ISO 27001 MSP:n tärkeimmät kysymykset: Todisteet, laajuus ja liitteen A kontrollit selitettynä

Miksi ISO 27001 -kysymykset MSP:ille ovat nyt tärkeämpiä kuin koskaan?

ISO 27001 -kysymykset hallinnoiduille palveluntarjoajille (MSP) ovat nyt tärkeämpiä kuin koskaan, koska heidän valvontansa muokkaavat suoraan organisaatiosi riskejä ja sääntelyyn liittyvää altistumista. Yritysten tietoturvatiimit, kuten tietoturvajohtajat, tietoturvapäälliköt, toimittajariskien omistajat ja kolmansien osapuolten riskienhallinnan johtajat, ovat nyt riippuvaisia hallittujen palveluntarjoajien tarjoamista kriittisissä toiminnoissa, joten palveluntarjoajan heikko ISO 27001 -yhteensopivuus muuttuu nopeasti ongelmaksi. Tarkempien ISO 27001 -kysymysten esittäminen antaa sinulle mahdollisuuden nähdä, miten valvonta todella toimii päivittäin, ja auttaa sinua todistamaan hallituksille, tarkastusvaliokunnille ja sääntelyviranomaisille, että ulkoistaminen vahvistaa, ei heikennä, tietoturvatilannettasi.

Kun otitte ISO 27001 -standardin käyttöön sisäisesti, keskityitte todennäköisesti omiin konesaleihinne, sovelluksiinne ja tiimeihinne. Nykyään merkittävä osa tästä omaisuudesta voi sijaita MSP:n ympäristössä tai heidän hallinnoimillaan pilvialustoilla. Näihin voi kuulua hallittu tietoturvakeskus, joka analysoi kaikki lokisi, tai hallittu identiteettialusta, joka tukee jokaisen työntekijän kertakirjautumista. Standardi pitää sinut edelleen vastuussa tietoturvariskeistä, vaikka muut organisaatiot käyttäisivät keskeisiä kontrolleja puolestasi. ISO 27001 tekee tämän selväksi vaatimalla sinua määrittelemään organisaatiokontekstisi, arvioimaan tietoturvariskit ja hallitsemaan ulkoistettuja prosesseja sen sijaan, että siirtäisit vastuun kokonaisvaltaisesti toimittajille, kuten ISO 27000 -perheen ydinkatsauksissa, kuten ISO 27000 -sarjan johdannossa, korostetaan. Siksi kysymyksestä "Onko sinulla ISO 27001 -sertifiointi?" on tullut heikoin mahdollinen lähtökohta eikä riittävä vastaus.

Vuoden 2025 tietoturvallisuuden tilaa koskevassa raportissa todetaan, että asiakkaat odottavat yhä useammin toimittajilta virallisten standardien, kuten ISO 27001, ISO 27701, GDPR, Cyber Essentials ja SOC 2, noudattamista yleisten hyvien käytäntöjen sijaan.

Luottamus kasvaa, kun näkee, miten kontrollit toimivat joka päivä, ei vain sertifioinnin yhteydessä.

Sinun on ymmärrettävä, kattaako MSP:n tietoturvallisuuden hallintajärjestelmä (ISMS) todella ne palvelut, joita aiot käyttää, miten he tulkitsevat jaetun vastuun ja miten he todistavat jatkuvan valvonnan toiminnan. Jokaisen näistä teemoista tulisi näkyä kysymyksissä, joita esität jokaiselle palveluntarjoajalle, ja tarinassa, jonka myöhemmin kerrot sisäisesti siitä, miksi tietty MSP on hyväksyttävä. Tämä artikkeli tarjoaa yleistä tietoa näiden keskustelujen tueksi; se ei ole oikeudellista tai sääntelyyn liittyvää neuvontaa, ja sinun tulee aina tehdä yhteistyötä sisäisten hallintoelinten ja pätevien neuvonantajien kanssa lopullisia päätöksiä tehdessäsi.

Miten ulkoistaminen muutti ISO 27001 -riskimaisemaasi

Riskitilanteesi muuttui sillä hetkellä, kun annoit ulkopuolisen toimittajan hallita osia teknologiapinostasi. Et ole ulkoistanut vastuuta; olet ulkoistanut toimintoja, joten ISO 27001 edellyttää edelleen, että säilytät tietoturvan hallinnan hallinnassa.

Suurin osa organisaatioista kertoi, että niihin oli vaikuttanut ainakin yksi kolmannen osapuolen tai toimittajan aiheuttama tietoturvahäiriö viimeisen vuoden aikana.

