Pusat Referensi Pengelolaan Risiko Pihak Ketiga

Google Cloud dapat melibatkan pihak ketiga (Subkontraktor) untuk melakukan aktivitas tertentu sehubungan dengan layanan Google Cloud. Subkontraktor ini dipantau dan dikelola melalui program Pengelolaan Risiko Pihak Ketiga (TPRM) Google Cloud, yang dirancang untuk memastikan bahwa interaksi dengan Subkontraktor memenuhi standar keamanan, kepatuhan, dan efisiensi operasional Google Cloud yang tinggi.

Program TPRM di Google Cloud menggunakan pendekatan berbasis risiko untuk mengidentifikasi, menilai, mengelola, dan memantau pihak ketiga sebanding dengan tingkat risiko yang ditimbulkan oleh pihak ketiga tersebut. Pihak ketiga yang menyediakan layanan penting diperlakukan dengan tata kelola dan pengawasan yang lebih ketat. Secara khusus, program TPRM membedakan antara Subkontraktor yang memproses data pelanggan (Subpemroses) dan Subkontraktor yang tidak memprosesnya. Konten di bawah ini menjelaskan aktivitas Pengelolaan Risiko Pihak Ketiga Google Cloud di setiap fase siklus proses Subkontraktor.

Program TPRM Google Cloud diatur dan dikelola melalui organisasi Chief Information Security Officer (CISO) Cloud dan didukung oleh program pengelolaan risiko pihak ketiga perusahaan Google, organisasi pengadaan, organisasi pengelolaan vendor, tim risiko dan kepatuhan, serta tim hukum untuk memastikan pengelolaan risiko pihak ketiga yang tepat di seluruh organisasi. 

Sebelum melibatkan pihak ketiga, program TPRM Google Cloud mengharuskan penilaian untuk mengklasifikasikan pihak ketiga dan menentukan tingkat risiko yang ditimbulkan oleh layanan pihak ketiga. Tingkat risiko digunakan untuk menentukan persyaratan uji tuntas, kontrak, dan orientasi serta pemantauan berkelanjutan. Pada tahap ini, risiko konsentrasi keseluruhan dinilai untuk menentukan dampak orientasi Subkontraktor baru ke Google Cloud.

Tim Google Cloud yang melakukan orientasi Subkontraktor mengikuti proses yang telah ditetapkan untuk melaksanakan kontrak yang sesuai dengan Subkontraktor sebelum layanan dimulai. Kontrak ini membahas persyaratan keamanan, privasi, dan kepatuhan Google Cloud yang ketat serta kewajiban kami kepada pelanggan terkait Subkontraktor. 

SLA, KPI, atau metrik performa lainnya ditetapkan secara kontraktual dan strategi performa dikembangkan untuk Subkontraktor guna memastikan pemantauan performa dilakukan secara berkelanjutan.

Setelah Subkontraktor disiapkan, mereka akan terus dipantau oleh tim Google Cloud yang relevan di berbagai dimensi yang berkaitan dengan performa dan pengelolaan risiko. Performa dikelola secara formal setiap tiga bulan (minimal) melalui indikator performa utama (KPI) yang ditetapkan dan rapat peninjauan bisnis kuartal (QBR). 

Meskipun penilaian risiko (serupa dengan penilaian uji tuntas) dilakukan setiap tahun, Subkontraktor dipantau secara berkelanjutan untuk mendeteksi potensi perubahan pada postur risiko yang mungkin memerlukan penilaian lebih lanjut. 

Jika ada perubahan jenis layanan atau lokasi Subkontraktor yang ada, Google Cloud akan memberi tahu pelanggan dalam rentang waktu yang disepakati secara kontraktual. 

Setiap insiden yang diidentifikasi oleh Google Cloud selama pemantauan akan dilacak, dikelola, dan diselesaikan melalui program pengelolaan insiden pusat yang memadukan tim pakar lintas fungsi dalam format tim khusus untuk memastikan penyelidikan, perbaikan, dan komunikasi proaktif secara tepat waktu. Informasi selengkapnya dapat ditemukan di proses respons insiden data Google Cloud.

Google Cloud memahami pentingnya kelangsungan layanan bagi keberhasilan pelanggan serta kontrol internal yang komprehensif untuk melindunginya.

Google Cloud melakukan penilaian rutin terhadap program kelangsungan bisnis Subkontraktor kami guna mengidentifikasi potensi risiko dan mengembangkan strategi untuk memitigasi dampaknya. Performa subkontraktor, yang tidak sesuai kontrak; dipantau secara rutin untuk menjaga kualitas layanan dalam batasan indikator performa utama (KPI) yang ditetapkan.

Data pelanggan adalah data Anda, bukan data Google. Kami hanya memproses Data Pelanggan sesuai dengan petunjuk, dan tidak menentukan tujuan atau sarana utama pemrosesan tersebut. Oleh karena itu, kami adalah pemroses data pelanggan, bukan pengontrol atau pengontrol gabungan.

Google menggunakan Subpemroses untuk melakukan aktivitas terbatas sehubungan dengan layanan Google Cloud, seperti layanan dukungan teknis. Sesuai dengan Adendum Pemrosesan Data Cloud, Google berkomitmen kepada pelanggan bahwa perjanjian tertulisnya dengan Subpemroses akan berisi perlindungan tertentu. Google akan memastikan melalui perjanjian tersebut bahwa:

Google melakukan audit terhadap praktik privasi dan keamanan Subpemroses untuk memastikan Subpemroses memberikan tingkat keamanan dan privasi yang sesuai dengan aksesnya ke data serta cakupan layanan yang akan diberikan. 

Setelah Google menilai risiko yang ditimbulkan oleh Subpemroses, Subpemroses diwajibkan untuk menyepakati persyaratan kontrak keamanan, kerahasiaan, dan privasi yang sesuai. Secara khusus, Google akan memastikan melalui kontrak bahwa Subpemroses hanya mengakses data pelanggan sejauh yang diperlukan untuk melakukan aktivitas terbatas mereka dan bahwa semua akses tersebut sesuai dengan persyaratan perlindungan data Google Cloud. 

Untuk mengetahui informasi selengkapnya tentang penawaran Privasi Google Cloud, lihat Pusat Referensi privasi.