Kuinka ISO 27001 -standardin A.5.20 muuttaa MSP:n toimittajasopimuksia ja -auditointeja

Miksi MSP-sopimukset ovat ISO 27001:2022 -standardin kannalta keskeisiä

MSP-sopimukset ovat ISO 27001:2022 -standardin mukainen keskeinen teema, koska tilintarkastajat käsittelevät nyt toimittajasopimuksia ensisijaisena todisteena siitä, miten kontrollisi ulottuvat toimitusketjuun. He odottavat kirjallisia velvoitteita, rooleja ja tapausprosesseja, jotka osoittavat, että tietoturvanhallintajärjestelmäsi ulottuu ostamiisi ja tarjoamiisi palveluihin, eivätkä pelkästään sisäisiä kaavioita tai käytäntöjä. ISO/IEC 27001:2022 -standardin kommentit ja käyttöönotto-ohjeet korostavat, että organisaatioiden on osoitettava, miten kontrollit koskevat asiaankuuluvia toimittajia, ja sertifiointielimet käyttävät yleisesti sopimuksia osana tätä todistekokonaisuutta. Hallittujen palvelujen tarjoajille jokapäiväiset kaupalliset sopimukset toimivat nyt myös tietoturvaesineinä, jotka voivat vahvistaa tai heikentää sertifiointia ja asiakkaiden luottamusta.

MSP-sopimukset eivät ole enää vain kaupallisia työkaluja, vaan ne ovat osa tietoturvatilannettasi. ISO 27001:2022 -standardi edellyttää, että tietoturvavelvoitteet, -vastuut ja -tapahtumien käsittely näkyvät sopimuksissa ja niihin liittyvissä asiakirjoissa, joihin monissa organisaatioissa kuuluvat pääpalvelusopimukset (MSA), työtehtäväluettelot (SoW), palvelutasosopimukset (SLA), tietojenkäsittelysopimukset (DPA) ja tietoturva-aikataulut, vaikka standardi ei määrääkään erityisiä asiakirjanimikkeitä. Jos nämä elementit puuttuvat tai ovat epämääräisiä, tilintarkastajilla on vaikeuksia nähdä, miten liitteen A mukaiset kontrollit toimivat käytännössä.

Nämä tiedot ovat yleisiä eivätkä ole oikeudellista neuvontaa; sopimuspäätökset edellyttävät pätevän asianajajan lausuntoa.

Miten ISO 27001:2022 -standardi tuo MSP-sopimukset soveltamisalaan

ISO 27001:2022 -standardi laajentaa MSP-sopimukset soveltamisalaan käsittelemällä toimittajien tietoturvaa sopimusvelvollisuutena, joka on määriteltävä ja sovittava kirjallisesti. Standardi edellyttää, että sopimuksissa osoitetaan, miten tietoturvavastuut, tietojenkäsittelysäännöt ja häiriöprosessit jaetaan asiakkaan, MSP:n ja ylävirran toimittajien kesken. Tämä muutos siirtää auditoinnin suoraan huomion sopimuksiin, joihin yrityksesi on riippuvainen.

Vuoden 2025 ISMS.onlinen tietoturvakyselyssä noin 41 % organisaatioista nimesi kolmansien osapuolten riskien hallinnan ja toimittajien vaatimustenmukaisuuden seurannan suurimpana tietoturvahaasteena.

Palveluntarjoajat sijaitsevat pitkien toimitusketjujen keskellä. Olet riippuvainen pilvialustoista, datakeskuksista, tietoturvatyökaluista ja erikoistuneista SaaS-palveluista, ja asiakkaasi ovat riippuvaisia sinusta. Kun häiriöt ovat levinneet näiden ketjujen läpi, tutkijat ovat toistuvasti havainneet saman kaavan: kaupalliset ehdot olivat yksityiskohtaisia, mutta turvallisuusroolit, tietojenkäsittely, häiriöihin reagointi ja valvonta olivat epämääräisiä tai puuttuivat sopimuksista. Pilvi- ja ulkoistuskonteksteissa tehtyjen toimitusketjuhyökkäysten tarkasteluissa korostuu usein, että sopimuksissa keskityttiin hintaan ja palveluominaisuuksiin, kun taas turvallisuusvastuut jätettiin implisiittisesti määritellyiksi, mikä rajoitti merkittävästi vipuvaikutusta vikojen sattuessa. Jos odotukset ovat implisiittisiä eivätkä kirjallisia, vipuvaikutus on vähäinen, kun jokin menee pieleen.

Vuoden 2025 tietoturvakyselyssä havaittiin, että useimpiin organisaatioihin oli vaikuttanut vähintään yksi kolmannen osapuolen tai toimittajan aiheuttama tietoturvahäiriö edellisen vuoden aikana.

Sääntelyviranomaiset ja asiakkaat ovat vastanneet esittämällä paljon terävämpiä kysymyksiä. Enää ei riitä, että sanotaan "olemme ISO-standardien mukaisia" tai "toimittajamme noudattavat alan standardeja". Ostajat haluavat tietää, miten vastuut jaetaan, kuinka nopeasti heille ilmoitetaan ongelmista, miten alihankkijoita valvotaan ja mitä tiedoille tapahtuu, kun suhde päättyy. Monien alojen valvontaohjeissa viitataan nyt nimenomaisesti kirjallisiin ulkoistamisjärjestelyihin ja odotetaan yritysten osoittavan, miten ne valvovat kolmansia osapuolia, joten tilintarkastajat ottavat rutiininomaisesti näytteitä näistä järjestelyistä arvioidessaan valvonnan tehokkuutta. Esimerkiksi rahoituspalvelujen toiminnan häiriönsietokyvyn ja ulkoistamisen kaltaisilla aloilla vakavaraisuussäännöt osoittavat dokumentoitujen vastuiden, ilmoitusvelvollisuuksien ja irtautumismääräysten tarpeen ulkoistussopimuksissa, ja tämä ajattelutapa heijastuu yhä enemmän laajemmassa kolmansien osapuolten riskien hallintakäytännössä.

Hallittujen palveluntarjoajien (MSP) kannalta tämä tarkoittaa, että sopimukset ovat nyt osa hyökkäyspintaa ja osa todisteita. Jos tietoturvavaatimuksia, palvelutasoja, häiriöprosesseja ja tarkastusoikeuksia ei dokumentoida, tilintarkastajat epäilevät, ulottuvatko liitteen A mukaiset kontrollit todella toimitusketjuun. Vielä tärkeämpää on, että saatat menettää mahdollisuuden vaatia korjaavia toimenpiteitä tai yhteistyötä, jos ylävirran palveluntarjoaja epäonnistuu tai vastustaa tarkastusta.

ISMS.onlinen kaltainen alusta voi auttaa linkittämällä toimittajatiedot, riskinarvioinnit ja sopimustodisteet yhteen paikkaan, mutta lähtökohtasi on selkeä käsitys siitä, mitä liitteen A.5.20 odotetaan sopimustesi sisältävän.

Selkeät sopimukset muuttavat oletetun turvallisuuden täytäntöönpanokelpoiseksi vastuukseksi.

Miksi tällä on merkitystä MSP-auditoinneille ja asiakkaiden luottamukselle

Selkeät ja tietoturvatietoiset sopimukset tekevät MSP-auditoinneista sujuvampia ja antavat asiakkaille enemmän luottamusta palveluihisi. Kun sopimuksissa osoitetaan, kuka on vastuussa keskeisistä kontrolleista, miten tapauksia käsitellään ja miten tietoja suojataan, selvityksesi arviointien ja myyntikeskustelujen aikana muuttuvat tarkemmiksi ja vähemmän puolustuskannalle asetetuiksi.

Vuoden 2025 ISMS.online-kyselyn mukaan asiakkaat odottavat yhä useammin toimittajiltaan toimintatapojen yhdenmukaistamista virallisten viitekehysten, kuten ISO 27001, ISO 27701, GDPR, Cyber Essentials, SOC 2 ja uusien tekoälystandardien, kanssa.

Sopimusten käsittely turvallisuusartefakteina muuttaa sitä, miltä auditoinnit tuntuvat ja miten asiakkaat arvioivat sinua. Auditoijat voivat jäljittää riskit velvoitteisiin asti; asiakkaat näkevät, että turvallisuus on osa liiketoimintaasi, ei jälkikäteen mietitty asia. Kun nämä elementit puuttuvat, molempien ryhmien on pakko arvata, mitä tarkoitit, ja tämä epävarmuus rapauttaa luottamusta.

Hallittujen palveluntarjoajien kannalta käytännön vaikutus on yksinkertainen: joka kerta, kun neuvottelet tai uusit sopimuksen, joko vahvistat tai heikennät turvallisuustilannettasi. Jos standardoit vahvat lausekkeet ja sovellat niitä johdonmukaisesti, rakennat puolustettavan perustason, joka kestää sertifiointitarkastuksia, tarjouspyyntöjä ja sääntelyviranomaisten arviointeja. Jos luotat ad hoc -muotoiluihin, luot vaihtelua, joka tulee näkyviin juuri silloin, kun eniten haluat ennustettavuutta ja hallintaa.