ISO 27001 edellyttää sinulta:

Ymmärrä sisäiset ja ulkoiset ongelmat, jotka vaikuttavat tietoturvanhallintajärjestelmääsi.
Määrittele kiinnostuneet osapuolet, mukaan lukien MSP:t, ja heidän vaatimuksensa.
Hallitse tietoturvallisuuteen vaikuttavia ulkoistettuja prosesseja.

Kun ydinpalvelut, kuten identiteetti, infrastruktuuri, valvonta tai tapauksiin reagointi, kuuluvat MSP:ille, näistä ulkoistetuista prosesseista tulee keskeisiä riskienhallintasuunnitelmassasi. Jos et pysty kuvailemaan, miten MSP:n kontrollit tukevat omia Annex A -kontrollejasi, voit luoda olennaisen sokean pisteen, joka todennäköisesti huolestuttaa hallitustasi, tilintarkastajiasi, suurimpia asiakkaitasi ja sääntelyviranomaisiasi. Kansallisten kyberturvallisuusvirastojen toimitusketjua koskevat ohjeet, mukaan lukien CISA:n resurssit, korostavat samalla tavoin hallitsemattomia kolmannen osapuolen kontrolleja merkittävänä hallintoriskinä. Käytännön seuraava askel on varmistaa, että jokainen strateginen MSP näkyy nimenomaisesti riskirekisterissäsi ja että siinä on linkit kontrolleihin, joiden toiminnassa luotat niihin.

Hallituksen näkökulmasta kysymykset eivät enää niinkään liity sertifiointiin vaan siihen, toimiiko laajennettu ekosysteemisi yhtenäisen ja hyvin hallitun tietoturvan hallintajärjestelmän tavoin. Siksi MSP-työsi due diligence -tarkastuksen on näytettävä ja tuntuttava sisäisen ISO 27001 -työsi jatkeelta, ei erilliseltä hankintatarkistuslistalta tai kertaluonteiselta turvallisuuskyselylomakkeelta. Jos voit osoittaa, että MSP:n ylläpitämät kontrollit on integroitu riskirekisteriisi, sovellettavuuslausuntoosi (SoA) ja johdon katselmuksiin, ulkoistuspäätösten puolustaminen tarkastelun alla on paljon helpompaa.

Miksi sinulla on sertifikaatti? Se ei riitä.

Sertifikaatti kertoo, että sertifiointilaitos on tiettyinä ajankohtina todennut tietoturvallisuuden hallintajärjestelmän (ISMS) olevan vaatimusten mukainen tietyssä soveltamisalassa. Se ei kerro, mitkä palveluistasi kuuluvat kyseisen soveltamisalan piiriin, miten liitteen A mukaiset kontrollit on toteutettu tai toimivatko kyseiset kontrollit edelleen tehokkaasti.

Se ei myöskään kerro mitään siitä, miten vastuut jakautuvat palveluntarjoajan ja asiakkaan välillä, mikä on monien tapausten ja auditointitulosten ydin. Jos pysähdyt kohtaan Oletko sertifioitu?, et opi juuri mitään siitä, ovatko MSP:n valvontakeinot oikeita riskiprofiilillesi. Vahvat yritystietoturvatiimit käsittelevät sertifikaattia nyt pääsylippuna, eivät vastauksena.

Varsinainen työ alkaa kysymyksillä, kuten:

Miten tietoturvanhallintajärjestelmäsi laajuus vastaa palveluita ja alueita, joita todellisuudessa käytämme?
Näytä meille, miten tämän palvelun ohjausobjektisi vastaavat ISO 27001:2022 -standardin liitettä A.
Mitä jatkuvia todisteita voit jakaa siitä, että nämä kontrollit toimivat edelleen?

Jaettu tietoturvallisuuden hallintajärjestelmä (ISMS), kuten ISMS.online, voi auttaa sinua säilyttämään nämä kysymykset ja vastaukset yhdessä paikassa muuttamalla hajanaiset sähköpostiketjut ja PDF-tiedostot jäsennellyksi, toistettavaksi varmenteeksi, jota on helppo käyttää uudelleen hallituksen, tarkastusvaliokunnan, toimittajariskifoorumin ja sääntelyviranomaisten kanssa. Valitsemistasi työkaluista riippumatta vastausten keskitetty tallentaminen helpottaa huomattavasti johdonmukaisen kolmannen osapuolen varmennustarinan ylläpitämistä ajan kuluessa.

Varaa demo

Mitä ISO 27001:2022 -standardi todella vaatii hallinnoiduilta palveluntarjoajilta?

