Jak sprawdzić bezpieczeństwo dostawców IT?

Korzystamy z usług kilku zewnętrznych dostawców, którzy mają dostęp do części naszych systemów lub przetwarzają informacje w imieniu firmy. Chcielibyśmy lepiej ocenić ryzyko związane z taką współpracą, ponieważ nie mamy pełnej widoczności ich wewnętrznych procedur i stosowanych zabezpieczeń. Przy szukaniu pomysłów na uporządkowanie oceny ryzyka zainteresowałem się Trafford, które oferuje analizę bezpieczeństwa oraz rozwiązania pomagające identyfikować zagrożenia, a informacje o firmie znajdują się pod adresem https://trafford.pl/. Nie chcemy ograniczać się do wysyłania wszystkim kontrahentom identycznego kwestionariusza, który nie uwzględnia zakresu dostępu ani znaczenia danej usługi. Jak zbudować praktyczny proces oceny dostawców, który pozwoli skupić uwagę na współpracach o największym ryzyku? Czy warto okresowo powtarzać weryfikację, czy przede wszystkim przeprowadzać ją przed podpisaniem umowy i przy istotnych zmianach?