Valvonnan tarkoitus 5.21
Valvonta 5.21 ohjaa organisaatioiden toimintaa hallita tietoturvaa riskit koko tieto- ja viestintätekniikan toimitusketjussaan ottamalla käyttöön vankat prosessit ja menettelyt ennen tuotteiden tai palvelujen toimittamista.
5.21 on ennaltaehkäisevä valvonta että ylläpitää riskiä luomalla ”sovitun turvallisuustason” molempien osapuolten välille koko ICT:n alueella toimitusketju.
Attribuuttien ohjaustaulukko 5.21
| Ohjaus | Tietoturvaominaisuudet | Kyberturvallisuuden käsitteet | Toiminnalliset valmiudet | Turvallisuus Domains |
|---|---|---|---|---|
| #Ennaltaehkäisevä | #Luottamuksellisuus | #Tunnistaa | #Toimittajasuhteiden turvallisuus | #Hallinto ja ekosysteemi |
| #Integrity | #Suojaus | |||
| #Saatavuus |
Määräysvallan omistus 5.21
Valvonta 5.21 keskittyy nimenomaan ICT-palvelujen tarjoamiseen toimittajan tai toimittajaryhmän kautta.
Sellaisenaan omistuksen tulisi olla henkilöllä, joka on vastuussa ICT:n hankinnasta, hallinnasta ja uusimisesta toimittajasuhteet kaikissa liiketoimintatoiminnoissa, kuten a tekninen johtaja or IT-johtaja.
ISO 27001 helposti
81 %:n etumatka ensimmäisestä päivästä lähtien
Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.
Yleiset valvontaohjeet 5.21
ISO määrittelee 13 tieto- ja viestintätekniikkaan liittyvää ohjeistusta, jotka tulee ottaa huomioon rinnalla kaikki muut kontrollit, jotka määräävät organisaation suhteen sen tavarantoimittajiin.
Ottaen huomioon useiden alustojen välisten paikallisten ja pilvipalvelujen laajentumisen viimeisen vuosikymmenen aikana, Control 5.21 käsittelee molempien tarjonnan. laitteisto ja ohjelmistoliittyvät komponentit ja palvelut (sekä paikan päällä että pilvipohjaiset), ja harvoin tekee eron näiden kahden välillä.
Toimittajan ja organisaation välisen suhteen lisäksi useat kontrollit koskevat myös toimittajan velvollisuuksia alihankintana toimitusketjun osia ulkopuolisille organisaatioille.
- Organisaatioiden tulee laatia selkeä joukko tietoturva standardeja, jotka koskevat heidän yksilöllisiä tarpeitaan, asettaakseen selkeät odotukset siitä, kuinka toimittajien tulee käyttäytyä toimittaessaan ICT-tuotteita ja -palveluita.
- Jos ICT-toimittaja tekee alihankintana jonkin toimitusketjun osan, toimittajan tulee ryhtyä toimenpiteisiin varmistaakseen, että urakoitsijat ja heidän henkilöstönsä tuntevat täysin organisaation ainutlaatuiset tietoturvastandardit.
- Jos ilmenee tarve hankkia kolmannelta osapuolelta ostettuja komponentteja (fyysisiä tai virtuaalisia), toimittajan tulee levittää organisaation turvallisuusvaatimukset kaikille käyttämilleen myyjille tai toimittajille.
- Toimittajia tulee pyytää antamaan tietoja niiden ohjelmistokomponenttien luonteesta ja toiminnasta, joita he käyttävät palvelun toimittamiseen organisaatiolle.
- Organisaatioiden tulee tunnistaa minkä tahansa toimitetun tuotteen tai palvelun taustalla olevat tietoturvatoiminnot ja kuinka kyseistä tuotetta tai palvelua käytetään siten, että ei vaaranna tietoturvaa.
- Organisaatioiden ei tule pitää riskitasoja itsestäänselvyytenä ja laatia menettelyjä, joilla varmistetaan, että toimittajan tarjoamat tuotteet tai palvelut ovat luonteeltaan turvallisia ja hyväksyttyjen alan standardien mukaisia. Menetelmät voivat sisältää sertifiointitarkastuksia, sisäistä testausta ja vaatimustenmukaisuutta tukevaa dokumentaatiota.
