Relaciones con proveedores externos
Preguntas frecuentes
Vendor Risk Management Portal
- Debe cambiar su contraseña al iniciar sesión por primera vez.
- Tendrá la opción de cambiar su nombre de usuario después del primer inicio de sesión.
- Nota: su nombre de usuario se genera automáticamente y no coincide con su dirección de correo electrónico de forma predeterminada. Escriba el nombre de usuario o la contraseña en lugar de copiar y pegar para evitar que aparezca un espacio al final, lo que provocará un error en el inicio de sesión.
- Nota: la autenticación multifactor (MFA) será obligatoria.
Puede restablecer su contraseña con la característica «Olvidé mi contraseña» en el portal o al ponerse en contacto con TPRM@zoom.us o TPRM_Assessments@zoom.us para que le enviemos un enlace con una nueva contraseña temporal.
El contacto principal de proveedores de su empresa puede añadir contactos adicionales en el portal de proveedores según sea necesario.
- Correo electrónico
- Notificaciones del portal de proveedores
Program Scope
Todos los proveedores deben someterse a un cuestionario de riesgos inherentes (inherent risk questionnaire, IRQ). En función de los resultados del IRQ, es posible que algunos proveedores requieran evaluaciones de riesgo adicionales. Algunos servicios identificados como de bajo riesgo pueden no requerir una evaluación detallada.
El equipo de TPRM programará una reunión inicial con usted al comienzo de una nueva interacción. Durante esta reunión, se le comunicarán las actividades de evaluación y los plazos. El objetivo es no superar los 90 días calendario.
- Preparación
- Inicio
- Trabajo de evaluación
- Reuniones y análisis
- Cierre de la interacción
- Supervisión continua
- Datos de contenido del cliente
- Datos del cliente
- Datos de los empleados
- Datos de posibles empleados
- Registros de eventos
- Datos de configuración
- Metadatos de la reunión
Risk Assessments
Las evaluaciones de riesgos son servicios de asesoramiento y evaluación relacionados con el cumplimiento normativo o la seguridad de la información. El objetivo es orientar a los equipos de proyectos y a los líderes para gestionar el riesgo tecnológico introducido por las nuevas soluciones.
- Cuestionario de riesgos inherentes (IRQ)
- Evaluaciones de riesgos de diligencia debida llevadas a cabo por equipos de expertos en la materia (SME) que pueden incluir Gestión de Riesgos de Terceros, Privacidad, Cumplimiento, TI, Arquitectura de Seguridad, Seguridad Ofensiva o Seguridad de Código Abierto.
El IRQ consta de preguntas sobre el servicio del proveedor que se utilizan para determinar el riesgo potencial que supone para Zoom y el nivel de riesgo inherente.
Un nivel de riesgo inherente se refiere al riesgo potencial que presenta una interacción para Zoom antes de que se aplique o se tenga en cuenta ningún control. El nivel de riesgo se mide en una escala de bajo, medio y alto. El nivel de riesgo inherente es el factor decisivo a la hora de determinar el trabajo de evaluación de riesgos que se requiere.
- Los IRQ son obligatorios para cualquier nueva colaboración con un proveedor.
- Los requisitos de evaluación de riesgos se basan en el nivel de riesgo inherente.
- A continuación, se detallan los plazos generales que se seguirán para la supervisión continua:
- Crítico: anual
- Alto: anual a bienal
- Medio: bienal a trienal
- Bajo: ad hoc
- Si se identifica algún problema de seguridad, el propietario de la empresa de Zoom es responsable de garantizar que el proveedor proporcione un plan de respuesta al riesgo para el problema y puede incorporar el plan a los acuerdos legales según sea necesario.
- Los planes de respuesta al riesgo pueden incluir la corrección o la aceptación de los problemas.
Incident Management
- El incidente se puede notificar poniéndose en contacto directamente con su administrador de proveedores de Zoom o enviando un correo electrónico al equipo de TPRM (tprm@zoom.us).
- Asegúrese de incluir:
- Fecha del incidente
- Nombre del proveedor
- Nombre del producto o la aplicación (si corresponde)
- Contacto(s) de Zoom notificado(s)
- Orden de compra asociada (si corresponde o hay una disponible)
- Resumen del incidente