ISO 27001:2022 -standardi edellyttää, että hallinnoidut palveluntarjoajat käyttävät riskiperusteista tietoturvan hallintajärjestelmää (ISMS), joka kattaa selkeästi tietoihisi vaikuttavat palvelut, sijainnit ja prosessit, ja perustelevat liitteen A mukaiset kontrollivalintansa. Asiakkaan kannalta tämä tarkoittaa kysymyksiä, jotka tarkastelevat laajuutta, riskinarviointia, kontrollien valintaa ja sitä, miten kyseiset kontrollit liittyvät MSP:n sinulle tarjoamiin tiettyihin palveluihin.

Monet palveluntarjoajat puhuvat edelleen ISO 27001 -standardista ikään kuin se olisi pelkkä kontrollien kirjasto. Todellisuudessa standardi määrittelee täydellisen johtamisjärjestelmän, jonka on ymmärrettävä organisaation konteksti, arvioitava riskejä, suunniteltava käsittelyä, käytettävä kontrolleja, seurattava suorituskykyä ja parannettava ajan myötä. Vuoden 2022 tarkistus terävöitti tätä kuvaa, modernisoi liitettä A ja korosti aiheita, kuten uhkatietojen keräämistä, tietovuotojen estämistä ja pilvipalveluihin liittyviä riskejä, jotka nyt esiintyvät usein yritysten due diligence -keskusteluissa. ISO/IEC 27001:2022 -standardin viralliset kuvaukset, mukaan lukien standardin yleiskatsaus ISO:n verkkosivustolla, korostavat näitä rakenteellisia päivityksiä ja lisäpainotusta nykyaikaisiin uhka- ja pilviskenaarioihin.

Visuaalinen: yksinkertainen kartta, joka linkittää ISO 27001 -lausekkeet MSP-palveluihin, jotka vaikuttavat tietoihisi.

ISO 27001:2022 -standardin elementit, jotka koskettavat eniten MSP:itä

Kun työskentelet MSP:iden kanssa, useat ISO 27001:2022 -standardin osat ovat erityisen merkityksellisiä, ja niiden tulisi näkyä siinä, miten ne vastaavat kysymyksiisi.

Kohdat 4–6 (konteksti, johtajuus, suunnittelu): – Hallintosuunnitelman (MSP) tulisi määritellä tietoturvallisuuden hallintajärjestelmän (ISMS) laajuus, joka selkeästi kattaa hallittujen palveluiden toimittamiseen käytettävät palvelut, datakeskukset ja tukijärjestelmät. Suunnitelman tulisi myös osoittaa, että tietoturvasta vastaa johto, ei pelkästään operatiivinen henkilöstö.

Kohdat 6–8 (riskien arviointi ja käsittely): – Sertifioidun MSP:n tulisi selittää, miten asiakastietoihin, palvelun saatavuuteen ja sääntelyvelvoitteisiin liittyvät riskit tunnistetaan, arvioidaan ja käsitellään. Heidän riskirekisteriensä ja hoitosuunnitelmiensa tulisi selkeästi ohjata kontrollien valintaa juuri sinun palvelutyypillesi.

Liitteen A tarkastukset (93 tarkastusta neljässä teemassa): – vuoden 2022 painoksessa liite A sisältää 93 valvontaa ryhmiteltynä organisaatioon, ihmisiin, fyysiseen ja teknologiseen teemat, kuten standardointielinten julkisissa ISO/IEC 27001:2022 -standardin tiivistelmissä ja yleiskatsauksissa, kuten BSI ISO 27001 -tietoturvasivulla ja ISO/IEC 27001 -artikkelissa, on kuvattu. Hallittujen palveluiden tarjoajina (MSP) tärkeänä pidetään pääsynvalvontaa, lokitietoja ja valvontaa, toiminnan turvallisuutta, toimittajasuhteita ja liiketoiminnan jatkuvuutta, ja he haluavat tietää, mitkä näistä toteutetaan ostamissaan palveluissa.

Ilmoitus soveltuvuudesta (SoA): – SoA:ssa kirjataan, mitkä liitteen A mukaiset kontrollit ovat sovellettavissa, miten ne on toteutettu ja miksi jotkin on jätetty pois. Sinulle se on ensisijainen kartta MSP:n kontrolliympäristön ymmärtämiseen ja epätavallisten poissulkemisten havaitsemiseen palvelutyypillesi.

