ISO 27001:2022 Liite A 5.22 – Toimittajapalveluiden seuranta ja tarkistus ja muutoksenhallinta

Mikä on ISO 27001:2022 liitteen A 5.22 tarkoitus?

Liitteen A valvonnan 5.22 tavoitteena on varmistaa, että sovittu tietoturvan taso ja palvelun toimitus säilyy. Tämä on toimittajapalvelujen kehittämistä koskevien toimittajasopimusten mukaista.

Toimittajien palveluita valvotaan ja tarkistetaan

Liitteessä A 5.22 organisaatiot kuvataan säännöllisesti valvovan, tarkastavan ja auditoivan toimittajapalvelun toimitusprosessejaan. Katselmukset ja seuranta on parasta tehdä riskitietojen mukaan, koska yksi koko ei sovi kaikkiin tilanteisiin.

Suorittamalla tarkastuksensa ehdotetun toimittajien segmentoinnin mukaisesti organisaatio voi optimoida resurssejaan ja varmistaa, että ponnistelut keskittyvät seurantaan ja arvioimiseen, missä merkittävin vaikutus voidaan saavuttaa.

Kuten liitteen A 5.19 kohdalla, käytännönläheisyys on joskus välttämätöntä – pienet organisaatiot eivät välttämättä saa auditointia, henkilöstöarviointia tai erityisiä palveluparannuksia AWS:n avulla. Varmistaaksesi, että ne pysyvät tarkoitukseesi sopivina, voit tarkistaa (esimerkiksi) heidän vuosittain julkaistavat SOC II -raportit ja turvallisuussertifikaatit.

Valvonta tulee dokumentoida voimasi, riskiesi ja arvosi perusteella, jotta tarkastajasi voi varmistaa, että se on suoritettu. Tämä johtuu siitä, että tarvittavat muutokset on hallittu muodollisen muutoksenvalvontamenettelyn kautta.

Toimittajapalvelun muutosten hallinta

Toimittajien on ylläpidettävä ja parannettava olemassa olevia tietoturvakäytäntöjä, -menettelyjä ja -valvontaa voidakseen hallita kaikkia toimittajien palvelutarjontaan liittyviä muutoksia. Prosessi ottaa huomioon liiketoimintatiedon kriittisyyden, muutoksen luonteen, toimittajatyypit, joihin se vaikuttaa, niihin liittyvät prosessit ja järjestelmät sekä riskien uudelleenarvioinnin.

Toimittajien palveluihin tehtäessä muutoksia on tärkeää ottaa huomioon myös suhteen läheisyys. Tämä on myös organisaation kyky vaikuttaa toimittajan sisällä tapahtuvaan muutokseen tai hallita sitä.

Ohjaus 5.22 määrittelee, miten organisaatioiden tulee valvoa, tarkistaa ja hallita toimittajan turvallisuuskäytäntöjen ja -palvelun muutoksia toimitusstandardit. Siinä myös arvioidaan, miten ne vaikuttavat organisaation omiin turvallisuuskäytäntöihin.

Hoidessaan suhteita tavarantoimittajiensa kanssa organisaation tulee pyrkiä ylläpitämään tietoturvan perustasoa, joka noudattaa heidän allekirjoittamiaan sopimuksia.

Standardin ISO 27001:2022 mukaisesti liite A 5.22 on ennaltaehkäisevä valvonta, joka on suunniteltu minimoimaan riskit auttamalla toimittajaa ylläpitämään "sovittua tietoturvan ja palvelutoimituksen tasoa.

Liitteen A määräysvallan omistus 5.22

Ylimmän johdon jäsenen, joka valvoo organisaation kaupallista toimintaa ja ylläpitää suoraa suhdetta organisaation tavarantoimittajiin, tulee olla vastuussa Valvonta 5.22.

ISO 27001:2022 Liite A 5.22 Yleiset ohjeet

Mukaan ISO 27001:2022 liite A Ohjaus 5.22, 13 avainaluetta tulee ottaa huomioon toimittajasuhteiden hallinnassa ja miten nämä tekijät vaikuttavat heidän omiin tietoturvatoimiinsa.

Organisaation tulee varmistaa, että palvelutason sopimusten ja toimittajasuhteiden hallinnasta vastaavilla työntekijöillä on tarvittavat taidot ja tekniset resurssit. Tällä varmistetaan, että he pystyvät arvioimaan toimittajan suorituskykyä riittävästi ja että tietoturvastandardeja ei rikota.