Varaa demo

Mitä ISO 27001:2022 A.5.20 oikeastaan vaatii

ISO 27001:2022 A.5.20 -standardin mukaan sinun on tunnistettava tietoturvavaatimukset kullekin toimittajasuhteelle ja sisällytettävä ne täytäntöönpanokelpoisiin sopimuksiin. Aina kun toimittaja voi vaikuttaa tietojesi tai palveluidesi luottamuksellisuuteen, eheyteen tai saatavuuteen, sinun on määriteltävä sopimuksissa tai vastaavissa asiakirjoissa, mitä odotat heiltä, sekä molemmille osapuolille ymmärrettävissä että toimitettavissa asiakirjoissa. Tämä on yhdenmukaista ISO/IEC 27001:2022 -standardin liitteen A.5.20 sanamuodon kanssa, jossa edellytetään tietoturvavaatimusten tunnistamista toimittajasuhteille ja niiden toteuttamista sopimuksissa, jotta nämä kirjalliset odotukset muodostavat osan auditointievidenssiä.

Käytännössä liite A.5.20 siirtää turvallisuusvaatimukset pelkästään sisäisistä asiakirjoista sopimuksiin, jotka säätelevät palveluiden toimittamista. Hallittujen palveluntarjoajien (MSP) osalta tämä tarkoittaa, että asiakassopimusten ja toimitusketjun alkupään toimittajien sopimusten tulisi osoittaa, miten turvallisuusvastuut jaetaan, miten tietoja käsitellään ja miten häiriötilanteita hallitaan. Tilintarkastajat etsivät jäljitettävää yhteyttä toimittajien riskien, sisäisen valvonnan ja sopimustekstien välillä.

A.5.20:n erottaminen muista toimittajien valvontamekanismeista

A.5.20 eroaa viereisistä toimittajien kontrolleista, koska se keskittyy siihen, mitä sopimuksiin kirjataan, eikä siihen, miten toimittajia valitaan tai seurataan. Tämän eron ymmärtäminen auttaa sinua suunnittelemaan oikean näytön kullekin kontrollille ja välttämään kaiken käsittelemisen yhtenä, epämääräisenä vaatimuksena.

A.5.19, ”Tietoturva toimittajasuhteissa”, keskittyy koko elinkaareen: toimittajien valintaan, riskien arviointiin, suorituskyvyn seurantaan ja muutoksen hallintaan. A.5.21, ”Tietoturvallisuuden hallinta ICT-toimitusketjussa”, korostaa monimutkaisia ketjuja, alihankkijoita sekä yksityisyyteen tai henkilötietoihin liittyviä riskejä, erityisesti silloin, kun useat palveluntarjoajat yhdistävät voimansa palvelun toimittamiseksi. ISO/IEC 27001:2022 -standardin ja siihen liittyvien ohjeiden yleiskatsauksissa A.5.19 esitetään johdonmukaisesti elinkaaren hallintakontrollina ja A.5.21 erityisenä ICT-toimitusketjun kontrollina, mikä tukee niiden käyttöä rinnakkain A.5.20:n kanssa sen sijaan, että niitä käsiteltäisiin kaksoiskappaleina. Yhdessä ne kuvaavat, miten hallitset kolmannen osapuolen riskiä ajan kuluessa.

Liite A.5.20, ”Tietoturvallisuuden käsittely toimittajasopimuksissa”, keskittyy sisältöön: mitä sopimuksissa, aikatauluissa ja ehdoissa näkyy. Tilintarkastajat näkevät usein vankkaa työtä kohdan A.5.19 (toimittajarekisterit, riskinarvioinnit, due diligence -kyselylomakkeet) osalta, mutta heikkoa toteutusta kohdan A.5.20 osalta, jossa sopimuksissa sanotaan edelleen vain vähän muuta kuin ”toimittaja noudattaa sovellettavia lakeja ja alan standardeja”. Tällainen kielenkäyttö osoittaa harvoin, että erityiset riskit on muutettu velvoitteiksi, joita voidaan valvoa ja testata.

Keskeiset velvoitteet A.5.20 asettavat MSP-sopimuksille

A.5.20 asettaa useita keskeisiä velvoitteita MSP-sopimuksille, jotka keskittyvät selkeiden vastuiden ja vähimmäistietoturvaodotusten dokumentointiin. Jokaisen tietoturvanhallintajärjestelmääsi vaikuttavan toimittajan osalta sinun tulee pystyä osoittamaan, missä roolit, tietojenkäsittelysäännöt, häiriöprosessit, sääntelyyn liittyvät tehtävät ja valvontamekanismit on määritelty ja molemmat osapuolet hyväksyvät.

Konkreettisesti A.5.20 edellyttää sinulta seuraavaa:

Määrittele itsesi ja kunkin toimittajan väliset turvallisuuteen liittyvät roolit ja vastuut selkeällä kielellä.
Määritä, miten toimittaja voi käyttää, käsitellä, tallentaa, siirtää ja poistaa tietoja.
Kirjaa tapahtumailmoitus- ja yhteistyövaatimukset, mukaan lukien ajoitus ja viestintäkanavat.
Huomioi asiaankuuluvat sääntelyyn liittyvät velvoitteet, erityisesti henkilötietoihin ja ulkoistamissääntöihin liittyvät velvoitteet.
Määrätään seuranta-, arviointi- ja tarvittaessa tarkastus- tai riippumattomista varmistusmekanismeista.

Haluttujen palveluntarjoajien (MSP) osalta ”toimittaja” tulisi tulkita laajasti. Pilvialustat, yhteyspalveluntarjoajat, tiketöintityökalut, etävalvontaohjelmistot, SOC-kumppanit, alihankkijainsinöörit ja jotkut strategiset konsultit voivat kaikki kuulua standardin soveltamisalaan, jos ne voivat vaikuttaa asiakaspalveluun tai käsitellä arkaluonteisia tietoja. Standardi ei oleta, että vain suuret ja ilmeiset ulkoistajat ovat tärkeitä.

Avainasia on jäljitettävyys. Auditointiyritys haluaa tietää, missä jokaisesta tärkeästä toimittajariskistä, jonka kirjaat tietoturvanhallintajärjestelmään, on huomioitu: teknisissä kontrolleissa, toimintaprosesseissa ja sopimuslausekkeissa. A.5.20-kohdassa sisäiset odotuksesi muuttuvat ulkoisiksi sitoumuksiksi, jotka asiakkaat, sääntelyviranomaiset ja auditoijat voivat nähdä.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

A.5.20:n kääntäminen konkreettisiksi MSP-sopimusaiheiksi

A.5.20:n kääntäminen konkreettisiksi MSP-sopimusaiheiksi tarkoittaa laajojen turvallisuusodotusten muuttamista lyhyeksi, toistettavaksi luetteloksi lausekealueista. Jos jokainen merkittävä toimittajasopimus kattaa nämä alueet riittävän yksityiskohtaisesti, suurin osa valvonnan tavoitteista täyttyy ja auditointien ja uusimisten hallinta helpottuu.

Hallittujen palveluntarjoajien (MSP) kannalta aihepohjaisen lähestymistavan etuna on johdonmukaisuus. Kun olet päättänyt, mitkä teemat on esitettävä lähes jokaisessa sopimuksessa, laki-, turvallisuus- ja kaupalliset tiimisi voivat työskennellä yhteisen tarkistuslistan pohjalta sen sijaan, että improvisoisivat sanamuotoja tapauskohtaisesti. Tämä helpottaa sopimusten vertailua, puutteiden havaitsemista ja lähestymistapasi selittämistä tilintarkastajille ja asiakkaille.

Perusaiheet, jotka jokaisen MSP-toimittajasopimuksen tulisi kattaa

Perussopimusten aiheet ovat toistuvia teemoja, jotka haluat nähdä lähes jokaisessa toimittajasopimuksessa, joka liittyy tietoturvanhallintajärjestelmääsi. Ne tarjoavat tiimeillesi käytännönläheisen tarkistuslistan ja auttavat sinua osoittamaan tarkastajille, että tiettyjä riskejä on käsitelty johdonmukaisella ja ymmärrettävällä kielellä hajanaisten, kertaluonteisten lausekkeiden sijaan.

Käytännön lähtökohta sisältää yleensä ainakin seuraavat asiat:

Tietojen laajuus ja käyttö: – valtuutetut tiedot ja järjestelmät, sallitut käyttötarkoitukset, kielletyt käyttötarkoitukset.
Pääsyoikeuksien hallinnan odotukset: – todennusmenetelmät, pienimpien oikeuksien käyttö, etäkäyttö ja tilin elinkaarisäännöt.
Kirjaus ja valvonta: – vaaditut lokit, säilytysajat ja tietojen saatavuus tutkimusten aikana.
Haavoittuvuuksien hallinta ja korjaaminen: – löytämisen, arvioinnin ja korjaavien toimenpiteiden vastuullisuus sekä aikataulut suuririskisten ongelmien osalta.
Tapahtumien havaitseminen ja ilmoittaminen: – mikä lasketaan tietoturvahäiriöksi, kuinka nopeasti sinulle ilmoitetaan ja miten teet yhteistyötä.
Liiketoiminnan jatkuvuus ja katastrofien palautuminen: – vähimmäiskäytettävyys, palautumistavoitteet ja tarvittaessa osallistuminen testeihin.
Alihankkijat ja alihankkijat: – milloin niitä voidaan käyttää, miten sinulle ilmoitetaan tai miten hyväksyt ne ja miten velvoitteet etenevät.
Tietosuoja ja yksityisyys: – henkilötietojen käsittelyn ehdot, sijainnit, siirtomekanismit, luottamuksellisuus ja rekisteröidyn oikeuksien tuki.
Tietojen säilytys, palautus ja poistaminen: – säilytysajat, palautusmuodot poistuttaessa ja miten turvallinen poistaminen on todistettu.
Varmistus ja valvonta: – raportit, sertifikaatit, kyselylomakkeet tai sovitut auditoinnit, joihin voit luottaa, ja niiden toimitusajankohta.

