Ohjaus 5.21 – Tietoturvan hallinta ICT:n toimitusketjussa

Yleiset valvontaohjeet 5.21

ISO määrittelee 13 tieto- ja viestintätekniikkaan liittyvää ohjeistusta, jotka tulee ottaa huomioon rinnalla kaikki muut kontrollit, jotka määräävät organisaation suhteen sen tavarantoimittajiin.

Ottaen huomioon useiden alustojen välisten paikallisten ja pilvipalvelujen laajentumisen viimeisen vuosikymmenen aikana, Control 5.21 käsittelee molempien tarjonnan. laitteisto ja ohjelmistoliittyvät komponentit ja palvelut (sekä paikan päällä että pilvipohjaiset), ja harvoin tekee eron näiden kahden välillä.

Toimittajan ja organisaation välisen suhteen lisäksi useat kontrollit koskevat myös toimittajan velvollisuuksia alihankintana toimitusketjun osia ulkopuolisille organisaatioille.

1. Organisaatioiden tulee laatia selkeä joukko tietoturva standardeja, jotka koskevat heidän yksilöllisiä tarpeitaan, asettaakseen selkeät odotukset siitä, kuinka toimittajien tulee käyttäytyä toimittaessaan ICT-tuotteita ja -palveluita.
2. Jos ICT-toimittaja tekee alihankintana jonkin toimitusketjun osan, toimittajan tulee ryhtyä toimenpiteisiin varmistaakseen, että urakoitsijat ja heidän henkilöstönsä tuntevat täysin organisaation ainutlaatuiset tietoturvastandardit.
3. Jos ilmenee tarve hankkia kolmannelta osapuolelta ostettuja komponentteja (fyysisiä tai virtuaalisia), toimittajan tulee levittää organisaation turvallisuusvaatimukset kaikille käyttämilleen myyjille tai toimittajille.
4. Toimittajia tulee pyytää antamaan tietoja niiden ohjelmistokomponenttien luonteesta ja toiminnasta, joita he käyttävät palvelun toimittamiseen organisaatiolle.
5. Organisaatioiden tulee tunnistaa minkä tahansa toimitetun tuotteen tai palvelun taustalla olevat tietoturvatoiminnot ja kuinka kyseistä tuotetta tai palvelua käytetään siten, että ei vaaranna tietoturvaa.
6. Organisaatioiden ei tule pitää riskitasoja itsestäänselvyytenä ja laatia menettelyjä, joilla varmistetaan, että toimittajan tarjoamat tuotteet tai palvelut ovat luonteeltaan turvallisia ja hyväksyttyjen alan standardien mukaisia. Menetelmät voivat sisältää sertifiointitarkastuksia, sisäistä testausta ja vaatimustenmukaisuutta tukevaa dokumentaatiota.
7. Tuotteen tai palvelun vastaanottamisen yhteydessä organisaatioiden tulee noudattaa prosessia, jossa ensin tunnistetaan ja kirjataan kaikki elementit, joiden katsotaan olevan olennaisia ​​ydintoimintojen ylläpitämisen kannalta – varsinkin jos komponentit ovat peräisin alihankkija-/ulkoistetusta sopimuksesta.
8. Toimittajien tulisi pystyä antamaan konkreettisia takeita siitä, että "kriittiset osat" hyötyvät perusteellisesta tarkastuksesta tarkastusloki joka jäljittää niiden liikkumista koko ICT-toimitusketjussa luomisesta toimitukseen.
9. Kun ICT-tuotteita ja -palveluita toimitetaan, organisaatioiden tulee saada kategorinen varmuus siitä, että mainitut tuotteet ja palvelut eivät vain toimi laajuudeltaan, eivätkä ne sisällä lisäominaisuuksia, jotka voisivat olla vakuudeksi. turvallisuusriski.
10. Komponenttien määritykset ovat avainasemassa sen varmistamiseksi, että organisaatio ymmärtää verkkoonsa tuomat laitteisto- ja ohjelmistokomponentit. Toimittajien tulee harkita väärentämisen estäviä toimenpiteitä koko kehitystyön elinkaaren ajan, ja organisaatioiden tulee vaatia ehtoja, jotka varmistavat komponenttien olevan laillisia toimituksen yhteydessä.
11. On pyrittävä varmistamaan, että ICT-tuotteet ovat alan standardien ja/tai alakohtaisten vaatimusten mukaisia. turvallisuusvaatimukset, kunkin tuotteen osalta. Yleisiä menetelmiä tämän saavuttamiseksi ovat muodollisen turvallisuussertifikaatin vähimmäistason saavuttaminen tai kansainvälisesti tunnustettujen tietostandardien (kuten Common Criteria Recognition Arrangement) noudattaminen tuotekohtaisesti.
12. Organisaatioiden tulee ryhtyä toimiin sen varmistamiseksi toimittajat ovat tietoisia velvollisuuksistaan ​​jakaessaan tietoja ja/tai tietoja, jotka koskevat keskinäistä toimitusketjun toimintaa, mukaan lukien mahdollisten ristiriitojen tai ongelmien tunnustaminen, joita voi syntyä molempien osapuolten välillä, ja miten niitä käsitellään niiden lähteellä.
13. Organisaatioiden on laadittava menettelyt, jotka hallitsevat riskejä käytettäessä käytettävissä olevia, tuemattomia tai vanhoja komponentteja riippumatta siitä, missä ne sijaitsevat. Jos komponentit ovat kuuluneet johonkin näistä luokista, organisaatioiden pitäisi pystyä mukautumaan vastaavasti ja tunnistamaan vaihtoehtoja.

