第8节：向供应商提出恰当的问题
在本节中，您将学习：
向供应商提出恰当的问题
您的非营利组织可能需要依靠其他组织来提供电子邮件、云存储、筹款、会计、网站托管或技术支持等服务。这些服务能够提供您的团队仅凭自身力量无法实现的功能。.
它们也成为您安全措施的一部分。选择服务提供商意味着要了解其保护范围、贵组织需要采取哪些措施，以及在需要时如何获得帮助。.
您无需进行技术审计。请先就涉及的信息、访问权限和服务提出明确的问题。.
了解哪些供应商最重要
供应商或服务提供商可以是软件公司、顾问、承包商或代表您管理某项服务的组织。请将免费服务和捐赠服务也纳入审查范围。.
利用您的库存清单，优先选择符合以下条件的供应商：
审查级别应反映其可能产生的影响。用于制作公共活动图形的工具与存储客户机密记录的平台，在审查方面需要采取不同的考量。.
理解共同责任
服务提供商可以保护其基础设施，而您的非营利组织仍需负责权限管理、账户恢复以及信息共享方式。.
例如，某项云服务可能提供多因素身份验证（MFA）和受限共享功能，但您的组织可能需要启用这些功能，并决定由谁来获取访问权限。请询问： “你负责管理什么？我们需要管理什么？这些内容记录在哪里？”
如需技术支持，请明确协议中是否包含安全更新、访问审查、备份检查和事件协助。仅提及“IT支持”这一笼统表述，并不能证明所有安全任务均在覆盖范围内。.
使用一份实用的供应商核对清单
要求对方用通俗易懂的语言作出答复，并在可能的情况下，通过服务文件或协议予以确认。.
|
需要提出的问题
|
为何这很重要
|
需要澄清的内容
|
|---|---|---|
|
您将收到或查阅哪些信息？ |
可帮助您评估该服务是否适用于相关信息。. |
包括已上传的文件、已关联的账户以及支持人员对系统的访问权限。. |
|
我们该如何保护登录安全并控制访问权限？ |
您的团队需要切实可行的账户安全措施。. |
MFA、个人账户、管理员权限及撤销访问权限 |
|
我们的信息将如何被使用？ |
提供这项服务可能并非其唯一用途。. |
广告、分析、人工智能模型训练以及任何相关的退出选项或限制 |
|
信息存储在哪里？还有哪些其他公司协助处理这些信息？ |
其他地区和提供商可能会影响您的隐私及合同要求。. |
可选方案以及变更通知方式；仅在加拿大进行存储并不能确保安全或合规。. |
|
删除、损坏或出现账户问题后，哪些内容可以恢复？ |
恢复功能差异很大。. |
备份范围、恢复限制、恢复测试、所需时间及额外费用 |
|
如果发生影响我们信息或服务的事件，您将如何通知我们？ |
贵组织可能需要迅速采取行动。. |
联系方式、通知承诺以及您将收到的信息 |
|
如果发生事故，可以获得哪些帮助？ |
常规支持可能不包括事件调查或恢复工作。. |
服务时间、紧急联系方式、责任范围及费用 |
|
我们能否将信息导出为可用的格式？ |
您可能需要更换服务提供商，或者继续在其他地方工作。. |
导出内容包括哪些，以及是否保留了您工作所需的信息 |
|
服务结束时会发生什么？ |
关闭账户后，存储的所有信息可能不会立即被删除。. |
访问、移除、删除、保留备份及处置确认 |
|
哪些保障措施需要额外付费？ |
基本功能可能因套餐而异。. |
MFA 管理、访问控制、备份、技术支持及非营利组织定价 |
请确保您提供的信息与情况相称
供应商可能会询问您的系统情况，以便准备提案或提供支持。请通过适当的渠道提供必要的信息。.
在初步讨论阶段，您通常无需提供实际的客户记录、密码或完整的内部安全措施清单，即可说明您的需求。.
在授予技术访问权限之前：
- 请通过您既定的联系渠道核实该人员及相关工作。.
- 商定他们可以访问和修改的内容。.
- 在支持的情况下，请使用个人、受限访问。.