Nämä aiheet eivät kaikki tarvitse pitkiä lausekkeita, mutta niiden tulisi olla tunnistettavissa vakiotehtävissäsi ja riskialttiissa sopimuksissasi. Tarkasteltuasi joitakin sopimuksia sinun pitäisi pystyä vastaamaan luottavaisin mielin kysymykseen: "Missä käsittelemme näitä kohtia ja miten se vaihtelee toimittajatason mukaan?"

Asiakkaiden puolesta henkilötietoja käsittelevien MSP-palveluntarjoajien tietosuojaehtojen on oltava näiden tietoturvalausekkeiden mukaisia. Käsittelyohjeiden, luottamuksellisuutta koskevien sitoumusten, alihankkijoita koskevien sääntöjen ja tarkastusoikeuksien tulee tukea laajempia tietoturvavaatimuksiasi, ei olla niiden kanssa ristiriidassa. Näin vältetään tilanne, jossa tietojenkäsittelysopimus sanoo yhtä, tietoturva-aikataulu toista, eikä kumpikaan vastaa tietoturvanhallintajärjestelmässäsi kuvattuja suojaustoimenpiteitä.

Sopimusaiheiden linkittäminen sisäisiin tietoturvallisuuden hallintajärjestelmiin

Sopimusaiheiden linkittäminen sisäisiin tietoturvallisuuden hallintajärjestelmiin (ISMS) tarkoittaa sitä, että jokainen lausekeperhe vastaa selkeään riskikysymykseen, jota jo seuraat. Kun riskirekisterit, kontrollit ja sopimukset käyttävät samaa ajatusmallia, on paljon helpompi selittää tilintarkastajille, miten hallitset toimittajia alusta loppuun.

Lyhyt taulukko voi auttaa sinua yhdistämään nämä aiheet sisäisesti esittämiisi kysymyksiin:

Sopimuksen aihe	Keskeinen kysymys, johon on vastattava	Tyypillinen asiakirjan sijainti
Kulunvalvonta	Kuka voi käyttää mitäkin tietoja, ja miten käyttöoikeus myönnetään tai poistetaan?	Turvallisuusaikataulu / työselvitys
Tapahtumailmoitus	Milloin ja miten kuulet tapahtumista?	Tietoturva-aikataulu / palvelutasosopimus
Alikäsittelijät	Keitä muita on mukana ja kuka heidät hyväksyy?	Tietojenkäsittelysopimus / alihankintalauseke
Tietojen palautus ja poistaminen	Mitä datalle tapahtuu, kun suhde päättyy?	Irtisanomis- tai päättämismääräykset
Tarkastus ja varmistus	Miten voit varmistaa, että turvallisuus toimii sovitusti?	Tarkastusoikeudet tai varmuuden osio

Kun nämä yhteydet ovat selkeitä, voit dokumentoida kunkin tärkeän toimittajan osalta, missä erityisiä riskejä käsitellään. Tämä antaa tilintarkastajille varmuuden siitä, ettet luota yleisluontoiseen sanamuotoon, ja antaa asiakkaille johdonmukaisen kuvan, kun he kysyvät, miten hallitset ulkoistusriskiä.

Uudelleenkäytettävän MSP-sopimuksen perustason suunnittelu

Uudelleenkäytettävän MSP-sopimusperussopimuksen suunnittelu tarkoittaa sellaisen vakiorakenteen ja lausekkeiden luomista, joka toimii useissa eri sopimuksissa riskiperusteisilla muunnelmilla. Sen sijaan, että sanamuotoja keksittäisiin uudelleen joka kerta, ylläpidetään yksi kontrolloitu perussopimus ja säädetään syvyyttä ja vahvuutta toimittajan vaikutuksen mukaan palveluihin ja asiakkaisiin.

Uudelleenkäytettävä perusrakenne muuttaa pitkän listan aiheista käytännölliseksi sopimusrakenteeksi, jota voit laajentaa koko portfolioosi. Tavoitteena on lopettaa sopimusten laatiminen alusta alkaen ja säilyttää yksi joukko positioita, joita voit tiukentaa tai lieventää riskiperusteisesti säilyttäen samalla yleisen johdonmukaisuuden.

Modulaarisen sopimusrakenteen rakentaminen MSP:ille

Modulaarinen sopimusrakenne mahdollistaa yhden yhtenäisen lähtötason ylläpitämisen ja samalla antaa laki-, kaupallisille ja teknisille tiimeille selkeän vastuun omista osioistaan. Erottamalla palvelukuvaukset, lakisääteiset mallit ja tietoturvasisällön, teet päivityksistä helpompia ja vähennät riskiä, että yhden alueen muutos vahingossa heikentää toista.

Useimmat MSP:t kokevat modulaarisen rakenteen toimivaksi parhaiten, koska se antaa mahdollisuuden päivittää yksittäisiä osia ilman, että kaikkea kirjoitetaan uudelleen. Selkeä erottelu lakisääteisten vakiotekstien, palvelukuvausten ja tietoturvaodotusten välillä auttaa myös eri tiimejä ottamaan vastuun omista osioistaan.

Tyypillisiä komponentteja ovat:

A Pääpalvelusopimus (MSA) sisältää keskeiset oikeudelliset termit ja korkean tason vastuualueet.
Yksi tai useampi Työselvitykset (SoWs) kuvaamalla tiettyjä palveluita, omaisuuseriä ja sijainteja.
A palvelutasoliite saatavuus-, vaste- ja ratkaisutavoitteiden määrittely, raportointi ja palveluhyvitykset.
A turvallisuusaikataulu keskittämällä kohtien A.5.19–A.5.21 edellyttämät tietoturva- ja yksityisyydensuojavelvoitteet.
Kun henkilötietoja käsitellään, tietojenkäsittelysopimus (DPA) linjassa turvallisuussuunnitelman kanssa.

Tämän rakenteen sisällä turvallisuusaikataulusta tulee A.5.20:n ensisijainen väline. Sen ei tarvitse olla pitkä, mutta sen tulisi systemaattisesti kattaa edellisen osion ydinaiheet. Lyhyiden, numeroitujen kappaleiden tai taulukoiden käyttäminen hajanaisten viitteiden sijaan helpottaa molempien osapuolten ymmärtämistä ja sisällön ylläpitämistä ajan kuluessa.

Perustason muuttaminen eläväksi lausekekirjastoksi

Lähtötilanteen muuttaminen eläväksi lausekekirjastoksi tarkoittaa uudelleenkäytettävien sanamuotojen tallentamista, niiden sitomista kontrolleihin ja oikean muunnelman soveltamisen helpottamista tiimien kannalta. Tavoitteenasi on välttää vanhoihin sopimuksiin hautautuneita kertaluonteisia lauseita ja sen sijaan ylläpitää kuratoitua lausekkeiden joukkoa, joka kehittyy riskinottohalukkuutesi ja sääntelykontekstin mukaan.

Jotta teoriasta voi siirtyä jokapäiväiseen käyttöön, tarvitaan teknologiariippumatonta, kontrollien jäljitettävissä olevaa ja eri riskitasoille helposti mukautettavaa sanamuotoa. Tällä tavoin voit soveltaa samoja ydinasioita hosting-, SOC-, SaaS- ja asiantuntijapalveluissa ja samalla ottaa huomioon niiden erilaiset riskiprofiilit.

Voit rakentaa pohjan seuraavasti:

Vaihe 1 – Aloita tietoturvajärjestelmästäsi

Aloita tunnistamalla toimittajien noudatettavat valvontamekanismit ja käytännöt, kuten salasanastandardit, salausodotukset, lokien tallennus ja tapausten vasteajat, jotta tiedät, mitkä vaatimukset on sisällytettävä sopimuksiin.

Vaihe 2 – Ryhmittele vaatimukset sopimusaiheiksi

Ryhmittele jokainen odotus lausekealueeseen, kuten pääsynhallinta, tapausten hallinta, jatkuvuus tai tiedonkäsittely, jotta vähennät päällekkäisyyksiä ja näet nopeasti, missä sopimusluonnoksissa on aukkoja.

Vaihe 3 – Luonnosneutraali, tuloslähtöinen sanamuoto

Kirjoita lausekkeita, jotka kuvaavat vastuita ja tuloksia, eivätkä tiettyjä työkaluja tai kokoonpanoja, jotta sanamuotosi kestää teknologian muutokset ja pysyy relevanttina erityyppisten toimittajien keskuudessa.

Vaihe 4 – Merkitse lausekkeet ISO-kontrolleihin sisäisesti

Kirjaa sisäiseen dokumentaatioosi, mitä ISO 27001 -standardia ja siihen liittyviä kontrolleja kukin lauseke tukee, jotta auditointiselitykset voidaan yksinkertaistaa, kontrollitestaus voidaan tukea ja päällekkäisyydet tai ristiriidat voidaan korostaa.

Vaihe 5 – Määrittele vakio- ja parannetut versiot

Luo oletusarvoinen lauseke sekä tiukempia versioita riskialttiimpiin tilanteisiin, kuten lyhyemmät tapausten aikataulut tai vahvemmat tarkastusoikeudet kriittisille palveluille, jotta neuvottelijat tietävät, mistä kannoista aloittaa ja milloin viedä asiaa eteenpäin.

Perustason käyttöönotto on itsessään muutosohjelma. Yleinen lähestymistapa on soveltaa perustasoa kaikkiin uusiin asiakas- ja toimittajasopimuksiin, käyttää uusimisia ja merkittäviä muutoksia olemassa olevien, riskialttiiden sopimusten päivittämiseen sekä ylläpitää poikkeusrekisteriä, jossa hyväksytään heikompia ehtoja dokumentoiduin perustein ja kompensoivin kontrollitoimin.

