제3자 벤더와의 관계
자주 묻는 질문
Vendor Risk Management Portal
- 최초 로그인 후 암호를 바꿔야 합니다.
- 최초 로그인 후 사용자 이름을 변경할 수 있는 옵션이 제공됩니다.
- 참고: 사용자 이름은 처음에 자동으로 생성되며 이메일 주소로 기본 설정되지 않습니다. 사용자 이름 및/또는 암호를 복사해 붙여넣는 것보다 직접 입력하면 마지막 공백까지 복사되어 로그인에 실패하는 것을 방지할 수 있습니다.
- 참고: 다단계 인증(MFA)이 필요합니다.
포털의 '암호 찾기' 기능을 이용하여 직접 재설정할 수 있습니다. 또는 TPRM@zoom.us나 TPRM_Assessments@zoom.us로 문의하면 새 임시 암호가 포함된 링크를 다시 보내드립니다.
회사의 기본 벤더 담당자는 필요에 따라 벤더 포털에서 추가 담당자를 추가할 수 있습니다.
- 이메일
- 벤더 포탈 공지
Program Scope
모든 벤더는 내재적 위험 설문지(IRQ) 범위에 포함됩니다. IRQ 결과에 따라 일부 벤더는 추가 위험 평가가 필요할 수 있습니다. 위험도가 낮은 것으로 확인된 일부 서비스는 상세 평가가 필요하지 않을 수 있습니다.
새로운 참여가 시작되면 TPRM 팀에서 귀하와의 킥오프 회의 일정을 잡습니다. 이 기간 동안 평가 활동과 일정이 귀하에게 전달됩니다. 목표는 90일을 초과하지 않는 것입니다.
- 준비
- 킥오프
- 평가 작업
- 회의 및 분석
- 참여 종료
- 지속적인 모니터링
- 고객 콘텐츠 데이터
- 고객 데이터
- 직원 데이터
- 잠재 직원 데이터
- 이벤트 로그
- 구성 데이터
- 회의 메타데이터
Risk Assessments
위험 평가는 규정 준수 또는 정보 보안과 관련된 자문 및 평가 서비스입니다. 프로젝트 팀 및 경영진에게 새로운 솔루션으로 인해 발생하는 기술 위험을 관리할 수 있는 지침을 제공하는 것을 목표로 합니다.
- 내재적 위험 설문지(IRQ)
- 실사 위험 평가는 주제 전문가(SME) 팀이 수행하며, 여기에는 제3자 위험 관리 팀, 개인정보 보호 팀, 규정 준수 팀, IT 팀, 보안 아키텍처 팀, 공격 보안 팀 또는 오픈 소스 보안 팀이 포함될 수 있습니다.
IRQ는 벤더 서비스에 대한 질문으로 구성되어 있으며, Zoom이 처할 수 있는 잠재적 위험 및 내재적 위험 등급을 판단하는 데 사용됩니다.
내재적 위험 등급은 규제가 적용 또는 고려되기 전에 해당 업체의 참여가 Zoom에 미칠 수 있는 잠재적 위험을 나타냅니다. 위험 등급은 낮음, 중간, 높음으로 측정됩니다. 내재된 위험 등급은 어떤 위험 평가 작업이 필요한지 결정하는 요소가 됩니다.
- 모든 신규 벤더의 참여 시 IRQ가 필요합니다.
- 위험 평가 요구 사항은 내재된 위험 등급에 따라 결정됩니다.
- 지속적인 모니터링을 위해 따라야 할 일반적인 타임라인은 다음과 같습니다.
- 위험: 매년
- 높음: 1~2년마다
- 중간: 2~3년마다
- 낮음: 임의로
- 보안 문제가 확인되면 Zoom 비즈니스 소유자는 벤더가 해당 문제에 대한 위험 대응 계획을 제공하도록 확인할 책임이 있으며 필요에 따라 해당 계획을 법적 계약에 포함시킬 수 있습니다.
- 위험 대응 계획에는 문제 해결 또는 수용이 포함될 수 있습니다.
Incident Management
- Zoom 벤더 관리자에게 직접 연락하거나 TPRM (tprm@zoom.us)으로 이메일을 보내 사고를 보고할 수 있습니다.
- 보고에는 다음을 포함해야 합니다.
- 사고 날짜
- 벤더 이름
- 제품/애플리케이션 이름(해당하는 경우)
- 통보를 받은 Zoom 담당자
- 관련 PO(해당하는 경우/사용 가능한 경우)
- 사고 요약