- Tuotteen tai palvelun vastaanottamisen yhteydessä organisaatioiden tulee noudattaa prosessia, jossa ensin tunnistetaan ja kirjataan kaikki elementit, joiden katsotaan olevan olennaisia ydintoimintojen ylläpitämisen kannalta – varsinkin jos komponentit ovat peräisin alihankkija-/ulkoistetusta sopimuksesta.
- Toimittajien tulisi pystyä antamaan konkreettisia takeita siitä, että "kriittiset osat" hyötyvät perusteellisesta tarkastuksesta tarkastusloki joka jäljittää niiden liikkumista koko ICT-toimitusketjussa luomisesta toimitukseen.
- Kun ICT-tuotteita ja -palveluita toimitetaan, organisaatioiden tulee saada kategorinen varmuus siitä, että mainitut tuotteet ja palvelut eivät vain toimi laajuudeltaan, eivätkä ne sisällä lisäominaisuuksia, jotka voisivat olla vakuudeksi. turvallisuusriski.
- Komponenttien määritykset ovat avainasemassa sen varmistamiseksi, että organisaatio ymmärtää verkkoonsa tuomat laitteisto- ja ohjelmistokomponentit. Toimittajien tulee harkita väärentämisen estäviä toimenpiteitä koko kehitystyön elinkaaren ajan, ja organisaatioiden tulee vaatia ehtoja, jotka varmistavat komponenttien olevan laillisia toimituksen yhteydessä.
- On pyrittävä varmistamaan, että ICT-tuotteet ovat alan standardien ja/tai alakohtaisten vaatimusten mukaisia. turvallisuusvaatimukset, kunkin tuotteen osalta. Yleisiä menetelmiä tämän saavuttamiseksi ovat muodollisen turvallisuussertifikaatin vähimmäistason saavuttaminen tai kansainvälisesti tunnustettujen tietostandardien (kuten Common Criteria Recognition Arrangement) noudattaminen tuotekohtaisesti.
- Organisaatioiden tulee ryhtyä toimiin sen varmistamiseksi toimittajat ovat tietoisia velvollisuuksistaan jakaessaan tietoja ja/tai tietoja, jotka koskevat keskinäistä toimitusketjun toimintaa, mukaan lukien mahdollisten ristiriitojen tai ongelmien tunnustaminen, joita voi syntyä molempien osapuolten välillä, ja miten niitä käsitellään niiden lähteellä.
- Organisaatioiden on laadittava menettelyt, jotka hallitsevat riskejä käytettäessä käytettävissä olevia, tuemattomia tai vanhoja komponentteja riippumatta siitä, missä ne sijaitsevat. Jos komponentit ovat kuuluneet johonkin näistä luokista, organisaatioiden pitäisi pystyä mukautumaan vastaavasti ja tunnistamaan vaihtoehtoja.
Vapauta itsesi laskentataulukoiden vuorten vallasta
Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.
Täydentävä opas
On tärkeää huomata, että ICT-toimitusketjun hallintaa ei tule tarkastella erillään tämän valvonnan mukaisesti. Control 5.21 on suunniteltu täydentämään olemassa olevia toimitusketjun hallintamenetelmiä ja tarjoamaan kontekstia ICT-spesifisille tuotteille ja palveluille.
ISO myöntää, että varsinkin ohjelmistokomponenttien osalta ICT-tuotteiden ja -palveluiden laadunvalvonta ei ulotu toimittajan omien vaatimustenmukaisuusmenettelyjen tarkkuuteen.
Sellaisenaan organisaatioita kannustetaan tunnistamaan toimittajakohtaisia tarkastuksia, joilla varmistetaan toimittajan ”hyvämaineinen lähde” sekä sopimusluonnokset, joissa toimittajan tietoturvavelvoitteet todetaan kategorisesti sopimusta, tilausta tai palvelua suoritettaessa.
Ohjaus 5.21 Muutoksia standardista ISO 27002:2013
ISO 27002:2022-5.21 korvaa standardin ISO 27002:2013-15.1.3 (Tieto- ja viestintätekniikan toimitusketju).
ISO 27002:2022-5.21 noudattaa samoja yleisiä ohjesääntöjä kuin ISO 27002:2013-15.1.3, mutta se korostaa paljon enemmän toimittajan velvollisuutta toimittaa ja tarkistaa komponentteihin liittyvät tiedot toimituspaikassa, mukaan lukien:
- ICT-toimittajat, jotka tarjoavat komponenttitietoja.