ISMS.online voi tukea tätä tallentamalla lausekekirjastosi, linkittämällä jokaisen lausekkeen kontrolleihin ja toimittajiin sekä tallentamalla, mitä perusversiota kukin sopimus käyttää. Tämä vähentää hallinnollisia kuluja ja helpottaa vastaamista kysymyksiin, kuten "Mitkä hosting-palveluntarjoajat käyttävät edelleen vanhempaa tietomurtoilmoitusstandardia?".

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

Yhdistämällä A.5.19:n, A.5.20:n ja A.5.21:n ”aina päällä” -lausekkeiksi

A.5.19:n, A.5.20:n ja A.5.21:n yhdistäminen ”aina päällä” -lausekkeiksi tarkoittaa pienen joukon lausekeperheiden suunnittelua, jotka kattavat yhdessä toimittajan elinkaaren hallinnan, sopimusten sisällön ja ICT-toimitusketjun riskit. Sen sijaan, että kolmea kontrollia käsiteltäisiin erillisinä projekteina, käytetään toistettavia sanamuotoja, jotka täyttävät ne yhdessä aina kun riskiprofiili sitä vaatii.

Jos A.5.19:ää, A.5.20:tä ja A.5.21:tä käsitellään kolmena erillisenä tarkistuslistana, toimittajien hallinnasta tulee nopeasti monimutkaista ja vaikeasti selitettävää. Rahoituspalvelualojen ja muiden toimijoiden vakavaraisuus- ja operatiivisten riskien standardit ovat siirtyneet kohti integroituja ulkoistamis- ja kolmannen osapuolen kehyksiä hajanaisten vaatimusluetteloiden sijaan, ja sama logiikka pätee myös ISO 27001 -standardin mukaisten toimittajalausekkeiden suunnittelussa. Lausekeperheiden suunnittelu, jotka seuraavat toimittajia perehdytyksestä poistumiseen, antaa yhden narratiivin: miten valitset toimittajat, miten teet heidän kanssaan sopimuksia ja miten valvot heidän turvallisuuttaan koko suhteen ajan.

Useimmat organisaatiot vuoden 2025 tietoturvallisuuden tilaa koskevassa tutkimuksessa ilmoittivat jo vahvistaneensa kolmansien osapuolten riskienhallintaa ja suunnitelleensa investoivansa siihen lisää.

Lausekeperheet, jotka täyttävät A.5.19, A.5.20 ja A.5.21 kohdat yhdessä

Lausekeperheet ovat toisiinsa liittyvien velvoitteiden ryhmiä, jotka kattavat toimittajan valinnan, sopimusten tekemisen ja jatkuvan valvonnan. Määrittelemällä nämä kerran ja soveltamalla niitä koko elinkaaren ajan, lähestymistapasi on helpommin selitettävissä, helpommin neuvoteltavissa ja joustavampi henkilöstön tai toimittajien vaihtuessa.

Hyödyllisiä perheitä ovat:

Perehdytys ja due diligence: – keskeisten turvallisuustietojen paljastaminen valinnan, lähtötason hyväksymisen ja asiaankuuluvien sertifiointien tai raporttien vahvistamisen aikana.
Suorituskyvyn ja tietoturvan tarkastelu: – säännölliset kokoukset, mittarit, poikkeamien ja haavoittuvuuksien raportointi sekä oikeus pyytää korjaussuunnitelmia.
Muutoksen hallinta: – ilmoittaminen infrastruktuurin, alihankkijoiden, sijaintien tai turvatarkastusten olennaisista muutoksista ennen niiden tapahtumista sekä oikeus vastustaa muutoksia tai arvioida riski uudelleen.
Alihankkijoiden hallinto: – toimittajan oman ketjun läpinäkyvyys, uusien alihankkijoiden ennakkohyväksyntä ja vähimmäisvelvoitteiden läpinäkyvyys.
Poistuminen ja siirtyminen: – turvallisuustietoiset irtisanomislausekkeet, jotka varmistavat hallitun luovutuksen, tietojen palauttamisen tai tuhoamisen ja käyttöoikeuden poistamisen.

Näiden sopimusperheiden avulla voit toteuttaa A.5.19:n elinkaaren hallinnan (valinta, valvonta, muutos, irtisanominen), A.5.20:n sopimussisällön ja A.5.21:n keskittymisen monimutkaisiin ICT-toimitusketjuihin ilman, että sinun tarvitsee kirjoittaa kolmea eri lausekesarjaa. Kuvailet elinkaaren kerran ja räätälöit sitten intensiteetin toimittajatason mukaan sen sijaan, että keksiisit rakenteen uudelleen joka kerta.

Riskiperusteinen porrastus toimittajasopimuksille

Toimittajasopimusten riskiperusteinen porrastaminen tarkoittaa lausekeperheiden soveltamista eri vahvuuksina riippuen siitä, kuinka paljon vahinkoa toimittajan epäonnistuminen voisi aiheuttaa. Määrittelemällä tasot ja vastaavat odotukset etukäteen vältät tapauskohtaisen improvisoinnin ja voit selittää tilintarkastajille, miksi jotkut sopimukset ovat tiukempia kuin toiset.

Riskiperusteinen porrastus tarkentaa lausekeperheitä siten, että kriittisillä toimittajilla on tiukemmat velvoitteet, kun taas rutiininomaiset toimittajat täyttävät edelleen vähimmäisvaatimukset. Tämä auttaa sinua selittämään tilintarkastajille ja asiakkaille, miksi turvallisuusodotukset vaihtelevat, ja osoittaa, että vaihtelu on tarkoituksellista, ei satunnaista.

Voit esimerkiksi määritellä:

Taso 1 – Kriittiset toimittajat: kuten ensisijaiset hosting- tai SOC-kumppanit, joilla on paikan päällä tapahtuvat tarkastusoikeudet, tiukemmat ilmoitusajat tapahtumille, tiukemmat jatkuvuusvelvoitteet ja yksityiskohtaisempi raportointi.
Taso 2 – Tärkeimmät toimittajat: kuten liiketoiminta-alueiden SaaS-palveluntarjoajat, jotka perustuvat riippumattomiin varmennusraportteihin, kohdennettuihin kyselyihin ja vakiomuotoisiin ilmoitusaikoihin.
Taso 3 – Vakiotoimittajat: kuten pienemmät työkalut, käyttäen yksinkertaistettua lähtökohtaa, jossa on ehdottomat lausekkeet luottamuksellisuudesta, vaaratilanteiden ilmoittamisesta ja alihankkijoista.

Kaikilla tasoilla tiettyjen odotusten tulisi olla ”aina voimassa”: luottamuksellisuus, määritelty käsittelyn laajuus, vähimmäisyhteistyö tietoturvaloukkausten varalta ja velvoitteet noudattaa arkaluonteisten tietojen luokittelu- ja käsittelysääntöjä. Tasojen määrittelystä tulee sitten näiden perusteiden vahvistamista, ei poistamista.

Suunnittelemalla lausekkeita tällä tavalla voit osoittaa tilintarkastajille ja asiakkaille, että toimittajien valvonta on jäsenneltyä eikä ad hoc -perusteista, ja että sopimusodotukset kasvavat riskin myötä. Se myös helpottaa päätöksentekoa siitä, mihin korjaavat toimet keskitetään, kun olemassa olevissa sopimuksissa havaitaan heikkouksia.

Yleisiä tarkastuspuutteita MSP-sopimuksissa ja niiden seuraukset

Yleisiä auditointipuutteita MSP-sopimuksissa ilmenee, kun keskeiset tietoturva-aiheet puuttuvat, ovat epämääräisiä tai epäjohdonmukaisia eri sopimuksissa. Auditoijat ja asiakkaat huomaavat nopeasti malleja, kuten heikkoja tapausten aikatauluja, puuttuvia alihankkijamääräyksiä ja riittämättömiä auditointioikeuksia, ja nämä puutteet usein eskaloituvat löydöksiksi, korjaussuunnitelmiksi tai menetetyiksi mahdollisuuksiksi.

Kun sertifiointielimet ja asiakkaat tarkastelevat MSP-sopimuksia A.5.20-standardin mukaisesti, he löytävät toistuvasti samanlaisia heikkouksia. Pilvi- ja ulkoistusjärjestelyjä koskevissa sääntelyohjeissa dokumentoidaan myös toistuvia ongelmia, kuten epämääräisiä tietoturvaehtoja, alihankkijoiden läpinäkymättömyyttä ja heikkoja tarkastusoikeuksia, mikä heijastelee sitä, mitä monet tilintarkastajat raportoivat tutkiessaan MSP-sopimuksia. Näiden kaavojen tunnistaminen varhain helpottaa niihin puuttumista ennen kuin ne muuttuvat vaatimustenvastaisuuksiksi, sääntelykysymyksiksi tai sopimuskiistoiksi.

MSP-sopimuksissa tilintarkastajien ja asiakkaiden merkitsemät mallit

MSP-sopimuksissa tilintarkastajien ja asiakkaiden havaitsemat kaavat keskittyvät usein epämääräisiin sanamuotoihin muutamilla toistuvilla alueilla. Kun otossopimuksissa käytetään samaa pehmeää kieltä tapausten, alihankkijoiden, tilintarkastusoikeuksien ja sääntelyyn liittyvien velvollisuuksien osalta, tarkastajat kyseenalaistavat nopeasti, onko toimittajasi lähtötaso riittävän vahva kohtaamiisi riskeihin nähden.

