BC vendor-due-diligence-patrick-munro
Структура оценки поставщиков на основе рисков для ИТ-сервисов, поставщиков технологий и сторонних партнеров в соответствии с DORA, NIS2, GDPR. Предоставляет трехэтапный процесс (первичный отбор / детальная оценка / окончательная оценка), шестимерную оценку рисков (финансовые/операционные/соответствие/безопасность/репутационные/стратегические) с взвешенными матрицами, полный контрольный список договорных требований DORA ст. 28-30, перечисление мер безопасности NIS2 ст. 21(2), проверки документации GDPR ст. 28, «красные флаги» по каждому измерению, критерии пересмотра на основе триггеров и шаблоны документов. Используйте, когда: (1) Оцениваете новых поставщиков или поставщиков технологий, (2) Проводите проверку критически важных сторонних ИКТ-поставщиков в соответствии с DORA, (3) Проводите оценку безопасности цепочки поставок в соответствии с NIS2, (4) Создаете документацию для онбординга поставщиков, (5) Устанавливаете постоянный мониторинг поставщиков, (6) Оцениваете риск концентрации или (7) Генерируете отчеты о рисках поставщиков для руководства.
машинный переводПоказать оригиналСкрыть оригинал«Risk-based vendor assessment framework for IT service providers, techn…»
Risk-based vendor assessment framework for IT service providers, technology vendors, and third-party partners under DORA, NIS2, GDPR. Provides three-phase process (Initial Screening / Detailed Assessment / Final Evaluation), six-dimension risk scoring (Financial/Operational/Compliance/Security/Reputational/Strategic) with weighted matrices, full DORA Art. 28-30 contractual checklist, NIS2 Art. 21(2) security measures enumeration, GDPR Art. 28 documentation checks, red flags per dimension, trigger-based review criteria, and document templates. Use when: (1) Evaluating new vendors or technology providers, (2) Conducting critical ICT third-party due diligence under DORA, (3) Performing supply chain security assessment under NIS2, (4) Creating vendor onboarding documentation, (5) Establishing ongoing vendor monitoring, (6) Assessing concentration risk, or (7) Generating executive vendor risk reports.
Структура оценки поставщиков на основе рисков для ИТ-сервисов, поставщиков технологий и сторонних партнеров в соответствии с DORA, NIS2, GDPR.
Как процесс C 51/100 · Есть пробелы — слабые места: результат и критерий готовности, когда включается, входы и предусловия
Как улучшить
- Свои кейсы (evals/evals.json, 4–6 реальных запросов с ожидаемыми ответами): тогда полная проверка прогонит именно их, а не черновик от модели.
- spec.yaml с триггерными фразами и утверждениями — контракт поведения для CI; `skilltest init` создаст шаблон.
Находки guard · 2
✓ Критических и высоких находок нет
Средние и низкие: 2
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:69Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)Documents to request: security certifications (ISO 27001, SOC 2 Type II, PCI DSS where applicable); recent penetration testing results; security incident history (3 years); business continuity and dis
-
низкая Рискованное назначение
intent-offensive-securitySKILL.md:144Наступательная безопасность / двойное назначение (допустимо для авторизованного тестирования; проверьте назначение)**Security**: required certifications as ongoing obligation; annual penetration testing at vendor cost; incident notification within 24 hours vs. 72; enhanced monitoring and logging; MFA requirements;
Просканировано файлов: 3. Улики замаскированы. Пометки в серых чипах объясняют, почему серьёзность понижена.
По спецификации Agent Skills
✓ По спецификации Agent Skills замечаний нет
Процессный рейтинг: все десять параметров 51/100
- 0Результат и критерий готовности. Не сказано, что считать результатом
- 0Входы и предусловия. Не сказано, что нужно иметь на входе
- 0Ошибки и развилки. Линейный процесс без обработки сбоев
- 0Отчётность по ходу. Скилл ничего не сообщает по ходу работы
- 20Когда включается. Не сказано, при каком запросе скилл включается
- 30Повторный запуск. Изменяющих операций: 3, без проверки текущего состояния
- 100Инструменты и файлы. Внешние инструменты не нужны
- 100Шаги. Шагов: 54
- 100Согласованность. Имя и обязательные поля на месте
- 100Стоимость исполнения. Тело инструкции 3838 токенов
- medium Правила безопасности и запреты внутри скилла: их место в системном промпте, здесь они не защищают
Всё перечисленное измерено по тексту скилла, а не оценено моделью: цифры проверяемы. Вес параметра тем больше, чем чаще из-за него процесс встаёт.
Сигналы качества
- +5В description нет примеров фраз, по которым скилл должен срабатывать
- +4Описание не говорит, когда скилл НЕ применять (ложные срабатывания)
- +3Длина description 909: рекомендуется 120–800 символов
- +3Формат ответа не описан: модель каждый раз решает сама
- +2Инструкции на одном языке
- +4Структура: 21 заголовков
- +3Пошаговые инструкции: 54 пунктов
- +4Есть примеры (0 блоков кода)
- +1Лицензия указана
База качества 70; замечания lint вычитаются, сигналы прибавляют до 100. Итог: 82.