ISO 27002:2022, valvonta 5.19 – Tietoturva toimittajasuhteissa

Määräysvallan omistus 5.19

Vaikka Control 5.19 sisältää paljon ohjeita ICT-palvelujen käytöstä, valvonnan laajempi kattavuus kattaa monia muita organisaation suhteita toimittajakantaan, mukaan lukien toimittajatyypit, logistiikka, apuohjelmat, rahoituspalvelut ja infrastruktuurikomponentit).

Sellaisenaan Control 5.19:n omistusoikeuden tulisi olla ylimmän johdon jäsenellä, joka valvoo organisaation kaupallista toimintaa ja ylläpitää suoraa suhdetta organisaation tavarantoimittajiin, kuten Chief Operating Officer.

Yleinen Ohjeistus

Control 5.19:n noudattaminen edellyttää ns. a "aihekohtainen" lähestymistapa tietoturvaan toimittajasuhteissa.

Aihekohtaiset lähestymistavat rohkaisevat organisaatioita luomaan toimittajiin liittyviä käytäntöjä, jotka on räätälöity yksittäisiin liiketoimintatoimintoihin sen sijaan, että noudattaisivat kokonaisuutta. toimittajien hallintapolitiikka Tämä koskee kaikkia kolmansien osapuolien suhteita organisaation kaupallisessa toiminnassa.

On tärkeää huomata, että Control 5.19 pyytää organisaatiota ottamaan käyttöön politiikkoja ja menettelytapoja, jotka eivät ainoastaan ​​ohjaa organisaation toimittajaresurssien ja pilvialustojen käyttöä, vaan myös muodostavat perustan sille, kuinka he odottavat toimittajiensa käyttäytyvän ennen toimikauden alkua ja sen aikana. kaupallinen suhde.

Sellaisenaan Control 5.19:ää voidaan pitää olennaisena ehdot täyttävänä asiakirjana, joka määrää, kuinka tietoturvan hallintaa käsitellään toimittajasopimuksen aikana.

Ohjaus 5.19 sisältää 14 pääohjetta, joita on noudatettava:

1) Ylläpidä tarkkaa kirjaa toimittajatyypeistä (esim. rahoituspalvelut, ICT-laitteet, puhelin), jotka voivat vaikuttaa tietoturvan eheyteen.

Noudattaminen – Laadi luettelo kaikista toimittajista, joiden kanssa organisaatiosi työskentelee, luokittele ne liiketoimintatehtäviensä mukaan ja lisää luokkia mainittuihin toimittajatyyppeihin tarpeen mukaan.

2) Ymmärrä, kuinka toimittajat testataan heidän toimittajatyypinsä riskitason perusteella.

Noudattaminen – Eri toimittajatyypit vaativat erilaisia ​​due diligence -tarkastuksia. Harkitse toimittajakohtaisten tarkistusmenetelmien käyttöä (esim. toimialaviitteet, tilinpäätökset, paikan päällä tehdyt arvioinnit, alakohtaiset sertifioinnit, kuten Microsoft-kumppanuudet).

3) Tunnista toimittajat, joilla on valmiit tietoturvan hallintalaitteet.

Noudattaminen – Pyydä nähdäksesi kopiot toimittajien asiaankuuluvista tietoturvan hallintomenettelyistä, jotta voit arvioida omalle organisaatiollesi aiheutuvan riskin. Jos heillä ei ole niitä, se ei ole hyvä merkki.

4) Tunnista ja määrittele organisaatiosi ICT-infrastruktuurin erityisalueet, joita toimittajasi voivat joko käyttää, valvoa tai käyttää itse.

Noudattaminen – On tärkeää selvittää alusta alkaen tarkasti, kuinka toimittajasi aikovat olla vuorovaikutuksessa tieto- ja viestintätekniikan omaisuutesi kanssa – olivatpa ne fyysisiä tai virtuaalisia – ja minkä tasoisia käyttöoikeuksia heille myönnetään sopimusvelvoitteidensa mukaisesti.

5) Määrittele, miten toimittajien oma ICT-infrastruktuuri voi vaikuttaa omiin tietoihisi ja asiakkaidesi tietoihin.

