ISO 27001:2022 Liite A Valvonta 5.19

Yleiset ohjeet standardista ISO 27001:2022 liite A 5.19

Liitteen A valvonnan 5.19 noudattaminen edellyttää ns. a "aihekohtainen" lähestymistapa tietoturvaan toimittajasuhteissa.

Organisaatio saattaa haluta toimittajien pääsyn tiettyihin arvokkaisiin tietoresursseihin (esim. ohjelmistokoodin kehittämiseen, kirjanpidon palkkatietoihin) ja osallistuvan niihin. Heillä olisi siksi oltava selkeät sopimukset siitä, mitä käyttöoikeuksia he sallivat, jotta he voivat valvoa sen ympärillä olevaa turvallisuutta.

Tämä on erityisen tärkeää, kun yhä enemmän tiedonhallinta-, käsittely- ja teknologiapalveluita ulkoistetaan. Tämä tarkoittaa, että meillä on paikka näyttää suhteen hallintaa tapahtuu; sopimukset, kontaktit, tapaukset, suhdetoiminta ja riskienhallinta jne. Jos toimittaja on myös läheisesti mukana organisaatiossa, mutta hänellä ei ehkä ole omaa sertifioitua ISMS:ään, on myös syytä osoittaa, että toimittajan henkilökunta on koulutettu ja tietoinen turvallisuudesta, koulutettu käytäntöihisi jne.

Aihekohtaiset lähestymistavat rohkaisevat organisaatioita luomaan toimittajiin liittyviä käytäntöjä, jotka on räätälöity yksittäisiin liiketoimintatoimintoihin sen sijaan, että noudatettaisiin yleistä toimittajien hallintapolitiikkaa, joka koskee kaikkia organisaation kaupallisen toiminnan ulkopuolisia suhteita.

On tärkeää huomata, että ISO 27001 liitteen A ohjaus 5.19 pyytää organisaatiota ottamaan käyttöön politiikkoja ja menettelyjä, jotka eivät ainoastaan ​​ohjaa organisaation toimittajaresurssien ja pilvialustojen käyttöä, vaan muodostavat myös perustan sille, kuinka he odottavat toimittajiensa käyttäytyvän ennen koko kauppasuhteen ajan.

Sellaisenaan liitteen A valvontaa 5.19 voidaan pitää olennaisena ehdot täyttävänä asiakirjana, joka määrää, kuinka tietoturvan hallintaa käsitellään toimittajasopimuksen aikana.

ISO 27001 liitteen A ohjaus 5.19 sisältää 14 pääohjetta, joita on noudatettava:

1) Pidä tarkkaa kirjaa toimittajatyypeistä (esim. rahoituspalvelut, ICT-laitteet, puhelin), jotka voivat vaikuttaa tietoturvan eheyteen.

Noudattaminen – Laadi luettelo kaikista toimittajista, joiden kanssa organisaatiosi työskentelee, luokittele ne liiketoimintatehtäviensä mukaan ja lisää luokkia mainittuihin toimittajatyyppeihin tarpeen mukaan.

2) Ymmärrä, kuinka toimittajat testataan heidän toimittajatyypinsä riskitason perusteella.

Noudattaminen – Eri toimittajatyypit vaativat erilaisia ​​due diligence -tarkastuksia. Harkitse toimittajakohtaisten tarkistusmenetelmien käyttöä (esim. toimialaviitteet, tilinpäätökset, paikan päällä tehdyt arvioinnit, alakohtaiset sertifioinnit, kuten Microsoft-kumppanuudet).

3) Tunnista toimittajat, joilla on jo olemassa olevia tietoturvavalvontatoimenpiteitä.

Noudattaminen – Pyydä nähdäksesi kopiot toimittajien asiaankuuluvista tietoturvan hallintomenettelyistä, jotta voit arvioida omalle organisaatiollesi aiheutuvan riskin. Jos heillä ei ole niitä, se ei ole hyvä merkki.

4) Tunnista ja määrittele organisaatiosi ICT-infrastruktuurin erityisalueet, joita toimittajasi voivat joko käyttää, valvoa tai käyttää itse.

Noudattaminen – On tärkeää selvittää alusta alkaen tarkasti, kuinka toimittajasi aikovat olla vuorovaikutuksessa tieto- ja viestintätekniikan omaisuutesi kanssa – olivatpa ne fyysisiä tai virtuaalisia – ja minkä tasoisia käyttöoikeuksia heille myönnetään sopimusvelvoitteidensa mukaisesti.

5) Määritä, miten toimittajien oma ICT-infrastruktuuri voi vaikuttaa omiin tietoihisi ja asiakkaidesi tietoihin.

Noudattaminen – Organisaation ensimmäinen velvollisuus on oma tietoturvastandardinsa. Toimittajan ICT-resurssit on arvioitava sen mukaan, miten ne voivat vaikuttaa käytettävyyteen ja eheyteen koko organisaatiossasi.