Tilintarkastajat aloittavat yleensä ottamalla otoksen pienestä määrästä sopimuksia nähdäkseen, miten lähtötasoa sovelletaan käytännössä. Jos otoksissa näkyy epämääräisiä velvoitteita ja puuttuvia aiheita, he voivat nopeasti kärjistää yleisiä huolenaiheita toimittajavalvonnasta. Vaatimustenmukaisuuden arvioinnin ja sisäisen tarkastuksen standardit erottavat tyypillisesti pienet ja suuret havainnot vakavuuden ja kattavuuden perusteella, joten heikot lausekkeet voidaan luokitella eri tavoin riippuen siitä, kuinka laajalle levinneitä ne ovat ja kuinka paljon vahinkoa ne voisivat aiheuttaa.

Tyypillisiä aukkoja ovat:

Epämääräiset turvallisuuslupaukset: joissa ilmaisuista, kuten ”alan standardin mukainen tietoturva”, puuttuu yksityiskohtia käyttöoikeuksien hallinnasta, lokinmäärityksestä tai tietoturvaloukkauksiin reagoinnista.
Määrittelemättömät tapahtumien aikajanat: jossa toimittajat lupaavat raportoida ”ilman aiheetonta viivytystä”, mutta alustavalle ilmoitukselle tai päivityksille ei ole asetettu aikataulua.
Ei mainintaa alihankkijoista: joten et voi nähdä, voiko toimittaja käyttää alihankkijoita tai miten velvoitteet jaetaan eteenpäin.
Puuttuvat tai heikot tarkastusoikeudet: mikä ei jätä sinulle luotettavaa tapaa varmistaa, että kontrollit toimivat odotetulla tavalla.
Virheelliset sääntelytehtävät: jos sopimuksista puuttuu sinuun sovellettavia toimialakohtaisia ulkoistamis- tai tietosuojavaatimuksia.

Kun tilintarkastajat havaitsevat näitä kaavoja, he voivat luokitella ne pieniksi tai suuriksi poikkeamiksi vakavuudesta ja kattavuudesta riippuen. Asiakkaat, erityisesti säännellyillä aloilla, voivat pitää vastaavia puutteita perusteena vaatia korjaussuunnitelmia, tiukempia ehtoja tai joissakin tapauksissa palveluntarjoajan vaihtoa.

Kuinka heikot lausekkeet muuttuvat löydöksiksi, kiistoiksi ja menetettyyn luottamukseen

Heikot sopimuslausekkeet muuttuvat löydöksiksi, kiistoiksi ja luottamuksen menetykseksi, kun tapaukset tai erimielisyydet paljastavat sopimusodotusten puutteet. Ilman selkeitä vastuita, aikatauluja ja eskalointireittejä riskinä on hitaat vastaukset, kiistanalaiset velvoitteet ja narratiivi, joka heikentää luottamusta asiakkaiden ja sääntelyviranomaisten keskuudessa.

Yksinkertainen vertailu havainnollistaa, miksi yksityiskohdat ovat tärkeitä:

alue	Heikko lauseke esimerkki	Vahvan lausekkeen esimerkki
Tapahtumailmoitus	"Ilmoita ilman aiheetonta viivytystä."	"Ilmoita neljän tunnin kuluessa havaitsemisesta, sitten päivittäiset päivitykset."
Alikäsittelijät	Ei mainintaa.	"Tunnista kaikki alihankkijat, pyydä heille hyväksyntää ja sitoudu heidän toimintaansa."
Tarkastus ja varmistus	"Toimita pyydetyt raportit aina kun se on mahdollista."	"Anna vuosittain varmennusraportit ja tee yhteistyötä tarkastusten yhteydessä."

Viivästyneet tai puutteelliset ilmoitukset voivat tarkoittaa, että saatat löytää tapauksen lehdistön tai asiakkaidesi kautta toimittajasi sijaan, mikä heikentää kykyäsi reagoida ja viestiä uskottavasti. Säännellyillä aloilla kolmansien osapuolten riskienhallinnan ohjeistuksessa on dokumentoitu tapauksia, joissa heikot ilmoitusvelvollisuudet ovat saaneet organisaatiot kuulemaan ongelmista ulkoisista lähteistä toimittajiensa sijaan, mikä on juuri se skenaario, jota haluat välttää. Epäselvät vastuualueet johtavat sormella osoitteluun pahimpaan mahdolliseen aikaan. Tarkastusoikeuksien puute vaikeuttaa korjaavien toimenpiteiden ajamista tai korjausten validointia, varsinkin jos sääntelyviranomaiset tai asiakkaat seuraavat tilannetta.

Positiivista on, että tällä alueella tehdyt löydökset ovat yleensä korjattavissa. Niiden muuttaminen jäsennellyksi parannusohjelmaksi – perustason mallien päivittäminen, neuvottelijoiden uudelleenkoulutus ja korjaavien toimenpiteiden kohdentaminen ensin korkeimman riskin sopimuksiin – antaa selkeän kuvan edistymisestä seuraavassa auditoinnissa tai asiakasarvioinnissa. ISMS.online voi auttaa sinua priorisoimaan ohjelman näyttämällä, missä vanhempia lausekkeita tai heikompia kantoja on edelleen olemassa ja miten ne vastaavat toimittajien riskitasoja.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Hallinto: perustason pitäminen linjassa ja auditoitavana

Hallinto pitää A.5.20-perustasosi linjassa ja auditoitavana määrittelemällä omistajuuden, tarkastussyklit ja todisteet toimittajien turvallisuuslausekkeille. Ilman selkeää hallintoa jopa hyvin suunniteltu lausekekirjasto voi ajautua ajan myötä ja luoda hiljaisia aukkoja ilmoitetun riskinottohalukkuutesi, sopimustesi ja operatiivisen todellisuutesi välille.

Vuoden 2025 tietoturvallisuuden tilaa koskevassa raportissa noin kaksi kolmasosaa organisaatioista totesi, että sääntelymuutosten nopeus ja määrä vaikeuttavat vaatimustenmukaisuuden ylläpitämistä.

Sopimuksen perussuunnitelma tuottaa arvoa vain, jos sitä ylläpidetään ja sovelletaan johdonmukaisesti. Hallinto on taso, joka yhdistää lausekekirjastosi päivittäisiin päätöksiin, toimittajasuhteisiin ja auditointitodennäköisyyksiin, ja se on usein ratkaiseva tekijä kertaluonteisen puhdistuksen ja kestävän A.5.20-toteutuksen välillä.

Toimittajien tietoturvasopimusten omistajuuden määrittäminen

Toimittajien turvallisuussopimusten omistajuuden määrittäminen tarkoittaa, että on selkeää, kuka määrittelee odotukset, kuka neuvottelee sanamuodoista, kuka valvoo suorituskykyä ja kuka testaa yhdenmukaisuutta. Kun nämä vastuut ovat selvät, on paljon epätodennäköisempää, että tärkeitä lausekkeita vesitetään tai ohitetaan sivujärjestelyissä.

Yksinkertainen malli alkaa usein:

Tietoturva: kontrolliodotusten, riskinottohalukkuuden ja ei-neuvoteltavien positioiden määrittely.
Laki- ja sopimustiimit: näiden kääntäminen täytäntöönpanokelpoiseksi sanamuodoksi ja neuvottelujen hallinta.
Palvelu- ja toimittajapäälliköt: suorituskyvyn seuranta, velvoitteiden valvonta ja todisteiden kerääminen.
Sisäinen tarkastus tai vastaava toiminto: testataan säännöllisesti, ovatko sopimukset ja käytännöt yhdenmukaisia.

Lähtötilanteen tarkastelujen linkittäminen tietoturvan hallintajärjestelmiin pitää ne ajan tasalla. Kun riskinarvioinnit tuovat esiin uusia uhkia, kun tapahtuu merkittäviä vaaratilanteita tai kun määräykset muuttuvat, näiden laukaisevien tekijöiden tulisi vaikuttaa aikataulutettuihin mallipohjaisiin tarkasteluihin. Johdon tarkasteluissa voidaan sitten tarkastella, vastaavatko sopimuslausekkeet edelleen organisaation riskitilannetta ja tarvitaanko lisämuutoksia.

Työkalut ja arvioinnit, jotka pitävät A.5.20-todisteet ajan tasalla

Työkalut ja katselmoinnit pitävät A.5.20-todisteet ajan tasalla antamalla sinulle näkyvyyden siihen, mitkä sopimukset käyttävät mitäkin lausekkeita ja missä on poikkeamia. Tämän näkymän avulla voit priorisoida päivityksiä, tukea neuvotteluja ja antaa tilintarkastajille selkeän selvityksen siitä, miten toimittajien odotukset säilyvät ajan kuluessa.

Hallinta on helpompaa, kun näet yhdellä silmäyksellä, mitkä sopimukset käyttävät mitäkin lausekkeita ja missä poikkeukset sijaitsevat. Tämä näkyvyys tukee sekä operatiivista päätöksentekoa että auditointien valmistelua, erityisesti MSP-ympäristöissä, joissa on paljon asiakkaita ja toimittajia. Versiohallinnan ja muutoshallinnan käytännöt osoittavat, että sen seuraaminen, mitkä asiakirjaversiot soveltuvat missäkin kontekstissa, on keskeinen osa hallinnan osoittamista, ja sama periaate pätee sopimusten lähtötasoihin ja poikkeamiin.

