در دنیای مدرن فناوری، بسیاری از سازمان‌ها تصور می‌کنند که با توزیع ابزارهای خود بین تامین‌کنندگان مختلف، ریسک‌های عملیاتی را کاهش داده‌اند. اما مفهومی به نام ریسک تمرکز تامین‌کنندگان (Vendor Concentration Risk) وجود دارد که نشان می‌دهد حتی با وجود تعداد زیاد قراردادها، بسیاری از این سرویس‌ها در لایه‌های زیرین بر روی چند ارائه‌دهنده محدود متکی هستند.
وابستگی‌های پنهان و نقاط گلوگاهی
یک سازمان ممکن است با ۳۰ تامین‌کننده مختلف قرارداد داشته باشد، اما اگر اکثر این تامین‌کنندگان از یک زیرساخت ابری (Cloud)، یک تامین‌کننده هویت (Identity Provider)، یک سرویس DNS یا یک مدل هوش مصنوعی مشترک استفاده کنند، در صورت بروز اختلال در آن ارائه‌دهنده زیربنایی، بخش‌های بسیار بیشتری از کسب‌وکار نسبت به آنچه در قراردادها پیش‌بینی شده، دچار اختلال خواهد شد.
مراحل شناسایی و نقشه‌برداری از ریسک
برای مقابله با این چالش، یک تمرین نقشه‌برداری چهار مرحله‌ای پیشنهاد می‌شود که هدف آن تبدیل لیست طولانی تامین‌کنندگان به شناسایی حدود پنج نقطه گلوگاهی (Choke Points) است. این فرآیند شامل موارد زیر است:
- شناسایی تامین‌کنندگان مستقیم: تهیه لیست کامل تمامی سرویس‌های خریداری شده.
- تحلیل لایه‌های زیرین: بررسی اینکه هر تامین‌کننده برای ارائه سرویس خود از چه زیرساخت‌هایی استفاده می‌کند.
- شناسایی نقاط مشترک: یافتن ارائه‌دهندگانی که بیشترین تعداد سرویس‌های سازمان به آن‌ها وابسته هستند.
- ارزیابی اثرات: تحلیل میزان تاثیر توقف هر یک از این نقاط بر تداوم کسب‌وکار.
استراتژی‌های کاهش ریسک و حاکمیت
برای مدیریت این ریسک‌ها، مدیران امنیت و فناوری اطلاعات باید بر روی سه محور تمرکز کنند:
- بررسی قراردادها: گنجاندن مفاد مربوط به کمک در زمان خروج (Exit Help)، قابلیت انتقال داده‌ها (Data Portability) و توافق‌نامه‌های سطح خدمات (SLA) دقیق.
- اصلاح معماری: استفاده از پروتکل‌های استاندارد برای جلوگیری از وابستگی به تکنولوژی‌های اختصاصی (Vendor Lock-in).
- تمرینات عملیاتی: اجرای تمرینات استخراج داده (Export Drills) و ایجاد مسیرهای پشتیبان برای مدیریت هویت (Backup Identity Paths).
در نهایت، پیاده‌سازی یک برنامه چهار هفته‌ای برای شناسایی و اصلاح این وابستگی‌ها می‌تواند تاب‌آوری سازمان را در برابر قطعی‌های گسترده زیرساختی به شدت افزایش دهد.