Noudattaminen – Organisaation ensimmäinen velvollisuus on oma tietoturvastandardinsa noudattaminen. Toimittajan ICT-varat on arvioitava niiden mahdollisuuksien mukaan vaikuttaa käytettävyyteen ja eheyteen koko organisaatiossasi.

6) Tunnista ja hallitse erilaisia tietoturvariskejä liitteenä:

a. Toimittaja käyttää luottamuksellisia tietoja tai suojattua omaisuutta (esim. rajoitettu haitalliseen käyttöön ja/tai rikolliseen tarkoitukseen).

b. Viallinen toimittajalaitteisto tai viallinen ohjelmistoalusta, joka liittyy paikallisiin tai pilvipohjaisiin palveluihin.

Noudattaminen – Organisaatioiden on jatkuvasti oltava tietoisia katastrofeihin liittyvistä tietoturvariskeistä, kuten toimittajapuolen ilkeästä käyttäjien toiminnasta tai suurista odottamattomista ohjelmistotapauksista, ja niiden vaikutukset organisaation tietoturvaan.

Yleiset ohjeet jatkuu

7) Tarkkaile tietoturvan noudattamista aihekohtaisesti tai toimittajatyypin perusteella.

Noudattaminen – Organisaation tarve arvostaa kunkin toimittajatyypin tietoturvavaikutuksia ja mukauttaa valvontatoimintaansa eritasoisten riskien mukaan.

8) Rajoita noudattamatta jättämisestä aiheutuneiden vahinkojen ja/tai häiriöiden määrää.

Noudattaminen – Toimittajatoimintaa tulee seurata tarkoituksenmukaisella tavalla ja vaihtelevassa määrin sen riskitason mukaisesti. Jos noudattamatta jättäminen havaitaan joko ennakoivasti tai reaktiivisesti, on ryhdyttävä välittömiin toimiin.

9) Ylläpitää a vankka tapaustenhallintamenettely joka kattaa kohtuullisen määrän ennakoimattomia tapauksia.

Noudattaminen – Organisaatioiden tulee ymmärtää tarkasti, miten niiden tulee reagoida, kun ne kohtaavat monenlaisia ​​tapahtumia, jotka liittyvät kolmannen osapuolen tuotteiden ja palvelujen toimittamiseen, ja hahmotella korjaavia toimia, jotka koskevat sekä toimittajaa että organisaatiota.

10) Toteutetaan toimenpiteitä, jotka huolehtivat toimittajan tietojen saatavuudesta ja käsittelystä riippumatta siitä, missä niitä käytetään, ja näin varmistetaan organisaation oman tiedon eheys.

Noudattaminen – On pyrittävä varmistamaan, että toimittajajärjestelmiä ja tietoja käsitellään tavalla, joka ei vaaranna organisaation omien järjestelmien ja tietojen saatavuutta ja turvallisuutta.

11) Laadi perusteellinen koulutussuunnitelma, joka tarjoaa ohjeita siitä, miten henkilöstön tulee olla vuorovaikutuksessa toimittajahenkilöstön kanssa, ja tietoja toimittaja- tai tyyppikohtaisesti.

Noudattaminen – Koulutuksen tulisi kattaa koko organisaation ja sen toimittajien välinen hallinto, mukaan lukien sitoutuminen, rakeinen riskienhallinnan valvontaa ja aihekohtaiset menettelyt.

12) Ymmärrä ja hallitse riskitasoa, joka liittyy tiedon ja fyysisen ja virtuaalisen omaisuuden siirtämiseen organisaation ja toimittajien välillä.

Noudattaminen – Organisaatioiden tulee kartoittaa jokainen siirtoprosessin vaihe ja kouluttaa henkilöstöä omaisuuden siirtämiseen liittyvät riskit ja tietoa lähteestä toiseen.

13) Varmista, että toimittajasuhteet päätetään tietoturvallisuutta ajatellen, mukaan lukien käyttöoikeuksien ja organisaatiotietojen käyttöoikeuden poistaminen.