Käytännön hallinnon työkalupakki sisältää usein:

A sopimus- ja toimittajarekisteri joka näyttää kunkin suhteen käyttämän lähtötason, riskitason, keskeiset päivämäärät ja mahdolliset hyväksytyt poikkeamat.
A poikkeamaprosessi sen dokumentointi, kuka voi hyväksyä poikkeuksia lähtötasosta, millä perusteilla ja millä korvaavilla toimenpiteillä.
Koulutus ja ohjaus: myynti-, hankinta- ja lakitiimeille, jotta he ymmärtävät, mitkä turvallisuustehtävät ovat ehdottomia ja miten ne selitetään.
Esimerkkitestaus: sisäisen tarkastuksen avulla vertaamalla valittuja sopimuksia lähtötaso- ja A.5.20-vaatimuksiin ja tarkistamalla, vastaako operatiivinen todellisuus sopimuksia.

Järjestelmän käyttäminen laskentataulukoiden sijaan tekee tästä paljon sujuvampaa. ISMS-alusta voi tallentaa toimittajien inventaariot, linkittää ne sopimuksiin ja kontrolleihin sekä seurata tarkastuksia ja hyväksyntöjä. Esimerkiksi ISMS.online voi tallentaa, mitkä toimittajat kuuluvat mihinkin riskitasoon, mitkä lausekkeet soveltuvat ja missä poikkeuksia on sallittu. Tämä tarjoaa selkeän auditointipolun ja vähentää mahdollisuutta, että huomaamaton sopimusmuutos heikentää tietoturvatilannettasi.

Kun hallinto on käytössä, A.5.20-toteutuksesi ei ole kertaluonteinen korjaava toimenpide, vaan siitä tulee kestävä osa tapaa, jolla hallitset kolmansien osapuolten riskejä ja osoitat varmuutta asiakkaille ja tilintarkastajille.

Varaa esittely ISMS.onlinesta jo tänään

ISMS.online auttaa sinua muuttamaan ISO 27001 A.5.20 -standardin toistettavaksi MSP-sopimusten perustasoksi, joka pitää toimittajasopimuksesi turvallisina, yhdenmukaisina ja auditoitavina. Keskittämällä toimittajatiedot, lausekekirjastot, kontrollikartoitukset ja todisteet alusta helpottaa sen osoittamista, että tietoturvavaatimukset on käsitelty sopimuksissa ja että niitä tuetaan päivittäisessä käytännössä.

A.5.20-perustason toiminnan näkeminen todellisessa tietoturvan hallintajärjestelmässä

Kun näet A.5.20-perustason toimivan todellisessa tietoturvan hallintajärjestelmässä, voit jäljittää toimittajat, riskit, sopimukset ja kontrollit yhdestä ympäristöstä. Kun tämä onnistuu, keskustelut tilintarkastajien ja asiakkaiden kanssa siirtyvät dokumenttien etsimisestä selittämään, miten toimittajien hallinta toimii ja miten poikkeuksia hallitaan.

Kun voit linkittää toimittajat, riskit, sopimukset ja liitteen A kontrollit yhteen paikkaan, keskustelut tilintarkastajien ja asiakkaiden kanssa helpottuvat ja luottavaisemmiksi. Tiedostojakojen ja postilaatikoiden selaamisen sijaan voit osoittaa yhteen näkymään, joka näyttää, mikä perusversio koskee kutakin suhdetta, mitä poikkeuksia on olemassa ja miten kyseiset päätökset on perusteltu.

Yhdessä ympäristössä ISMS.online voi auttaa sinua yhdistämään toimittajat riskinarviointeihin, sopimuksiin ja kontrolliryhmiin, jotta on helpompi nähdä, mitkä sopimukset tukevat mitäkin ISMS-järjestelmän osia. Työnkulut tukevat tarkastuksia, hyväksyntöjä ja uusimisia, mikä auttaa varmistamaan, että uudet sopimukset noudattavat lähtötasoa ja että korkean riskin sopimukset priorisoidaan päivityksiä varten. Kojelaudat antavat johdolle tiiviin kuvan toimittajien kattavuudesta, keskeneräisistä toimista ja tulevista uusimisjaksoista.

Mitä odottaa ISMS.online-sivustolta

Kun tutustut ISMS.online-sivustoon, näet, miten jäsennelty toimittajahallinta ja A.5.20-sopimusten perusviivat toimivat reaaliaikaisessa ISMS-järjestelmässä teoriassa sijaan. Keskitytään siihen, miten olemassa olevat sopimukset, riskit ja kontrollit voitaisiin järjestää yhdeksi, auditoitavaksi kokonaisuudeksi, joka vähentää manuaalista työtä ja lisää luottamusta.

ISMS.online-sivuston tutkiminen auttaa sinua näkemään, miten nykyistä toimittajahallintaasi voidaan kehittää jäsennellyksi ja auditoitavaksi järjestelmäksi sen sijaan, että lisäisit yhden ylläpidettävän työkalun. Voit tarkastella esimerkkilausekkeista A.5.20, vastaavuusmäärityksiä ja raportteja, jotka on räätälöity hallinnoitujen palveluntarjoajien tarpeisiin, ja testata, miten ne sopisivat olemassa oleviin sopimuksiisi ja prosesseihisi.

Tietoturvajohtajille, lakitiimeille ja hallinnoitujen palveluiden (MSP) omistajille tämä rakenteen ja näkyvyyden yhdistelmä lyhentää auditointien valmisteluaikaa, vähentää neuvottelujen kitkaa ja vahvistaa varmuutta. ISMS.onlinen valitseminen on järkevää, kun haluat toimittajasopimustesi tukevan ISO 27001 -sertifiointiasi, osoittavan asiakkaille hallinnan ja vähentävän kolmansien osapuolten riskiä lisäämättä tarpeetonta monimutkaisuutta. Jos nämä tulokset ovat sinulle tärkeitä, alustan toiminnan näkeminen on luonnollinen seuraava askel.

Varaa demo

Usein Kysytyt Kysymykset

Miten MSP:n tulisi tulkita ISO 27001:2022 A.5.20 -standardia jokapäiväisissä toimittaja- ja asiakassopimuksissa?

Sinun tulisi käsitellä kohtaa A.5.20 vaatimuksena sopimuksiisi sisältyvät erityiset, testattavat tietoturvavelvoitteet, ei rauhoittavia mutta epämääräisiä lausuntoja "vankasta" tai "alan standardin mukaisesta" tietoturvasta.

Kun tilintarkastaja, merkittävä asiakas tai sääntelyviranomainen lukee sopimuksiasi, heidän tulisi pystyä näkemään, kuka on vastuussa mistäkin kontrollista, miltä "hyvä" näyttää ja miten tarkistat, että se todella tapahtuu.

Miltä "selkeät ja auditoitavat turvalausekkeet" näyttävät käytännössä?

MSP:n osalta A.5.20 täyttyy, kun toimittaja ja asiakas tekevät johdonmukaisia sopimuksia:

Jaa turvallisuusvastuut:

Selvitä, kuka vastaa korjauspäivityksistä, päätepisteiden suojauksesta, varmuuskopioista, identiteetin ja pääsynhallinnasta, valvonnasta ja tapausten luokittelusta – mukaan lukien mahdolliset jaetut vastuut.

Kuvaile, miten tietoja käsitellään:

Käsittele, miten laajuuteen kuuluvia tietoja käytetään, käsitellään, tallennetaan, lähetetään, varmuuskopioidaan, säilytetään ja poistetaan kielellä, jota ei-tekninen tarkastaja voi ymmärtää.

Määrittele tapahtumien ilmoittamis- ja yhteistyösäännöt:

Käytä konkreettisia laukaisevia tekijöitä ("vahvistettu asiakastietojen vaarantuminen", "palvelukatkos > X minuuttia"), aikarajoja ("ensimmäinen hälytys X tunnin kuluessa"), nimettyjä yhteydenottoreittejä ja odotuksia yhteisille tutkimuksille ja viestinnälle.

Huomioi sovellettavat määräykset ja toimialakohtaiset säännöt:

Sisällytä sopimukseen yksityisyyttä, ulkoistamista, häiriönsietokykyä tai toimialakohtaisia velvoitteita sen sijaan, että luottaisit pelkästään käytäntöihin tai epävirallisiin vakuutteluihin.

Sisällytä käyttökelpoiset varmistus- ja valvontamekanismit:

Antaa sinulle oikeuden nähdä todisteita (ISO 27001 -sertifikaatit, SOC 2 -raportit, kynätestien yhteenvedot, kohdennetut kyselylomakkeet) sovitulla rytmillä ja tarvittaessa seurantaan.

Nopea itsetarkistus, joka resonoi auditoijien kanssa, on:

Jos meillä olisi vain tämä sopimus pöydällä, voisimmeko osoittaa, että tietoturvavaatimuksemme ovat määriteltyjä, riskiperusteisia ja täytäntöönpanokelpoisia – vai täyttäisimmekö aukot sillä, "mitä kaikki tietävät meidän tarkoittavan"?

Jos vastaus on lähempänä jälkimmäistä, tietoturvanhallintajärjestelmäsi tulisi kirjata se heikkoutena ja vaatia muutoksia sanamuotoihin, malleihin tai hyväksymissääntöihin.

ISMS.online-alustan kaltainen alusta tekee sen havainnollistamisesta paljon helpompaa. Voit linkittää jokaisen sopimuslausekkeen takaisin sen tukemiin riskeihin ja valvontatoimiin ja osoittaa, miten A.5.20 toteutetaan todellisten sopimusten kautta muistikuvien tai epävirallisten muistiinpanojen sijaan.

Miten A.5.20 sopii yhteen A.5.19:n ja A.5.21:n kanssa MSP:ssä?

Kolme ohjauselementtiä muodostavat yhden kolmannen osapuolen tietoturvan elinkaari: kenen kanssa työskentelet, mitä vaadit paperilla ja miten hallitset palveluitasi toimittavaa monikerroksista toimitusketjua.

