아웃소싱 위험 및 계약자 통제
1) 아웃소싱 = 위험 증가
아웃소싱은 스타트 업 속도를 높이고 비용을 낮추지 만 위험 표면을 넓힙니다. 프로세스, 데이터 및 고객은 외부 팀 및 하청 업체가 액세스합니다. 위험 관리는 계약, 조직 및 기술 조치와 측정 성 및 감사 가능성의 조합입니다.
2) 위험지도 (유형학)
법적: 필요한 라이센스 부족, 약한 계약 보증, IP/저작권, 관할권 충돌.
규제/준수: GDPR/AML/PCI DSS/SOC 2 등에 대한 비준수; DPA/SCC 없음; 보고 마감일 위반.
정보 보안: 누출/유출, 약한 액세스 제어, 로깅 부족 및 암호화.
개인 정보 보호: 중복 PI 처리, 유지/삭제 위반, 법적 보유 및 DSAR을 무시합니다.
작동: 낮은 서비스 안정성, 약한 BCP/DR, 24 × 7 부족, SLO/SLA 위반.
재무: 공급 업체의 변동성, 한 고객/지역에 대한 의존성, 숨겨진 출구 비용.
평판: 사건/스캔들, 이해 상충, 독성 마케팅.
공급망: 불투명 한 서브 프로세서, 제어되지 않은 스토리지 위치.
3) 역할 및 책임 (RACI)
(R - 책임; A - 책임; C-컨설팅; I-정보)
4) 계약자 제어 수명주기
1. 계획: 아웃소싱 목표, 중요 성, 데이터 범주, 관할권, 대체 평가 (빌드/구매/파트너).
2. 실사: 설문지, 아티팩트 (인증서, 정책), 기술 점검/RoS, 위험 점수 및 격차 목록.
3. 계약: DPA/SLA/감사 권리, 책임 및 처벌, 서브 프로세서, 종료 계획 (종료) 및 데이터 삭제 마감일.
4. 온 보딩: SSO 및 역할 (최소 권한), 데이터 디렉토리, 환경 격리, 로깅 및 경고.
5. 운영 및 모니터링: KPI/SLA, 사고, 하위 프로세서/위치 변경, 연례 검토 및 증거 제어.
6. 개정/치료: 마감일이있는 격차 수정, 만료 날짜가있는 면제 절차.
7. 오프 보드: 액세스 취소, 수출, 삭제/익명화, 파괴 확인, 증거 보관.
5) 계약 "필수"
DPA (계약 첨부): 역할 (컨트롤러/프로세서), 처리 목표, 데이터 범주, 보존/삭제, 법적 보류, DSAR 지원, 저장 및 전송 위치 (필요한 경우 SCC/BCR).
SLA/SLO: 가용성 수준, 응답/제거 시간 (sev 수준), 위반에 대한 신용/페널티, RTO/RPO, 24 × 7/Follow-the-sun.
보안 부속서: 전송 중 암호화, 키 관리 (KMS/HSM), 비밀 관리, 로깅 (WORM/Object Lock), 침투 테스트/스캔, 취약성 관리.
감사 및 평가 권한: 정기 설문지, 보고 (SOC 2/ISO/PCI), 감사/현장/로그 검토 권한.
서브 프로세서: 목록, 변경 사항의 알림/승인, 체인에 대한 책임.
위반 알림: 용어 (예: www.24-72 시간), 형식, 조사에서의 상호 작용.
종료/삭제: 내보내기 형식, 날짜, 파괴 확인, 마이그레이션 지원, 종료 비용 상한.
책임/보상: 제한, 예외 (PI 누출, 규제 기관 처벌, IP 위반).
제어 변경: 서비스/위치/제어의 중요한 변경에 대한 알림.
6) 기술 및 조직 제어
접근 및 신원: SSO, 최소 권한 원칙, SoD, 재 인증 캠페인, JIT/임시 액세스, 필수 MFA.
격리 및 네트워크: 테넌트 격리, 세분화, 개인 채널, 허용 목록, 탈출 제한.
암호화: 필수 SL, 미디어의 암호화, 키 관리 및 회전, 수제 암호화 금지.
로깅 및 증거: 중앙 집중식 로그, WORM/Object Lock, 보고 해시, 증거 디렉토리.
데이터 및 개인 정보 보호: 마스킹/가명, 보존 제어/TTL, 법적 보류 재정의, 데이터 내보내기 제어.
DevSecOps: SAST/DAST/SCA, 비밀 스캔, SBOM, OSS 라이센스, CI/CD의 게이트, 릴리스 정책 (청록색/카나리아).
탄력성: DR/BCP 테스트, RTO/RPO 목표, 용량 계획, SLO 모니터링.
운영: 플레이 북 사고, 통화 중, SLA가 포함 된 ITSM 티켓, 변경 관리.