- 设定一个结束日期或审查节点。.
- 工作完成后，请撤销访问权限。.
不要仅仅因为方便就授予无限制的访问权限。.
理解有关安全性的说法
您可能会看到诸如“银行级安全”、“完全安全”或“符合隐私保护标准”之类的表述。请询问这些说法对您即将使用的服务具体意味着什么。.
认证和独立评估可以提供有用的证据，但请注意：
- 评估的对象是哪个部门或组织的哪个部分。.
- 证据是否是最新的。.
- 它实际上涵盖了哪些内容。.
- 哪些职责仍由贵非营利组织承担。.
认证并不能保证不会发生安全事件。加密虽然有用，但并不能解决关于访问、使用、恢复或删除的所有问题。.
目的是将服务提供商的承诺与您的实际需求相结合。.
利用你现有的工具开展工作
在购买新服务之前，请先审查现有服务。您可能已经拥有一些未启用的有用保护措施，或是团队尚未探索过的内置功能。.
免费和打折的非营利组织套餐可能很有价值。请查看其使用限制，以及如果资格条件、价格或条款发生变化会如何处理。.
同时，还应审查由员工或志愿者非正式引入的服务。即使没有人批准其使用，也没有记录谁控制该账户，一个有用的工具也可能演变为组织的依赖项。.
使用一份实用的供应商核对清单
要求对方用通俗易懂的语言作出答复，并在可能的情况下，通过服务文件或协议予以确认。.
|
发现
|
切实可行的应对措施
|
|---|---|
|
虽然存在一项有用的保护措施，但该措施尚未启用。. |
安排专人启用该功能，并确认其能否正常运行。. |
|
该功能仅在其他套餐中提供。. |
评估该收益是否足以抵消成本，或者是否有其他安排能满足这一需求。. |
|
恢复程度有限。. |
决定是否需要进行额外备份或使用其他服务。. |
|
该服务提供商无法说明如何处理敏感信息。. |
请寻求澄清，并在问题尚未解决之前避免上传该信息。. |
|
该服务无法满足一项重要要求。. |
考虑选择另一家服务商，或者采用其他方式完成这项工作。. |
记录该决定、任何未解决的问题以及由谁负责跟进。重大未解决的风险应由领导层批准，而非由单个员工独自做出决定。.
变更与服务终止计划
请及时更新组织所有权、账单联系人及恢复信息。关键服务不应仅依赖于离职人员的个人账户。.
在结束服务之前：
- 导出并核对您所需的信息。.
- 转移必要的工作和访问权限。.
- 删除不再需要的集成和提供商访问权限。.
- 确认取消、保留和删除的相关安排。.
当您的使用情况发生变化时，请重新评估服务提供商。例如，当原本用于公共沟通的工具开始存储客户信息时。服务提供商的条款、功能或所有权发生重大变更时，也可能需要进行重新评估。
一项建议的政策规则
用于组织工作的服务必须根据其访问权限、信息处理及运营重要性，在相应层级获得批准。必须记录相关职责、账户所有权、支持及退出安排。服务提供商仅可获得开展经批准工作所需的访问权限和信息。如有重大疏漏，必须上报给指定的决策者。.
在采用此规定之前，应明确由谁批准服务、协议存放于何处以及由谁审核服务提供商的安排。.
回顾一家重要的服务提供商
从您的库存中选择一家持有敏感信息或提供关键服务的供应商。.
在选择新服务或审查现有重要服务时，请使用完整的检查清单。.
您的收获
学习完本节内容后，您应该能够：
- 确定了对您的信息和运营最为重要的服务提供商。.
- 明确了各方职责分工及支持安排。.
- 已记录的疏漏及需要跟进的决定。.
- 已确认贵组织能够保持访问权限并检索其信息。.
接下来，您将做好应对突发事件的准备：联系谁、如何将危害降到最低，以及如何判断是否需要通知其他人。.
第9节：应对事件并评估通知需求
事件响应计划通过明确职责、关键联系人以及为保护人员和维持基本运营而应采取的紧急措施，帮助您的非营利组织快速应对安全事件。.
English 
French 
Chinese 
Spanish 
Ukrainian 