Miten MSP:n tulisi tarkastella A.5.19–A.5.21-ketjua?

Useimmille MSP:ille kaava näyttää tältä:

A.5.19 – toimittajan elinkaari:

Kuinka valitset, arvioit, hyväksyt, perehdyt, valvot ja tarvittaessa lopetat toimittajien toiminnan – mukaan lukien kriteerit, due diligence ja säännölliset arvioinnit.

A.5.20 – sopimustietoturva:

Kun nämä odotukset muutetaan sitoviksi velvoitteiksi pääpalvelusopimuksissa (MSA), työsuunnitelmassa (SoW), palvelutasosopimuksissa (SLA), tietojenkäsittelysopimuksissa (DPA) ja tietoturvalistoissa.

A.5.21 – Tieto- ja viestintätekniikan toimitusketjuun ja yksityisyyteen liittyvät riskit:

Miten hallitset ja valvot monitasoisia palveluntarjoajia – pilvialustoja, erikoistyökaluja, alihankkijoita – ja sitä, miten he käsittelevät henkilötietoja ja arkaluonteisia tietoja.

Päivittäisessä toiminnassa A.5.20 on silta riskinäkemyksesi ja oikeudellisen asemasi välillä:

Sinun toimittajarekisteri ja riskinarvioinnit (A.5.19) kuvaile riski ja kontrollit, joihin haluat luottaa.
Sinun sopimukset (A.5.20) virallistetaan, kenen on toteutettava kyseiset tarkastukset ja mitä tapahtuu, jos he eivät tee niin.
Sinun toimitusketjun valvonta (A.5.21) tarkistaa, että todellisuus vastaa sekä tietoturvan hallintajärjestelmää että sopimusta, mukaan lukien tietovirrat ja alihankkijat.

Tilintarkastajat ja suuret asiakkaat luonnollisesti asettavat nämä kohdalleen. Jos riskirekisterissäsi pilvipalveluntarjoajan sanotaan olevan "kriittinen ja korkean riskin", mutta sopimuksessa on vain yleisluontoinen sanamuoto "kohtuullisesta turvallisuudesta", he mainitsevat sen.

ISMS.online-palvelun avulla voit yhdistää nämä pisteet yhteen paikkaan: toimittajatiedot linkitettynä riskeihin, kontrolleihin ja erityisiin sopimuslausekkeisiin. Tämä tarkoittaa, että kun joku kysyy "Miten hallitsette alihankkijoitanne A.5.21-kohdan mukaisesti?", voit näyttää toimittajat, sopimukset, kontrollit ja tarkastussyklin yhdessä sen sijaan, että vastaisit muistista.

Miten ISO 27001 A.5.20 -standardista voidaan tehdä käytännöllinen MSP-sopimuslausekkeiden kokoelma?

Teet A.5.20:stä käytännöllisen sopimalla lyhyt, ehdoton tarkistuslista turvallisuusaiheista se on aina otettava huomioon, ja sitten on päätettävä, missä kukin aihe yleensä sijaitsee sopimuspaketissasi.

Se muuttaa jokaisen uuden sopimuksen tai uudistuksen harjoitukseksi, jossa sovelletaan kaavaa sen sijaan, että keksitään uusia sanoja määräaikojen paineessa.

Mikä kuuluu MSP:n oletusarvoiseen A.5.20-tarkistuslistaan?

Useimmat MSP:t päätyvät pääluetteloon, joka on seuraavanlainen:

Soveltamisala ja sallittu käyttö: – mitä palveluita, järjestelmiä ja tietoja sopimus kattaa; mitä toinen osapuoli saa ja ei saa tehdä; mahdolliset maantieteelliset tai sääntelyyn liittyvät rajat.
Kulunvalvonta: – miten identiteetit ja tilit luodaan, hyväksytään, tarkistetaan ja poistetaan; etuoikeutettujen käyttöoikeuksien käsittely; MFA-odotukset.
Kirjaus ja valvonta: – lokien vähimmäisvaatimukset, säilytysajat ja se, miten voit hankkia lokeja tutkimuksia tai tarkastuksia varten.
Haavoittuvuuksien ja muutosten hallinta: – odotukset korjauksista ja haavoittuvuuksien julkistamisesta; ennakkoilmoitus olennaisista muutoksista, jotka voivat vaikuttaa tietoturvaan tai saatavuuteen.
Tapahtumanhallinta: – mikä lasketaan tapahtumaksi, ilmoitusten laukaisevat tekijät ja aikataulut, ilmoitusten vaadittu sisältö, eskalointipolut ja yhteiset tutkinnan odotukset.
Liiketoiminnan jatkuvuus ja katastrofien palautuminen: – sovellettavat RTO/RPO:t, varmuuskopiointitiheys ja testaus, vikasietoisuuden odotukset, joissa käytettävyys on todella tärkeää.
Alihankkijat: – milloin muita palveluntarjoajia voidaan käyttää, mitä on ilmoitettava tai hyväksyttävä ja miten niiden on omaksuttava turvallisuus- ja yksityisyysvaatimuksesi.
Tietosuoja ja yksityisyys: – käsittelyohjeet, tietoluokat, sijainnit ja siirrot, tuki rekisteröidyn oikeuksille ja tietomurtoilmoituksille.
Tietojen säilytys, palautus ja poistaminen: – kuinka kauan tietoja säilytetään, mitä tapahtuu poistuttaessa, miten turvallinen poistaminen suoritetaan ja todistetaan.
Varmistus ja valvonta: – mitä todisteita voit tosiasiallisesti pyytää ja joihin voit luottaa (todistukset, raportit, vahvistuskirjeet, vastaukset kohdennettuihin kyselyihin) ja kuinka usein.

Se auttaa saamaan yksinkertaisen kuvan siitä, missä nämä yleensä asuvat:

Aihealue	Tyypillinen sopimusperusteinen koti MSP:lle
Soveltamisala, sallittu käyttö	MSA / SoW
Käyttöoikeus, lokikirjaus, valvonta	Turvallisuusluettelo / tekninen liite
Haavoittuvuus, muutos, tapahtumat	Suojausaikataulu / SLA
Jatkuvuus, DR	Suojausaikataulu / SLA
Alihankkijat, tietosuoja	Tietoturva-aikataulu + DPA
Säilytys, palautus, poistaminen	Turvallisuusaikataulu + poistumismääräykset MSA:ssa
Varmuus ja valvonta	Turvallisuusaikataulu / hallinto-osiot

Kun kyseinen malli on määritetty, voit rakentaa sisäisiä tarkistuslistoja ja tarkastella vaiheita sen ympärille. ISMS.online voi sitten yhdistää jokaisen aiheen asiaankuuluviin toimittajiin, riskeihin ja kontrolleihin, jolloin esimerkiksi tapahtumailmoitusriski ohjaa sinut automaattisesti takaisin asiaankuuluviin lausekkeisiin ja asiaankuuluviin sopimuksiin.

Kuinka MSP voi suunnitella uudelleenkäytettävän A.5.20-sopimuspohjan, joka kestää myös tosielämän neuvotteluja?

Toimiva lähestymistapa on rakentaa modulaarinen sopimusrakenne ja ylläpitää a tagilausekekirjasto joka toimii tietoturvanhallintajärjestelmäsi rinnalla ja jossa on selkeät säännöt siitä, milloin ja miten sanamuotoja voi muuttaa.

Tavoitteena on pystyä selittämään johdonmukaisesti, miksi sopimuksesi näyttävät siltä kuin ne näyttävät ja miten ne tukevat riskinottoasentoasi, jopa vaikeiden neuvottelujen jälkeen.

Miltä modulaarinen A.5.20-perustaso näyttää MSP:ille?

Monet MSP:t käyttävät seuraavanlaista rakennetta:

A pääpalvelusopimus (MSA) yleisten oikeudellisten termien, vastuun, omistajuuden ja korkean tason vastuiden osalta.
Työselvitykset (SoWs): jotka määrittelevät palvelut, palvelun piiriin kuuluvat järjestelmät ja tiedot, sijainnit sekä mahdolliset asiakaskohtaiset vaatimukset tai muunnelmat.
A palvelutasoliite saatavuus-, vaste- ja ratkaisutavoitteiden asettaminen, mukaan lukien se, missä määrin nämä tukevat turvallisuutta (esimerkiksi tapahtumien vasteajat).
Omistettu turvallisuusaikataulu joka yhdistää A.5.19–A.5.21-teemat yhteen paikkaan tulosperusteisella kielellä, joten voit päivittää odotuksia kirjoittamatta koko MSA:ta uudelleen.
Kun henkilötietoja käsitellään, tietojenkäsittelysopimus (DPA) joka viittaa turvallisuusaikatauluun ja on sen mukainen sen sijaan, että se kopioisi tai olisi ristiriidassa sen kanssa.

Tuon rakenteen takana ylläpidät sisäinen lausekekirjasto jossa jokainen lauseke on merkitty tägillä:

Focus-patjan turvallisuusaihe siinä käsitellään (esim. käyttöoikeuksien tarkistukset, tapausten aikajanat, alihankkijoiden tiedonannot).
Focus-patjan ISO 27001 ja siihen liittyvät valvontamekanismit se tukee erityisesti kohtia A.5.19, A.5.20 ja A.5.21.
Yksi tai useampi riskitasot – esimerkiksi vakiopalvelut, tärkeät ja kriittiset palvelut tai asiakkaat.