Noudattaminen – ICT-tiimeilläsi tulee olla selkeä käsitys siitä, kuinka toimittajan pääsy tietoihin voidaan peruuttaa, mukaan lukien:

• Yksityiskohtainen analyysi kaikista liittyvistä verkkotunnuksista ja/tai pilvipohjaisista tileistä.
• Immateriaaliomaisuuden jakelu.
• Tietojen siirtäminen toimittajien välillä tai takaisin organisaatiollesi.
• Tietueiden hallinta.
• Omaisuuden palauttaminen alkuperäiselle omistajalleen.
• Fyysisen ja virtuaalisen omaisuuden, mukaan lukien tiedot, asianmukainen hävittäminen.
• Kaikkien sopimusvaatimusten noudattaminen, mukaan lukien luottamuksellisuuslausekkeet ja/tai ulkoiset sopimukset.

14) Kuvaa tarkasti, kuinka odotat toimittajan käyttäytyvän fyysisten ja virtuaalisten turvatoimien suhteen.

Noudattaminen – Organisaatioiden tulee asettaa selkeät odotukset kaupallisten suhteiden alusta alkaen, ja ne määrittelevät, kuinka toimittajapuolen henkilöstön odotetaan käyttäytyvän ollessaan vuorovaikutuksessa henkilöstösi tai minkä tahansa asiaankuuluvan omaisuuden kanssa.

Täydentävä opas

ISO myöntää, että ei aina ole mahdollista määrätä toimittajalle kaikkia käytäntöjä, jotka täyttävät kaikki yllä olevan luettelon vaatimukset, kuten Control 5.19 pyrkii, etenkään kun on kyse jäykistä julkisen sektorin organisaatioista.

Valvonta 5.19 sanoo kuitenkin selvästi, että organisaatioiden tulee käyttää yllä olevia ohjeita solmiessaan suhteita tavarantoimittajien kanssa ja harkita noudattamatta jättämistä tapauskohtaisesti.

Jos täydellistä vaatimustenmukaisuutta ei voida saavuttaa, Control 5.19 antaa organisaatioille liikkumavaraa suosittelemalla "kompensoivia valvontatoimia", joilla saavutetaan riittävä riskinhallintataso organisaation ainutlaatuisten olosuhteiden perusteella.

Muutoksia standardista ISO 27002:2013

27002:2022-5.19 korvaa 27002:2013-5.1.1 (toimittajasuhteiden tietoturvakäytäntö).

27002:2022-5.19 noudattaa pääpiirteissään samoja vuoden 2013 ohjausobjektin taustalla olevia käsitteitä, mutta sisältää useita lisäohjeita, jotka joko jätetään pois kohdista 27002:2013-5.1.1 tai joita ei ainakaan käsitellä niin yksityiskohtaisesti, mukaan lukien:

• Toimittajien seulonta toimittajatyypin ja riskitason perusteella.
• Tarve varmistaa toimittajatietojen eheys oman tietonsa turvaamiseksi ja liiketoiminnan jatkuvuuden varmistamiseksi.
• Eri vaiheet, joita vaaditaan toimittajasuhteen päättämisessä, mukaan lukien käyttöoikeuksien purkaminen, IP-jakelu, sopimussopimukset jne.

27002:2022-5.19 tunnustaa myös toimittajasuhteiden erittäin vaihtelevan luonteen (tyypistä, toimialasta ja riskitasosta) ja antaa organisaatioille jonkin verran liikkumavaraa, kun se harkitsee mahdollisuutta, että jokin tietty ohjekohta ei noudateta, perustuen suhteen luonteeseen (katso "Lisäohjeet" yllä).

Miten ISMS.online auttaa

Käyttäminen ISMS.online voit:

• Ota nopeasti käyttöön an Tietoturvan hallintajärjestelmä (ISMS).
• Hallitse helposti ISMS-tietojesi dokumentaatiota.
• Tehosta kaikkien asiaankuuluvien standardien noudattamista.
• Hallitse kaikkia tietoturvaan liittyviä näkökohtia riskienhallinnasta turvallisuustietoisuuskoulutukseen.
• Kommunikoi tehokkaasti koko organisaatiossasi sisäänrakennetun viestintätoiminnon avulla.

Ilmaisen kokeilutilin luominen ja tarjoamiemme vaiheiden noudattaminen on helppoa.

Ota yhteyttä jo tänään varaa esittely.