If a third party of contractor wishes to work in an area that contains “Sports Leaders UK” company’s information or needs computer access to a system, what should you do to ensure confidentiality and to secure the area?

Đáp án đúng: "Consider the risk of the third party or contractor having access and the necessity of the work then decide if access should be granted, denied or if their access should be monitored". Với bên thứ ba (third party), mọi quyết định cho nhà thầu vào khu vực chứa thông tin hoặc dùng hệ thống phải bắt đầu bằng risk assessment (đánh giá rủi ro): cân nhắc rủi ro khi họ tiếp cận và mức cần thiết của công việc, rồi quyết định cấp, từ chối hay cấp kèm giám sát, đúng tinh thần least privilege (đặc quyền tối thiểu). Đây là bước quyết định bao trùm; những biện pháp được nêu cùng cũng đều đúng và nên làm, nhưng là biện pháp cụ thể thực hiện sau quyết định đó. Có "formal agreement with us for the work" là cần thiết, song thoả thuận chỉ là điều kiện pháp lý, chưa trả lời việc có nên cho truy cập hay không. Bảo đảm "keys are not left in filing cabinets" và giấy tờ được cất đi là biện pháp clean desk (bàn làm việc sạch) áp dụng khi đã quyết định cho họ vào khu vực. Bảo đảm "computer equipment is locked, turned off or removed from the area" là kiểm soát kỹ thuật và vật lý cho máy tính, cũng chỉ triển khai sau khi đã đánh giá rủi ro. Bảo đảm "private rooms containing critical equipment" không thể bị vào là kiểm soát an ninh vật lý cho phần nhạy cảm nhất. "Make other staff aware of their presence" giúp nhân viên cảnh giác, tức là một cách thực hiện việc cấp quyền có giám sát chứ không thay cho quyết định ban đầu.