ISO 27002:2022 – Valvonta 5.22 – Toimittajapalveluiden seuranta, tarkistus ja muutosten hallinta

Valvonnan tarkoitus 5.22

Valvonta 5.22 määrittelee menetelmiä, joita organisaatioiden tulee käyttää, kun ne valvovat, tarkastelevat ja hallitsevat toimittajan tietoturvakäytäntöjen ja palvelun toimitusstandardien muutoksia sekä arvioidessaan vaikutuksia organisaation omaan tietoturvan tasoon.

Kun hallitaan suhteita toimittajiinsa, organisaation tulee pyrkiä ylläpitämään tietoturvan perustasoa, joka noudattaa kaikkia tehtyjä sopimuksia.

5.22 on ennaltaehkäisevä valvonta että muuttaa riskiä ylläpitämällä toimittajan "sovittua tietoturva- ja palvelutoimituksen tasoa".

Ohjauksen ominaisuudet 5.22

Määräysvallan omistus 5.22

Määräysvallan 5.22 omistus kuuluu ylemmän tason jäsenelle johto, joka valvoo organisaation kaupallista toimintaa, ja ylläpitää suoraa suhdetta organisaation toimittajiin, kuten a Chief Operating Officer.

Yleiset valvontaohjeet 5.22

Ohjaus 5.22 sisältää 13 pääaluetta, jotka organisaatiot tarvitsevat ottaa huomioon toimittajasuhteita hoidettaessa ja niiden vaikutusta omiin tietoturvastandardeihinsa.

Organisaatioiden on ryhdyttävä toimiin varmistaakseen, että SLA-sopimusten ja toimittajasuhteiden hallinnasta vastaavilla työntekijöillä on tarvittava taito ja tekniset resurssit voidakseen arvioida riittävästi toimittajien suorituskykyä, ja että tietoturvastandardeja ei rikota.

Organisaatioiden tulee laatia politiikkoja ja menettelyjä, jotka:

1. Seuraa jatkuvasti palvelutasoja julkaistujen SLA-sopimusten mukaisesti, ja mahdolliset puutteet korjataan.
2. Tarkkaile kaikkia toimittajan omaan toimintaansa tekemiä muutoksia, mukaan lukien (mutta ei rajoittuen):

   a) Palvelun parannuksia
   b) Uusien sovellusten, järjestelmien tai ohjelmistoprosessien käyttöönotto
   c) Asianmukaiset ja merkitykselliset muutokset toimittajien sisäisiin hallintoasiakirjoihin
   d) mitään vaaratilanteiden hallinta menettelytapamuutoksia tai pyrkimyksiä lisätä tietoturvan tasoa

3. Tarkkaile palvelukohtaisia ​​muutoksia, mukaan lukien (mutta ei rajoittuen):

   a) Infrastruktuurin muutokset
   b) Uusien teknologioiden soveltaminen
   c) Tuotepäivitysten tai versiopäivitysten käyttöönotto
   d) Muutoksia kehitysympäristössä
   e) Logistiset ja fyysiset muutokset toimittajatiloissa, mukaan lukien uudet toimipaikat
   f) Muutokset ulkoistuskumppaneihin tai alihankkijoihin
   g) Aikomus tehdä alihankinta, jossa käytäntö ei aiemmin ollut käytössä

4. Pyydä säännöllisiä palveluraportteja, analysoi tietoja ja osallistu arviointikokouksiin sovittujen palvelun toimitustasojen mukaisesti.
5. Tarkista ulkoistuskumppanit ja alihankkijat ja selvitä huolenaiheita.
6. Tarkista tietoturvahäiriöt sovittujen tapaustenhallintastandardien ja -käytäntöjen sekä toimittajasopimuksen mukaisesti.
7. Ylläpidä perusteellista kirjaa tietoturvatapahtumista, konkreettisista toimintaongelmista, vikalokeista ja yleisistä esteistä sovittujen palvelustandardien tieltä.
8. Reagoi ennakoivasti tietoturvaan liittyviin tapahtumiin ja ryhdy korjaaviin toimiin.
9. Korosta mikä tahansa tietoturva-aukkoja ja lieventää niitä mahdollisimman paljon.
10. Analysoi kaikki olennaiset tietoturvatekijät, jotka liittyvät toimittajien suhteeseen omien toimittajiensa ja alihankkijoidensa kanssa.
11. Varmista, että palvelu toimitetaan hyväksyttävälle tasolle merkittävien toimittajapuolen häiriöiden jälkeen, mukaan lukien katastrofipalautus.
12. Selvitä toimittajan toiminnan avainhenkilöt, jotka ovat vastuussa vaatimustenmukaisuuden ylläpitämisestä ja sopimusehtojen noudattamisesta.
13. Tarkasta säännöllisesti toimittajan kyky ylläpitää perustietoturvastandardia.

Ohjaimet tukevat

• 5.29
• 5.30
• 5.35
• 5.36
• 8.14

Uudet ISO 27002 -säätimet

Miten ISMS.online auttaa

ISO 27002 käyttöönotto on yksinkertaisempaa vaiheittaisella tarkistuslistallamme, joka opastaa sinut koko prosessin läpi ISMS:si laajuuden määrittämisestä riskien tunnistamiseen ja valvonnan toteutukseen.

Jotkut ISMS.onlinen käytön tärkeimmistä eduista ovat:

• Sinä pystyt rakentaa ISO 27001 -yhteensopiva ISMS alustan sisällä.
• Käyttäjät voivat suorittaa tehtäviä ja toimittaa todisteita standardin noudattamisesta.
• On helppoa delegoida vastuita ja seurata edistymistä vaatimustenmukaisuuden saavuttamisessa.
• Laaja riskinarvioinnin työkalusarja säästää aikaa ja vaivaa koko prosessin ajan.
• Meillä on omistautunut konsulttitiimi valmiina tukemaan sinua koko matkasi vaatimustenmukaisuuteen.

Ota yhteyttä jo tänään varaa esittely.