Täydentävä opas

On tärkeää huomata, että ICT-toimitusketjun hallintaa ei tule tarkastella erillään tämän valvonnan mukaisesti. Control 5.21 on suunniteltu täydentämään olemassa olevia toimitusketjun hallintamenetelmiä ja tarjoamaan kontekstia ICT-spesifisille tuotteille ja palveluille.

ISO myöntää, että varsinkin ohjelmistokomponenttien osalta ICT-tuotteiden ja -palveluiden laadunvalvonta ei ulotu toimittajan omien vaatimustenmukaisuusmenettelyjen tarkkuuteen.

Sellaisenaan organisaatioita kannustetaan tunnistamaan toimittajakohtaisia ​​tarkastuksia, joilla varmistetaan toimittajan ”hyvämaineinen lähde” sekä sopimusluonnokset, joissa toimittajan tietoturvavelvoitteet todetaan kategorisesti sopimusta, tilausta tai palvelua suoritettaessa.

Ohjaus 5.21 Muutoksia standardista ISO 27002:2013

ISO 27002:2022-5.21 korvaa standardin ISO 27002:2013-15.1.3 (Tieto- ja viestintätekniikan toimitusketju).

ISO 27002:2022-5.21 noudattaa samoja yleisiä ohjesääntöjä kuin ISO 27002:2013-15.1.3, mutta se korostaa paljon enemmän toimittajan velvollisuutta toimittaa ja tarkistaa komponentteihin liittyvät tiedot toimituspaikassa, mukaan lukien:

• ICT-toimittajat, jotka tarjoavat komponenttitietoja.
• ICT-toimittajat hahmottelevat tuotteen turvallisuustoiminnot ja kuinka sitä parhaiten käytetään turvallisuusnäkökulmasta.
• Takuut vaadituista turvatasoista.

ISO 27002:2022-5.21 pyytää organisaatiota myös luomaan komponenttikohtaisia ​​lisätietoja yleisen tietoturvatason nostamiseksi, kun tuotteita ja palveluita esitellään, mukaan lukien:

• Tunnistaa ja dokumentoida komponentit, jotka ovat ratkaisevan tärkeitä tuotteen tai palvelun ydintoiminnalle.
• Varmista, että komponentit ovat aitoja ja muuttumattomia.

Miten ISMS.online auttaa

At ISMS.online, olemme rakentaneet kattavan ja helppokäyttöisen järjestelmän, jonka avulla voit ottaa käyttöön ISO 27002 -säätimiä ja hallita koko ISMS-järjestelmääsi.

Pilvipohjainen alustamme tarjoaa:

• Helppokäyttöinen ja mukautettava dokumentaationhallintajärjestelmä.
• Pääsy kiillotettujen, valmiiksi kirjoitettujen dokumentaatiomallien kirjastoon.
• Yksinkertaistettu prosessi sisäisten tarkastusten suorittamiseen.
• Tehokas tapa kommunikoida johdon ja sidosryhmien kanssa.
• Työnkulkumoduuli, joka virtaviivaistaa toteutusprosessia.

ISMS.online sisältää kaikki nämä ominaisuudet, Ja enemmän.

Ota yhteyttä jo tänään varaa esittely.