Pamaagi sa Plano sa Pagdumala sa Risk sa Vendor

 

Pasiuna

Tang iyang Vendor Risk Management Plan nagtumong sa pag-establisar og balangkas para sa epektibong pagdumala ug pagpagaan sa mga risgo nga nalangkit sa mga third-party vendors sa Hudson County Community College. Ang pamaagi naglatid sa mga proseso ug mga pamaagi alang sa pagtimbang-timbang sa vendor, pagpili, ug padayon nga pagmonitor aron masiguro ang seguridad, pagsunod, ug kasaligan sa mga relasyon sa vendor. Ang pamaagi nag-una nga nagpunting sa pagkolekta ug pagrepaso sa impormasyon bahin sa kaangayan ug seguridad sa vendor ug pag-assess sa mga termino ug kondisyon ug pinulongan sa kontrata atol sa inisyal nga pagpirma ug pag-renew sa kontrata.

  1. Proseso sa Pagpili sa Vendor
    1. Pag-ila sa Vendor: Pag-ila sa mga potensyal nga tigbaligya base sa mga kinahanglanon ug panginahanglan sa kolehiyo.
    2. Inisyal nga Pagsusi sa Vendor: Pagtimbang-timbang sa mga potensyal nga tigbaligya gamit ang mga musunud nga pamatasan:
      1. Kwalipikasyon ug kahanas
      2. Reputasyon ug mga pakisayran
      3. Kalig-on sa pinansya
      4. Mga sumbanan sa seguridad ug pagsunod
      5. Mga kasabutan sa lebel sa serbisyo
    3. Request for Proposal (RFP): Pag-andam ug pag-isyu ug RFP, kon gikinahanglan, ngadto sa mga shortlisted vendors nga naglatid sa mga gipaabot, mga kinahanglanon, ug mga criteria sa ebalwasyon sa kolehiyo.
    4. Pagtimbang-timbang sa Vendor: Timbang-timbanga ang mga sugyot sa vendor base sa gitakda nang daan nga pamatasan ug pagpahigayon sa bisan unsang kinahanglan nga mga interbyu o mga presentasyon.
    5. Pagpili sa Vendor: Pilia ang (mga) vendor base sa mga resulta sa ebalwasyon, pagkonsiderar sa mga hinungdan sama sa gasto, kapabilidad, ug profile sa risgo.
  1. Koleksyon ug Pagrepaso sa Higher Education Community Vendor Assessment Toolkit (HECVAT).
    1. Kinahanglanon sa Porma sa HECVAT: Ang tanan nga potensyal nga mga vendor kinahanglan nga mosumite sa ilang nahuman nga HECVAT; Ang SOC 2 audit findings mahimong ilisan ug HECVAT.
    2. Inisyal nga Pagrepaso: Ribyuha ang HECVAT aron masusi ang mga gawi sa seguridad sa mga vendor, mga lakang sa pagpanalipod sa datos, ug pagsunod sa mga may kalabotan nga regulasyon.
    3. Risk Assessment: Paghimo ug risk assessment base sa impormasyon nga gihatag sa HECVAT aron mailhan ang posibleng mga risgo nga nalangkit sa relasyon sa vendor.
    4. Mga Aksyon sa Pagpaminus: Paghimo ug mga aksyon sa pagpaminus aron matubag ang nahibal-an nga mga peligro, sama sa paghangyo og dugang nga kasayuran, pagpahigayon sa mga pag-audit sa seguridad, o pag-establisar sa mga obligasyon sa kontraktwal alang sa seguridad ug pribasiya.
  2. Pagrepaso sa mga Termino ug Kondisyon
    1. Pagrepaso sa Kontrata: Ribyuha ang mga termino ug kondisyon sa gisugyot nga kontrata sa vendor, nga nagpunting sa mga lugar nga may kalabotan sa pagkapribado sa datos, seguridad, pagsunod, ug intellectual property.
    2. Legal nga Pagrepaso: Pag-apil sa legal nga magtatambag, kung gikinahanglan, aron maseguro nga ang pinulongan sa kontrata igo nga nanalipod sa mga interes sa kolehiyo ug nahiuyon sa mga magamit nga balaod ug regulasyon.
    3. Negosasyon ug Amendment: Pakigtambayayong sa vendor aron makigsabot ug mag-amendar sa pinulongan sa kontrata aron matubag ang bisan unsang giila nga mga kabalaka o mga kal-ang.
    4. Pag-apruba ug Pagpirma: Pagkuha sa gikinahanglan nga mga pag-apruba alang sa kontrata ug pirmahan ang kasabutan sa higayon nga ang tanan nga mga partido matagbaw sa mga termino ug kondisyon.
