות נושא מידע. שני התהליכים משלימים ומכסים תחומים שונים.

לא. העמוד מציג סקירה כללית ואינו מהווה ייעוץ משפטי או חוות דעת. הדרישות החלות על ארגון ספציפי ביחס לספקיו מחייבות בדיקה פרטנית.