IT SELECT LAB
ยังไม่ได้บันทึก เก็บในเบราว์เซอร์นี้เท่านั้น — หายเมื่อล้าง site data

Third-party Due Diligence Workspace

จัดการ vendor questionnaire + track evidence request — ไม่ประกาศว่า vendor ปลอดภัย decision อยู่ที่ business owner + risk officer

ไม่ใช่คำแนะนำทางกฎหมาย: การอ้างมาตราและประกาศเป็นการอ้างอิง ณ วันที่ทบทวน ต้องยืนยันฉบับล่าสุดกับต้นทาง (PDPC / สกช. / ธปท. / ก.ล.ต.) ก่อนใช้ในสถานการณ์จริง

  • CERT — Certifications

    vendor มี ISO 27001 / SOC 2 / equivalent certification ที่ยังไม่หมดอายุหรือไม่

    Evidence ที่แนะนำ: cert PDF + scope + audit report

  • BREACH — Breach history

    vendor เคยเปิดเผย breach ในรอบ 24 เดือนหรือไม่ และมีการแก้ไข root cause แล้วหรือไม่

    Evidence ที่แนะนำ: public incident report / post-mortem

  • DATA — Data flow

    vendor เก็บ / process / transmit ข้อมูลอะไรของเรา และจัดเก็บที่ประเทศใด

    Evidence ที่แนะนำ: data flow diagram + DPA / SCC

  • BCM — Business continuity

    vendor มี BCP / DR + evidence of test ในรอบล่าสุดหรือไม่

    Evidence ที่แนะนำ: BCP document, DR test report

  • SUB — Subprocessors

    vendor เปิดเผยรายการ subprocessor และมี process แจ้งเมื่อเปลี่ยนแปลงหรือไม่

    Evidence ที่แนะนำ: subprocessor list + change notification clause

  • PT — Independent testing

    vendor มี pentest / vulnerability assessment โดยบุคคลภายนอกทุก 12 เดือนหรือไม่

    Evidence ที่แนะนำ: pentest report (redacted OK) + remediation status

  • EXIT — Exit strategy

    มี data export format + retention/deletion process ระบุใน contract หรือไม่

    Evidence ที่แนะนำ: contract clause + procedure document

  • IR — Incident notification

    vendor มี SLA แจ้งเหตุ breach ให้เราภายในกี่ชั่วโมง และตรงกับ obligation ตาม PDPA ของเราหรือไม่

    Evidence ที่แนะนำ: contract clause + tabletop record