MedaGRC
ممکن است هر Vendor به‌تنهایی Risk قابل قبولی داشته باشد، اما وقتی چند سرویس حیاتی همگی به یک Provider، Region یا Technology وابسته‌اند، Concentration Risk ایجاد می‌شود.
تمرکز فقط Vendor نیست
- Cloud Provider مشترک
- Region یا Data Center مشترک
- Identity Provider واحد
- Technology Stack مشترک
- Subprocessor مشترک
- کانال ارتباطی یا Carrier مشترک
سناریو
سه SaaS حیاتی متفاوت استفاده می‌کنید، اما هر سه روی یک Cloud Region قرار دارند. Vendor Register سه رکورد جدا نشان می‌دهد، اما Dependency Map یک Single Point of Failure را آشکار می‌کند.
چگونه اندازه‌گیری کنیم؟
تعداد Service حیاتی وابسته، سهم فرآیندهای کلیدی، جایگزین‌پذیری و Time-to-Exit می‌توانند شاخص‌های عملی باشند.
Treatment
Multi-Region، Vendor Diversity، Exit Plan، Backup Export یا Contractual Portability می‌توانند بخشی از پاسخ باشند؛ اما هزینه و پیچیدگی باید با Risk مقایسه شود.
TPRM و Concentration
در TPRM MedaGRC مهم است که Vendor فقط مستقل ارزیابی نشود و Dependency بین سرویس‌ها هم دیده شود.
سخن پایانی
ریسک تمرکز معمولاً در Assessment یک Vendor دیده نمی‌شود؛ فقط وقتی Portfolio و Dependencyها را کنار هم می‌گذاریم آشکار می‌شود.