6) Tunnista ja hallitse erilaisia ​​tietoturvariskejä, jotka liittyvät:

a. Toimittaja käyttää luottamuksellisia tietoja tai suojattua omaisuutta (esim. rajoitettu haitalliseen käyttöön ja/tai rikolliseen tarkoitukseen).

b. Viallinen toimittajalaitteisto tai viallinen ohjelmistoalusta, joka liittyy paikallisiin tai pilvipohjaisiin palveluihin.

Noudattaminen – Organisaatioiden on jatkuvasti oltava tietoisia katastrofeihin liittyvistä tietoturvariskeistä, kuten toimittajapuolen ilkeästä käyttäjien toiminnasta tai suurista odottamattomista ohjelmistotapauksista, ja niiden vaikutukset organisaation tietoturvaan.

7) Valvo tietoturvan noudattamista aihekohtaisesti tai toimittajatyyppisesti.

Noudattaminen – Organisaation tarve arvostaa tietoturva kullekin toimittajatyypille sisältyviä seurauksia ja mukauttaa seurantatoimintaansa erilaisten riskien huomioon ottamiseksi.

8) Rajoita noudattamatta jättämisestä aiheutuneiden vahinkojen ja/tai häiriöiden määrää.

Noudattaminen – Toimittajatoimintaa tulee seurata tarkoituksenmukaisella tavalla ja vaihtelevassa määrin sen riskitason mukaisesti. Jos vaatimustenvastaisuutta havaitaan joko ennakoivasti tai uudelleen, on ryhdyttävä välittömiin toimiin.

9) Säilytä tukeva vaaratilanteiden hallinta menettely, joka kattaa kohtuullisen määrän ennakoimattomia tapauksia.

Noudattaminen – Organisaatioiden tulee ymmärtää tarkasti, miten niiden tulee reagoida, kun ne kohtaavat monenlaisia ​​tapahtumia, jotka liittyvät kolmannen osapuolen tuotteiden ja palvelujen toimittamiseen, ja hahmotella korjaavia toimia, jotka koskevat sekä toimittajaa että organisaatiota.

10) Toteuttaa toimenpiteitä, jotka huolehtivat toimittajan tiedon saatavuudesta ja käsittelystä riippumatta siitä, missä niitä käytetään, millä varmistetaan organisaation oman tiedon eheys.

Noudattaminen – On pyrittävä varmistamaan, että toimittajajärjestelmiä ja tietoja käsitellään tavalla, joka ei vaaranna organisaation omien järjestelmien ja tietojen saatavuutta ja turvallisuutta.

11) Laadi perusteellinen koulutussuunnitelma, joka tarjoaa ohjeita siitä, miten henkilöstön tulee olla vuorovaikutuksessa tavarantoimittajien henkilöstön kanssa, ja tietoa toimittajakohtaisesti tai tyyppikohtaisesti.

Noudattaminen – Koulutuksen tulisi kattaa koko organisaation ja sen toimittajien välinen hallinto, mukaan lukien toimeksiannot, yksityiskohtaiset riskienhallinnan tarkastukset ja aihekohtaiset menettelyt.

12) Ymmärtää ja hallita riskitasoa, joka liittyy tiedon ja fyysisen ja virtuaalisen omaisuuden siirtämiseen organisaation ja niiden toimittajien välillä.

Noudattaminen – Organisaatioiden tulee kartoittaa jokainen siirtoprosessin vaihe ja kouluttaa henkilöstöä riskeistä, jotka liittyvät omaisuuden ja tiedon siirtämiseen lähteestä toiseen.

13) Varmista, että toimittajasuhteet päätetään tietoturvallisuutta ajatellen, mukaan lukien pääsyoikeuksien ja organisaatiotietojen käyttömahdollisuuksien poistaminen.

Noudattaminen – ICT-tiimeilläsi tulee olla selkeä käsitys siitä, kuinka toimittajan pääsy tietoihin voidaan peruuttaa, mukaan lukien:

• Yksityiskohtainen analyysi kaikista liittyvistä verkkotunnuksista ja/tai pilvipohjaisista tileistä.
• Jakelu tekijänoikeuksien.
• Tietojen siirtäminen toimittajien välillä tai takaisin organisaatiollesi.
• Tietueiden hallinta.
• Omaisuuden palauttaminen alkuperäiselle omistajalleen.
• Fyysisen ja virtuaalisen omaisuuden, mukaan lukien tiedot, asianmukainen hävittäminen.
• Kaikkien sopimusvaatimusten noudattaminen, mukaan lukien luottamuksellisuuslausekkeet ja/tai ulkoiset sopimukset.

14) Kuvaa tarkasti, miten odotat toimittajan käyttäytyvän fyysisten ja virtuaalisten turvatoimien suhteen.