Organisaation politiikat ja menettelytavat tulee laatia:

1. Seuraa jatkuvasti palvelutasoja julkaistujen palvelutasosopimusten mukaisesti ja korjaa mahdolliset puutteet heti niiden ilmaantuessa.
2. Toimittajaa on seurattava mahdollisten muutosten varalta hänen omassa toiminnassaan, mukaan lukien (mutta ei rajoittuen): (1) Palvelun parannukset (2) Uudet sovellukset, järjestelmät tai ohjelmistoprosessit (3) Asianmukaiset ja merkitykselliset muutokset yrityksen sisäisiin hallintoasiakirjoihin. toimittaja ja (4) mahdolliset muutokset tapahtumanhallintamenetelmiin tai yritykset parantaa tietoturvan tasoa.
3. Palveluun liittyvät muutokset, mukaan lukien (mutta ei rajoittuen): a) infrastruktuurimuutokset b) kehittyvien teknologioiden sovellukset c) tuotepäivitykset ja versiopäivitykset d) muutokset kehitysympäristössä e) logistiset ja fyysiset muutokset toimittajatiloihin, mukaan lukien uudet toimipaikat f) Muutokset ulkoistuskumppaneissa tai alihankkijoissa g) Aikomukset tehdä alihankintaa, jos tällaista käytäntöä ei ole aiemmin harjoitettu.
4. Huolehdi siitä, että palveluraportit toimitetaan säännöllisesti, että tiedot analysoidaan ja että arviointikokoukset pidetään sovittujen palvelutasojen mukaisesti.
5. Varmista, että ulkoistavat yhteistyökumppanit ja alihankkijat auditoidaan ja huomioi kaikki huolenaiheet.
6. Suorittaa turvallisuuspoikkeamien tarkastelu toimittajan sopiman standardin ja käytäntöjen perusteella sekä tapaustenhallintastandardien mukaisesti.
7. Kirjaa tulee säilyttää kaikista tietoturvatapauksista, konkreettisista toimintaongelmista, vikalokeista ja yleisistä esteistä sovittujen palvelustandardien noudattamiselle.
8. Ryhdy ennakoiviin toimiin vastauksena tietoturvaan liittyvät tapahtumat.
9. Tunnista tietoturvan haavoittuvuudet ja vähennä niitä mahdollisimman laajasti.
10. Suorita analyysi kaikista asiaankuuluvista tietoturvatekijöistä, jotka liittyvät toimittajan suhteeseen sen tavarantoimittajien ja alihankkijoiden kanssa.
11. Jos toimittajalla on merkittävä häiriö, mukaan lukien katastrofipalautus, varmista, että palvelu toimitetaan hyväksyttävälle tasolle.
12. Anna luettelo toimittajan toiminnan avainhenkilöistä, jotka ovat vastuussa sopimusehtojen noudattamisesta ja noudattamisesta.
13. Varmista, että toimittaja ylläpitää tietoturvan perusstandardia säännöllisesti.

Liitteen A valvonnan tukeminen

• ISO 27001:2022 Liite A 5.29
• ISO 27001:2022 Liite A 5.30
• ISO 27001:2022 Liite A 5.35
• ISO 27001:2022 Liite A 5.36
• ISO 27001:2022 Liite A 8.14

Taulukko kaikista ISO 27001:2022 liitteen A ohjaimista

Alla olevasta taulukosta löydät lisätietoja jokaisesta yksittäisestä ISO 27001:2022 liitteen A valvonnasta.

Mitä hyötyä on ISMS.onlinen käyttämisestä toimittajasuhteiden hallintaan?

ISMS.online on tehnyt tämän liitteen A ohjaustavoitteen erittäin helpoksi. Tämä johtuu siitä, että ISMS.online tarjoaa todisteita siitä, että suhteesi on valittu huolellisesti, hyvin hoidettu ja valvottu ja tarkistettu. Tämä tehdään helppokäyttöisellä Accounts-suhteemme (esim. toimittaja) alueella. Yhteistyöprojektien työtilojen avulla tarkastaja näkee helposti tärkeän toimittajan koneeseen nousussa, yhteisissä aloitteissa, poistumisesta jne.

Sen lisäksi, että autat organisaatiotasi tämän liitteen A valvontatavoitteen saavuttamisessa, ISMS.online tarjoaa myös mahdollisuuden toimittamaan todisteet siitä, että toimittaja on muodollisesti hyväksynyt vaatimukset ja ymmärtänyt vastuunsa tietoturvasta käytäntöpakettiemme kautta. Heidän erityisten käytäntöjensä ja hallintatoimintojensa ansiosta Käytäntöpaketit vakuuttavat toimittajat että heidän henkilöstönsä on lukenut ja sitoutunut noudattamaan organisaation politiikkaa ja valvontaa.

Saattaa olla laajempi vaatimus yhdenmukaistamiseksi liitteen A.5.8 kanssa Tietoturva projektinhallinnassa, riippuen muutoksen luonteesta (esim. enemmän olennaisia ​​muutoksia varten).

ISO 27001:n käyttöönotto on helpompaa vaiheittaisella tarkistuslistallamme, joka opastaa sinua ISMS-laajuuden määrittämisestä riskien tunnistamiseen ja valvontatoimien toteuttamiseen.

ISMS.online tarjoaa seuraavat edut:

• Alustan avulla voit luoda ISO 27001 -standardin mukainen ISMS vaatimukset.
• Käyttäjät voivat suorittaa tehtäviä ja toimittaa todisteita standardin noudattamisesta.
• Vastuun delegointi ja vaatimustenmukaisuuden seuranta on helppoa.
• Kokonaisvaltaisen tuloksena riskinarviointi työkalusarja, prosessi on nopea ja aikaa säästävä.
• Omistautunut konsulttitiimi voi auttaa sinua koko vaatimustenmukaisuusprosessin ajan.

Ota meihin yhteyttä jo tänään aikataulun esittely.