  3. Nagpadayon nga Pagdumala sa Vendor
    1. Regular nga Pag-monitor: Padayon nga pagmonitor sa performance sa vendor, mga pamaagi sa seguridad, ug pagsunod sa tibuok nga gidugayon sa kontrata.
    2. Pagrepaso sa Pagbag-o sa Kontrata: Ang mga Pagbag-o sa Kontrata nagdepende sa Mga Balaod sa Kontrata sa Kolehiyo sa Kolehiyo. Paghimo usa ka bug-os nga pagrepaso sa mga relasyon sa vendor, lakip ang re-evaluation sa bag-ong HECVAT, mga termino ug kondisyon, ug sinultian sa kontrata, sa panahon sa proseso sa pagbag-o sa kontrata.
    3. Pagtimbang-timbang sa Pagganap sa Vendor: Matag karon ug unya susihon ang pasundayag sa vendor batok sa natukod nga mga kasabutan ug gipaabut sa lebel sa serbisyo.
    4. Tubag sa Insidente: Sunda ang pamaagi sa Pagtubag sa Insidente aron matubag ang bisan unsang mga paglapas sa seguridad o mga insidente sa datos nga naglambigit dayon sa mga vendor.
    5. Vendor Offboarding: Paghimo og proseso aron masiguro ang husto nga offboarding sa mga vendor, lakip ang pagbalik sa sensitibo nga impormasyon ug pagtapos sa pag-access sa sistema.
  4. Dokumentasyon ug Pagreport
    1. dokumentasyon
      1. Contract Repository: Ang tanan nga mga kontrata sa vendor, lakip ang ilang mga termino ug kondisyon, mga pagbag-o, ug mga may kalabutan nga mga dokumento, kinahanglan nga tipigan sa sistema sa pagdumala sa kontrata sa kolehiyo. Siguruha nga ang repository sa kontrata organisado, dali nga makuha, ug kanunay nga gi-update.
      2. Nakumpleto ang HECVAT ug Dokumentasyon sa Seguridad: Hupti ang usa ka rekord sa tanang HECVAT ug mga pag-audit sa seguridad nga nadawat gikan sa mga vendor, lakip ang bisan unsang pagsuporta sa dokumentasyon o mga pagpatin-aw nga gihatag sa mga vendor.
      3. Mga Pagsusi sa Risk: Idokumento ang mga resulta sa mga pagtasa sa risgo nga gihimo base sa HECVAT ug bisan unsang dugang nga pagtasa o pag-audit nga gihimo.
      4. Mga Report sa Insidente: Pagtipig og rekord sa bisan unsang mga insidente sa seguridad o mga paglapas nga naglambigit sa mga vendor, uban sa katugbang nga aksyon sa pagtubag sa insidente nga gihimo.
    2. Nagtaho
      1. Pagreport sa Ehekutibo: Paghatag ug regular nga mga taho sa pagdumala sa ehekutibo, lakip ang Chief Information Officer (CIO) ug Gabinete, pag-summarize sa talan-awon sa peligro sa vendor, mga paningkamot sa pagpaminus, ug bantog nga mga insidente o kabalaka.
      2. Report sa Pagbag-o sa Kontrata: Pag-andam ug usa ka komprehensibo nga taho nga nagpasiugda sa mga nahibal-an gikan sa pagrepaso sa pagbag-o sa kontrata, lakip ang bisan unsang girekomenda nga mga pagbag-o o pagpaayo sa mga relasyon sa vendor.
      3. Pag-report sa Pagsunod: Paghimo matag karon nga mga taho bahin sa pagsunod sa mga vendor sa mga magamit nga regulasyon, obligasyon sa kontraktwal, ug gikasabutan nga mga sumbanan sa seguridad.
    3. Pagtipig sa Rekord
      1. Panahon sa Pagpabilin: Ang dokumentasyon sa Pagsusi sa Risk sa Vendor magsunod sa mga iskedyul sa pagtipig sa rekord alang sa dokumentasyon nga may kalabotan sa vendor, pagsiguro sa pagsunod sa ligal, regulasyon, ug internal nga mga kinahanglanon.
      2. Pagkapribado ug Proteksyon sa Data: Pagsunod sa magamit nga mga regulasyon sa pagkapribado sa datos ug proteksyon kung magtipig ug magdumala sa mga dokumento nga may kalabotan sa vendor, pagsiguro nga adunay husto nga mga panalipod.

Giaprobahan sa Gabinete: Mayo 2023
May Kalabutan nga Board Policy: Information Technology Services

Balik sa Policies and Procedures