Tämä antaa sinulle kolme keskeistä vipuvartta:

Sarja vähimmäislähtöasennot jonka alapuolelle harvoin siirrytään (esimerkiksi tapahtumailmoitusten enimmäisviiveet).
Sarja parannetut variantit valmiina riskialttiimpiin tilanteisiin, jotta voit vahvistaa kriittisten palveluiden sopimuksia improvisoimatta.
Sarja poikkeussäännöt, mukaan lukien kuka voi hyväksyä poikkeamat lähtötasosta, mitä korvaavia toimenpiteitä odotat ja milloin näitä päätöksiä tarkastellaan uudelleen.

Jos kyseinen lausekekirjasto ja hyväksyntäpolku sijaitsevat ISMS.online-alustan sisällä ja ovat linkitettynä riskirekisteriisi ja toimittajatietoihisi, voit osoittaa, että A.5.20-perustasoon tehdyt päivitykset johtuvat todellisista muutoksista – uusista uhkista, poikkeamista, sääntelyohjeista – eivätkä ad hoc -rajoituksista.

Neuvotteluissa tämä rakenne tekee keskusteluista myös vähemmän henkilökohtaisia. Sen sijaan, että väiteltäisiin kirjoitustyylistä, sinä ja vastapuolesi voitte valita selkeästi määritellyistä vaihtoehdoista, jotka on sidottu sovittuun riskiprofiiliin, ja voitte dokumentoida tarkasti, miksi vahvempi tai heikompi vaihtoehto valittiin.

Mitkä tietoturvavaatimukset tulisi lähes aina sisältyä MSP-toimittajasopimuksiin kohdan A.5.20 mukaisesti?

Jotkut vaatimukset ovat niin perustavanlaatuisia, että ne kuuluvat siihen melkein jokaista toimittajasopimuksen soveltamisalaan kuuluvia asioita, riippumatta sopimuksen arvosta tai palvelukategoriasta. Nämä ”aina päällä” olevat elementit muodostavat A.5.20-toteutuksesi perustan.

Mikä tyypillisesti kuuluu MSP:n "aina päällä" olevaan A.5.20-kerrokseen?

Useimmat MSP:t pitävät kiinni ytimekkäästä luettelosta, jota muutetaan vain poikkeustapauksissa ja selkeästi perustelluin perustein:

Luottamuksellisuus ja hyväksyttävä käyttö:

Velvollisuudet suojata tietojasi ja asiakastietojasi sekä havainnollistavia esimerkkejä kielletystä toiminnasta, kuten luvaton kopiointi, paljastaminen tai tiedonlouhinta.

Yhdenmukaisuus keskeisten käytäntöjesi kanssa:

Vaatimus noudattaa tietoturvaa, hyväksyttävää käyttöä ja tarvittaessa tietoturvakehitystä koskevia käytäntöjä, jotka julkaiset ja ylläpidät tietoturvanhallintajärjestelmässäsi.

Käyttöoikeuksien ja identiteetin hallinta:

Odotukset vahvan todennuksen käytölle, pienimpien oikeuksien valvomiselle, käyttöoikeuksien tarkistamiselle määritellyllä tahdin mukaisesti ja niiden välittömälle peruuttamiselle, kun niitä ei enää tarvita.

Tapahtumailmoitus ja yhteistyö:

Selkeät kriteerit sille, mitä on raportoitava, alustavien ja jatkoilmoitusten aikataulut, vähimmäissisältö (aikataulu, vaikutus, asianomaiset tiedot, eristämistoimenpiteet) ja miten yhteisiä tutkimuksia ja ulkoista viestintää käsitellään.

Alihankkijoiden läpinäkyvyys:

Velvoite paljastaa olennaiset alihankkijat, ilmoittaa etukäteen merkittävistä muutoksista ja laatia kyseisille osapuolille olennaisesti samankaltaiset turvallisuus- ja yksityisyydensuojaehdot.

Tietosuojaehdot:

Henkilötietojen osalta ehdot, jotka ovat yhdenmukaisia lakisääteisten vastuidesi (esimerkiksi GDPR:n tai CCPA:n nojalla) ja omien tietosuoja- ja säilytyskäytäntöjesi kanssa.

Tietojen palautus ja turvallinen poistaminen:

Ohjeet siitä, miten tiedot palautetaan, siirretään tai poistetaan turvallisesti asiakassuhteen tai palvelun päättyessä, sekä kohtuullinen odotus todisteista siitä, että tiedot on poistettu.

Varmuusmekanismit:

Sovitut tavat seurata tietoturvan tilaa – kuten ISO 27001 -sertifikaatit, SOC 2 -raportit, lyhyet kyselylomakkeet tai viralliset vahvistukset – ja kuinka usein saat niitä.

Hyödyllinen kysymys, joka kannattaa pitää mielessä, on:

Jos tälle toimittajalle sattuisi tänä iltana vakava vaaratilanne, onko meillä tässä sopimuksessa riittävästi resursseja toimia nopeasti, vaatia asianmukaisia korjaavia toimenpiteitä ja selittää valvontamme asiakkaille tai sääntelyviranomaisille?

Jos epäröit, jokin näistä aina läsnä olevista osa-alueista saattaa puuttua tai olla liian heikko. Niiden sisällyttäminen lähtötasoon ja vakiopohjiin vähentää riippuvuutta yksittäisten neuvottelijoiden vaistoista ja antaa auditoijille ja asiakkaille selkeän kuvan tilanteesta.

ISMS.online voi vahvistaa tätä entisestään linkittämällä nämä lähtökohdat toimittajamerkintöihin, riskeihin ja johdon arviointeihin, jotta voit osoittaa, että perustavanlaatuinen taso on olemassa, sitä sovelletaan ja sitä tarkastellaan olosuhteiden muuttuessa.

Kuinka MSP voi pitää A.5.20-sopimuksensa lähtötason linjassa tietoturvan hallintajärjestelmän kanssa ja helposti todennettavissa ajan kuluessa?

Pidät A.5.20:n linjassa käsittelemällä sopimustekstiä osa tietoturvanhallintaasi, nimettyine omistajineen, suunnitelluine tarkastuksineen ja selkeine yhteyksineen toimittajien hallintaan ja riskienhallintaan, eikä erillisenä ajan myötä etenevänä oikeudellisena toimenpiteenä.

Miltä näyttää kestävä A.5.20-hallinto merten alueelliselle suunnitelmalle?

Pienemmissäkin MSP-yrityksissä yksinkertainen hallintomalli tekee suuren eron:

Tietoturva:

Määrittelee tietoturvaodotukset, aina päällä olevat elementit ja ehdottomat positiot selkokielellä, yhdistettynä ISO 27001 -standardin mukaisiin kontrolleihin ja muihin käyttämiisi kehyksiin.

Laki- tai sopimustiimi:

Vastaa varsinaisesta sanamuodosta, neuvoo neuvottelujen aikana ja kirjaa ylös lähtötasojen ylitykset tai höllennykset, mukaan lukien perustelut ja mahdolliset korvaavat suojatoimet.

Toimittajien päälliköt tai palveluiden omistajat:

Seuraa, täyttävätkö toimittajat käytännössä velvoitteensa, kerää näyttöä (sertifikaatteja, raportteja, vastauksia) ja nosta esiin ongelmia, jos odotukset eivät täyty.

Sisäinen tarkastus tai vastaava:

Tee säännöllisesti sopimusnäytteitä, vertaa niitä lähtötilanteeseen, toimittajarekisteriin ja riskitietoihin ja suosittelee parannuksia.

Nämä roolit seuraavat sitten ennustettavaa rytmiä:

Sopimuspohjat ja lausekekirjastot tarkistetaan osana riskienarviointi- ja johdon tarkastelusyklit, joten vaaratilanteet, läheltä piti -tilanteet ja sääntelymuutokset johtavat harkittuihin sanamuotojen päivityksiin.

Keskusrekisteri näyttää mitkä sopimukset käyttävät mitäkin perusversiota, mitkä toimittajat sijoittuvat mihinkin riskiluokkaan ja missä tapauksissa olet hyväksynyt poikkeamia, mukaan lukien tiedot siitä, kuka ne hyväksyi ja miksi.

Lyhyt pelikirjat ja tarkistuslistat auttaa myynti-, hankinta- ja asiakkuustiimejä ymmärtämään, mitkä ehdot ovat pakollisia, missä tapauksissa heillä on joustavuutta ja milloin heidän on otettava mukaan turvallisuus- tai lakiasiantuntijoita.

Hyvin pienessä mittakaavassa voit säilyttää suuren osan tästä yhdessä dokumenttien ja jaettujen kansioiden kanssa. Asiakaskunnan, toimittajaluettelon ja puitekehyksen kattavuuden kasvaessa tästä tulee nopeasti hauras.

ISMS.online-palvelun avulla voit koota toimittajien varastot, sopimusten lähtötasot, kontrollit, riskit, auditoinnit ja johdon tarkastukset yhteen näkymään, joten kun joku kysyy:

"Kuinka varmistatte, että A.5.20-kohtaa sovelletaan johdonmukaisesti kriittisiin toimittajiin?"
"Mihin kirjaatte poikkeukset vakioasennoistanne?"
"Miten sopimusmuutokset heijastuvat riskirekisteriisi?"

voit vastata ajankohtaisilla, linkitetyillä todisteilla tiedostojen tilkkutäkin sijaan.

Tämän tasoinen rakenne viestii asiakkaille, tilintarkastajille ja sääntelyviranomaisille, että hoidat toimittajien ja asiakkaiden turvallisuutta hallittuna toimintatapana. Se osoittaa, että sopimuksesi, tietoturvanhallintajärjestelmäsi ja päivittäinen toimintatapasi ovat linjassa, mikä puolestaan helpottaa sellaisten asiakkaiden voittamista ja säilyttämistä, jotka välittävät eniten kolmannen osapuolen riskeistä.