Noudattaminen – Organisaatioiden tulee asettaa selkeät odotukset kaupallisten suhteiden alusta alkaen, ja ne määrittelevät, kuinka toimittajapuolen henkilöstön odotetaan käyttäytyvän ollessaan vuorovaikutuksessa henkilöstösi tai minkä tahansa asiaankuuluvan omaisuuden kanssa.

Liitettä A koskevat lisäohjeet 5.19

ISO myöntää, että ei aina ole mahdollista määrätä toimittajalle kaikkia käytäntöjä, jotka täyttävät kaikki yllä olevan luettelon vaatimukset, kuten ISO 27001 Liite A Control 5.19 tarkoittaa, varsinkin kun on kyse jäykistä julkisen sektorin organisaatioista.

Tästä huolimatta liitteen A valvonta 5.19 sanoo selvästi, että organisaatioiden tulee käyttää yllä olevia ohjeita luodessaan suhteita tavarantoimittajien kanssa ja harkita noudattamatta jättämistä tapauskohtaisesti.

Jos täydellistä vaatimustenmukaisuutta ei voida saavuttaa, liitteen A valvonta 5.19 antaa organisaatioille liikkumavaraa suosittelemalla "kompensoivia valvontatoimia", joilla saavutetaan riittävä riskinhallintataso organisaation ainutlaatuisten olosuhteiden perusteella.

Mitkä ovat muutokset ISO 27001:2013:sta?

ISO 27001:2022 Liite A 5.19 korvaa standardin ISO 27001:2013 Liite A 15.1.1 (Tietoturvapolitiikka toimittajasuhteita varten).

ISO 27001:2022 liite A 5.19 noudattaa pääpiirteissään samoja peruskäsitteitä, jotka sisältyvät vuoden 2013 valvontaan, mutta sisältää useita lisäohjeita, jotka joko on jätetty pois ISO 27001:2013 liitteen A kohdasta 5.1.1 tai joita ei ainakaan käsitellä niin paljon yksityiskohtia, mukaan lukien:

• Toimittajien seulonta toimittajatyypin ja riskitason perusteella.
• Tarve varmistaa toimittajatietojen eheys oman tietonsa turvaamiseksi ja liiketoiminnan jatkuvuuden varmistamiseksi.
• Eri vaiheet, joita vaaditaan toimittajasuhteen päättämisessä, mukaan lukien käyttöoikeuksien purkaminen, IP-jakelu, sopimussopimukset jne.

ISO 27001:2022 liite A 5.19 tunnustaa myös toimittajasuhteiden erittäin vaihtelevan luonteen (tyypistä, toimialasta ja riskitasosta) ja antaa organisaatioille jonkin verran liikkumavaraa harkitessaan mahdollisuutta, että jokin tietty ohje ei noudateta. kohta, joka perustuu suhteen luonteeseen (katso "Lisäohjeet" yllä).

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 -standardista Liite A Ohjaus.

Miten ISMS.online auttaa toimittajasuhteissa?

ISMS.online on tehnyt tämän valvontatavoitteen erittäin helpoksi tarjoamalla todisteita siitä, että suhteesi on valittu huolellisesti, hoidettu hyvin elämässä, mukaan lukien seurannan ja arvioinnin. Helppokäyttöinen Accounts (esim. toimittaja) -alueemme tekee juuri tämän. Yhteistyöprojektien työtilat sopivat mainiosti tärkeiden toimittajien mukaantuloon, yhteisiin aloitteisiin, offboardingiin jne., jotka kaikki tarkastaja voi myös tarvittaessa tarkastella helposti.

ISMS.online on myös helpottanut tätä valvontatavoitetta organisaatiollesi antamalla todisteet siitä, että toimittaja on virallisesti sitoutunut noudattamaan vaatimuksia ja ymmärtänyt tietoturvavastuunsa käytäntöpakettimme kautta. Käytäntöpaketit ovat ihanteellisia kohteisiin, joissa organisaatiolla on erityisiä käytäntöjä ja valvontaa, joita se haluaa toimittajahenkilöstön noudattavan ja luottavansa lukeneensa ne ja sitoutuneensa noudattamaan – laajempien asiakkaiden ja toimittajan välisten sopimusten lisäksi.

Muutoksen luonteesta riippuen (eli oleellisten muutosten osalta) voi olla laajempi yhdenmukaistamisvaatimus A.6.1.5 Tietoturva projektinhallinnassa.

Käyttämällä ISMS.onlinea voit:

• Ota nopeasti käyttöön tietoturvan hallintajärjestelmä (ISMS).
• Hallitse helposti ISMS-tietojesi dokumentaatiota.
• Tehosta kaikkien asiaankuuluvien standardien noudattamista.
• Hallitse kaikkia tietoturvaan liittyviä näkökohtia riskienhallinnasta turvallisuustietoisuuskoulutukseen.
• Kommunikoi tehokkaasti koko organisaatiossasi sisäänrakennetun viestintätoiminnon avulla.

Ota yhteyttä jo tänään varaa esittely.