Czym jest Vendor Due Diligence w SaaS? 

W SaaS, należyta staranność dostawcy to proces dokładnego badania potencjalnych dostawców SaaS przed nawiązaniem z nimi współpracy. Obejmuje to analizę różnych obszarów, takich jak:

• status prawny firmy
• stabilność finansowa
• wydajność produktu
• sposób postępowania z wrażliwymi informacjami klientów

Te weryfikacje mają na celu ochronę firm przed szkodliwymi zdarzeniami, takimi jak kradzież danych, przerwy w świadczeniu usług oraz kwestie zgodności. 

Oto kroki procesu należytej staranności dostawcy: 

1. Rozważ sytuację finansową dostawcy, czy jest wystarczająco stabilna, aby świadczyć usługi przez dłuższy okres czasu. 
2. Skup się na ich efektywności operacyjnej i skuteczności technicznej, w tym terminowości, politykach bezpieczeństwa i planach odzyskiwania danych po awarii. 
3. Przeanalizuj kwestie prawne i zgodność z regulacjami, aby uniknąć wszelkich potencjalnych problemów prawnych.

W przypadku tradycyjnego oprogramowania on-premise, firma jest właścicielem infrastruktury.

W przypadku SaaS klient zrzeka się kontroli nad danymi, aplikacjami i bezpieczeństwem infrastruktury na rzecz dostawcy. Jednak monitorowanie dryfu wariacji (VDD) przydaje się w zapewnieniu odpowiedzialności dostawcy w zakresie zarządzania aktywami.

Proces due diligence zazwyczaj koncentruje się na czterech kluczowych obszarach:

• Bezpieczeństwo & Techniczne: Ocena ochrony danych dostawcy, szyfrowania, bezpieczeństwa sieci, kontroli dostępu oraz planu reagowania na incydenty.
• Zgodność & Kwestie Prawne: Weryfikacja przestrzegania przepisów, takich jak RODO, HIPAA, SOC 2, certyfikaty ISO, oraz zapewnienie, że umowy zawierają odpowiednie klauzule dotyczące odpowiedzialności i własności danych.
• Finansowe & Operacyjne: Ocena stabilności finansowej dostawcy (aby uniknąć zakłóceń lub zakończenia świadczenia usług), czasu pracy infrastruktury, planów odzyskiwania po awarii oraz umów o poziomie usług (SLA).
• Zarządzanie danymi: Dokładne badanie, gdzie i jak dane są przechowywane, przetwarzane oraz potencjalnie przekazywane poza granice, a także polityki usuwania danych po zakończeniu umowy.

Solidny proces VDD w dużej mierze opiera się na weryfikowalnych dowodach. Wymagana kluczowa dokumentacja obejmuje:

Zaleca się uważne ocenianie dostawców, którzy:

• decydują się nie udostępniać dokumentacji bezpieczeństwa (np. raportu SOC 2, wyników testów penetracyjnych) może być istotne.
• mają niewystarczający lub brakujący Odzyskiwanie po awarii (DR) plan, co może wiązać się z mniej pożądanymi wskaźnikami RTO/RPO.
• mają niejasne lub nadmiernie restrykcyjne warunki dotyczące własności danych lub przenoszenia danych (odzyskiwania danych).
• wykorzystują metody szyfrowania dla danych, zarówno przechowywanych, jak i przesyłanych, które mogą być podatne na naruszenia.
• może doświadczać niestabilności finansowej lub wykazywać historię trudności w przestrzeganiu SLA.

VDD to międzyfunkcyjny wysiłek, który wymaga wkładu z kilku działów:

• Bezpieczeństwo Informacji/IT: Monitoruje kontrole techniczne, architekturę i bezpieczeństwo sieci. 
• Dział Prawny/Zgodność: Przegląda umowy, DPA i przestrzegania przepisów.
• Finanse/Zaopatrzenie: Ocenia koszt, stabilność finansową i warunki umowy.
• Jednostka biznesowa/Użytkownik: Weryfikuje dopasowanie operacyjne i możliwości funkcjonalne rozwiązania.