- ICT-toimittajat hahmottelevat tuotteen turvallisuustoiminnot ja kuinka sitä parhaiten käytetään turvallisuusnäkökulmasta.
- Takuut vaadituista turvatasoista.
ISO 27002:2022-5.21 pyytää organisaatiota myös luomaan komponenttikohtaisia lisätietoja yleisen tietoturvatason nostamiseksi, kun tuotteita ja palveluita esitellään, mukaan lukien:
- Tunnistaa ja dokumentoida komponentit, jotka ovat ratkaisevan tärkeitä tuotteen tai palvelun ydintoiminnalle.
- Varmista, että komponentit ovat aitoja ja muuttumattomia.
Uudet ISO 27002 -säätimet
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 5.7 | UUSI | Uhan älykkyys |
| 5.23 | UUSI | Tietoturva pilvipalvelujen käyttöön |
| 5.30 | UUSI | ICT-valmius liiketoiminnan jatkuvuuteen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 8.9 | UUSI | Kokoonpanonhallinta |
| 8.10 | UUSI | Tietojen poistaminen |
| 8.11 | UUSI | Tietojen peittäminen |
| 8.12 | UUSI | Tietovuotojen esto |
| 8.16 | UUSI | Toimien seuranta |
| 8.23 | UUSI | Web-suodatus |
| 8.28 | UUSI | Turvallinen koodaus |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 6.1 | 07.1.1 | Seulonta |
| 6.2 | 07.1.2 | Työsuhteen ehdot |
| 6.3 | 07.2.2 | Tietoturvatietoisuus, koulutus ja koulutus |
| 6.4 | 07.2.3 | Kurinpitoprosessi |
| 6.5 | 07.3.1 | Vastuut työsuhteen päättymisen tai muutoksen jälkeen |
| 6.6 | 13.2.4 | Luottamuksellisuus- tai salassapitosopimukset |
| 6.7 | 06.2.2 | Etätyö |
| 6.8 | 16.1.2, 16.1.3 | Tietoturvatapahtumaraportointi |
| ISO/IEC 27002:2022 Control Identifier | ISO/IEC 27002:2013 Control Identifier | Ohjausnimi |
|---|---|---|
| 7.1 | 11.1.1 | Fyysisen turvallisuuden rajat |
| 7.2 | 11.1.2, 11.1.6 | Fyysinen sisääntulo |
| 7.3 | 11.1.3 | Toimistojen, huoneiden ja tilojen turvaaminen |
| 7.4 | UUSI | Fyysisen turvallisuuden valvonta |
| 7.5 | 11.1.4 | Suojautuminen fyysisiltä ja ympäristöuhkilta |
| 7.6 | 11.1.5 | Työskentely turvallisilla alueilla |
| 7.7 | 11.2.9 | Selkeä pöytä ja selkeä näyttö |
| 7.8 | 11.2.1 | Laitteiden sijoitus ja suojaus |
| 7.9 | 11.2.6 | Omaisuuden turvallisuus muualla kuin toimitiloissa |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Tallennusvälineet |
| 7.11 | 11.2.2 | Apuohjelmia tukevat |
| 7.12 | 11.2.3 | Kaapeloinnin turvallisuus |
| 7.13 | 11.2.4 | Laitehuolto |
| 7.14 | 11.2.7 | Laitteiden turvallinen hävittäminen tai uudelleenkäyttö |
Miten ISMS.online auttaa
At ISMS.online, olemme rakentaneet kattavan ja helppokäyttöisen järjestelmän, jonka avulla voit ottaa käyttöön ISO 27002 -säätimiä ja hallita koko ISMS-järjestelmääsi.
Pilvipohjainen alustamme tarjoaa:
- Helppokäyttöinen ja mukautettava dokumentaationhallintajärjestelmä.
- Pääsy kiillotettujen, valmiiksi kirjoitettujen dokumentaatiomallien kirjastoon.
- Yksinkertaistettu prosessi sisäisten tarkastusten suorittamiseen.
- Tehokas tapa kommunikoida johdon ja sidosryhmien kanssa.
- Työnkulkumoduuli, joka virtaviivaistaa toteutusprosessia.
ISMS.online sisältää kaikki nämä ominaisuudet, Ja enemmän.
Ota yhteyttä jo tänään varaa esittely.
