第三方供应商关系

供应商加入

供应商加入

Zoom 与第三方供应商合作，以此满足客户和业务需求。这些第三方公司可称为供货商、供应商或第三方供应商。第三方风险管理 (TPRM) 计划可为许多此类第三方供应商提供咨询和评估活动。TPRM 与法务部、采购部、技术合规部、隐私保护部、IT 和业务部门合作，综合治理和管理 Zoom 的供应商群体。

制定 TPRM 计划的目的是为了确保向 Zoom 提供技术或服务以及访问 Zoom 敏感数据的供应商遵守主要安全原则，符合合规性和监管要求。在 TPRM 计划中，我们将进行风险评估。

TPRM 通过基于风险的评审周期促使供应商遵守这些要求。任何新增供应商都必须完成此流程才能开始提供服务。

常见问题解答

Vendor Risk Management Portal

  • 首次登录后必须更改密码
  • 首次登录后，可以选择更改用户名
  • 注意：您的初始用户名由系统自动生成，不会默认设置为您的电子邮件地址。请键入用户名和/或密码，切勿直接复制/粘贴，以免因复制末尾空格而导致登录失败。
  • 注意：需要进行多重身份验证 (MFA)。

您可以利用门户中的“忘记密码”功能进行重置，也可以联系 TPRM@zoom.us 或 TPRM_Assessments@zoom.us，我们会重新发送一个链接以及新的临时密码。

贵司的主要供应商联系人可根据需要在供应商门户中添加其他联系人。

  • 电子邮件
  • 供应商门户通知

Program Scope

所有供应商均已纳入固有风险问卷 (IRQ) 的范畴。根据 IRQ 的调查结果，部分供应商可能还需要进行其他风险评估，认定为低风险的部分服务则无需进行详细评估。

在新一轮签约的开始阶段，TPRM 团队将安排与您进行一次启动会议。在此期间，我们将向您传达评估活动和时间表信息。目标是不超过 90 个日历日。

  • 准备
  • 启动会议
  • 评估工作
  • 会议与分析
  • 签约结束
  • 持续监控
  • 客户内容数据
  • 客户数据
  • 员工数据
  • 潜在员工数据
  • 事件日志
  • 配置数据
  • 会议元数据

Risk Assessments

风险评估是与监管合规性或信息安全相关的咨询和评估服务。其目标是为项目团队和领导层提供指导，应对新的解决方案所带来的技术风险。

  • 固有风险问卷 (IRQ)
  • 尽职调查风险评估由主题专家 (SME) 团队开展，其中可能包括第三方风险管理、隐私、合规、IT、安全架构、攻击性安全或开源安全等团队。

IRQ 包括有关供应商服务的问题，用于确定对 Zoom 构成的潜在风险和固有风险等级。

固有风险等级是指在采取或考虑任何控制措施之前，签约对 Zoom 构成的潜在风险。风险等级按低、中、高三个级别划分。固有风险等级是确定需要开展哪些风险评估工作的驱动因素。

  • 任何新签约的供应商都需要提供 IRQ。
  • 风险评估要求以固有风险等级为基础。
  • 以下是持续监控所遵循的常规时间表：
    • 关键：一年一次
    • 高：每年至两年一次
    • 中：两年至三年一次
    • 低：临时安排
  • 如果发现任何安全问题，Zoom 业务所有者有责任确保供应商提供该问题的风险应对方案，并根据需要将此方案纳入法律协议。
  • 风险应对计划可包括补救问题或接纳问题。

Incident Management

  • 您可以直接联系 Zoom 供应商经理或发送电子邮件至 TPRM (tprm@zoom.us) 上报事件。
  • 请务必包括以下内容：
    • 事件日期
    • 供应商名称
    • 产品/应用程序名称（如适用）
    • 已通知的 Zoom 联系人
    • 相关 PO（如适用/可用）
    • 事件概述

资源

安全附录

了解更多

POC 协议

了解更多

证据申请表

了解更多