교육 및 입학: 필수 정보 보안/개인 정보 보호 제공 업체 과정, 인사 검증 (법률).
7) 지속적인 공급 업체 모니터링
성능/SLA: 가용성, 반응/제거 시간, 크레딧.
인증/보고서: SOC/ISO/PCI 관련성, 범위 및 제외.
사고 및 변경: 빈도/심각도, 학습 된 교훈, 하위 프로세서/위치 변경.
제어 드리프트: 계약 요구 사항 (암호화, 로깅, DR 테스트) 과의 편차.
재무 지속 가능성: 공공 신호, M&A, 수혜자 변경.
관할권 및 제재: 새로운 제한, 국가/구름/데이터 센터 목록.
8) 공급 업체 위험 및 아웃소싱 메트릭 및 대시 보드
대시 보드: 공급자, SLA 센터, 사건 및 발견, 증거 준비, 서브 프로세서 맵 별 위험 히트 맵.
9) 절차 (SOP)
SOP-1: 계약자 후크 업
1. 서비스 위험 분류 → 2) DD + PoC → 3) 계약 응용 프로그램 → 4) 액세스/로그/암호화 온 보드 → 5) 시작 메트릭 및 대시 보드.
SOP-2: 계약자 변경 관리
1. 변경 카드 (위치/하위 프로세서/아키텍처) → 2) 위험 평가/법적 → 3) DPA/SLA 업데이트 → 4) 통신 및 구현 일정 → 5) 증거 확인.
SOP-3: 계약자 사건
감지 → Triage (sev) → 알림 (계약의 임시 창) → 함유 → Eradicate → 복구 → 사후 (레슨, 제어/계약 업데이트) → WORM의 증거.
SOP-4: 오프 보드
1. 동결 통합 → 2) 데이터 내보내기 → 3) 삭제/익명화 + 확인 → 4) 모든 액세스/키의 취소 → 5) 마감 보고서.
10) 예외 관리 (면제)
만료일, 위험 평가 및 상쇄 제어가 포함 된 공식 요청.
GRC/대시 보드의 가시성, 자동 알림, "영원한" 예외 금지.
연체/중요 위험에 대한위원회의 확대.
11) 샘플 템플릿
계약자의 온보드 점검표
- DD 완료; 점수/위험 카테고리 승인
- DPA/SLA/감사 권한 가입; 보안 부속서 동의
- 서브 프로세서 목록 검색; 저장 위치 확인
- SSO/MFA 구성; SoD 검증 최소화 역할
- 통나무가 연결되어 있습니다. WORM/Object Lock이 구성됩니다. 경고가 시작되었습
- DR/BCP 목표는 동의했다; 테스트 날짜 설정
- DSAR/법적 보류 절차 통합
- 대시 보드 및 모니터링 메트릭 활성화
미니 SLA 요구 템플릿
반응 시간: Sev1
회복 시간: Sev1 해 4 시간, 7 년 2 시간 24 시간
가용성: 99 이상. 9 %/월; 위반 대출
인시던트 알림: λ24 시간, 4 시간마다 중간 업데이트 (Sev1)
12) 안티 패턴
로그, 원격 측정 및 감사 권한이없는 "종이" 제어.
출구 계획은 없습니다: 비싼/긴 수출, 독점 형식에 대한 의존성.
영원한 계약자 액세스, 재 인증 부족.
서브 프로세서 및 스토리지 위치를 무시합니다.
빨간색 사실이있는 소유자/확장 및 녹색 영역이없는 KPI.
증거에 대한 WORM/불변성 부족-감사 논쟁.
13) 아웃소싱 관리 성숙도 모델 (M0-M4)
M0 Scattered: 일회성 수표, "다른 사람들처럼" 계약.
M1 카탈로그: 계약자 등록, 기본 SLA 및 설문지.
M2 관리: 위험에 따른 DD, 표준 DPA/SLA, 로그 및 대시 보드 연결.
M3 통합: 지속적인 모니터링, 코드 정책, 자동 증거, 일반 DR 테스트.
M4 확인: "버튼에 감사 준비", 공급망 예측 위험, 자동 에스컬레이션 및 오프 램프 시나리오.
14) 관련 위키 기사
공급자를 선택할 때 실사
준수 및보고 자동화
연속 준수 모니터링 (CCM)
법적 보류 및 데이터 동결
정책 및 절차 수명주기
KYC/KYB 및 제재 심사
연속 계획 (BCP) 및 DRP
합계
아웃소싱 제어는 체크리스트가 아닌 시스템입니다. 위험 지향 선택, 엄격한 계약 보증, 최소 및 관찰 된 액세스, 지속적인 모니터링, 빠른 오프 보딩 및 증거 기반. 이러한 시스템에서 계약자는 취약점을 늘리지 않고 비즈니스 속도를 높입니다.