Vahvemmat tarjoajat voivat puhua näistä osa-alueista konkreettisesti käyttäen todellisia prosesseja ja esineitä. Heikommat tarjoajat pyrkivät pysymään iskulauseiden, kuten "parhaiden käytäntöjen mukaisia", tasolla yhdistämättä näitä väitteitä tiettyihin lausekkeisiin, kontrolleihin tai palveluihin. Kuunnellessasi kysy itseltäsi, voisitko kertoa heidän selityksensä uudelleen omalle johtoryhmällesi selkeällä, ei-teknisellä kielellä.

Mitä tämä tarkoittaa due diligence -kysymyksiisi

Kun käännät standardin kysymyksiksi hallinnoitujen palveluiden tarjoajille (MSP), pyydät heitä pohjimmiltaan käymään läpi tietoturvajärjestelmänsä (ISMS) palvelusi mielessä pitäen. Käytännössä tämä tarkoittaa yleisten kyllä/ei-vastausten menemistä pidemmälle ja sitä, että pyydät heitä kuvailemaan, miten heidän johtamisjärjestelmänsä toimii.

Hyödyllisiä kysymyksiä ovat:

Laajuus: ”Kuvaile tietoturvallisuuden hallintajärjestelmän laajuus ja vahvista, miten se kattaa ne erityispalvelut, ympäristöt ja alueet, joita käytät meille.”
Riski: ”Miten asiakaskohtaiset riskit vaikuttavat riskirekisteriisi ja hoitosuunnitelmiisi?”
Kontrollit: ”Mitkä liitteen A kontrollit on otettu käyttöön palvelussamme, ja missä vaiheessa olette vielä kehitystyötä?”
Toiminta: ”Kuinka valvot valvonnan tehokkuutta ja reagoit, kun jokin ei toimi tarkoitetulla tavalla?”

Siirtymäaikataulu vuosille 2013–2022 on toinen hyödyllinen näkökulma. Jos MSP on edelleen sertifioitu vanhemman version mukaisesti, kysy heidän siirtymäsuunnitelmaansa, välitavoitteitaan ja mitä muutoksia he odottavat kontrollien kattavuuteen. ISO/IEC 27001:2022 -standardin siirtymäoppaissa, mukaan lukien OneTrustin kaltaisten palveluntarjoajien käytännön blogit, suositellaan yleisesti dokumentoitujen siirtymäsuunnitelmien ja selvitysten pyytämistä siitä, miten tarkistetut kontrollit vaikuttavat palveluihin, sen sijaan, että oletettaisiin uusien vaatimusten jo kattavan.

Vahvat MSP:t esittävät tyypillisesti selkeän, aikasidonnaisen suunnitelman, jossa on vastuullisuus ja viestintäkohdat. Heikot MSP:t vastaavat usein epämääräisesti tai sanovat "työstävänsä asiaa" ilman konkreettisia askeleita.

Käytännössä seuraava askel on tallentaa vastaukset vakiomalliin ja linkittää ne omaan riskirekisteriisi ja toimittajan vastuullisuuslausuntoon. Tällä tavoin voit tarkastella niitä johdon tarkasteluissa ja toimittajariskifoorumeissa sen sijaan, että käsittelisit niitä kertaluonteisina hankinnan jälkeen arkistoituina asiakirjoina.

ISMS.online antaa sinulle 81 %:n etumatkan heti sisäänkirjautumisestasi lähtien.

ISO 27001 helposti

Olemme tehneet kovan työn puolestasi ja antavat sinulle 81 % etumatkan kirjautuessasi sisään. Sinun tarvitsee vain täyttää tyhjät kohdat.

Aloita

Miten siirrytään yleisistä ohjaimista palvelukohtaisiin liitteen A mukaisiin määrityksiin?

Siirrytään yleisistä varmistuksista palvelukohtaisiin varmistuksiin vaatimalla selkeää kartoitusta, joka osoittaa kunkin asiaankuuluvan liitteen A mukaisen valvonnan osalta, kuka on vastuussa, miten se toteutetaan ja mitkä todisteet tukevat sitä kyseisen ostamasi palvelun osalta. Tämä kartoitus muuttaa ISO 27001 -standardin abstraktista varmuudesta konkreettiseksi, auditoitavaksi näkemykseksi siitä, miten riskejä käsitellään MSP-ympäristössä.

Useimmat palveluntarjoajat osaavat puhua yleisesti "vahvasta pääsynvalvonnasta" tai "turvallisesta toiminnasta". Harvemmat pystyvät osoittamaan tietyn hallitun palvelun osalta tarkalleen, miten nämä lausunnot liittyvät nimettyihin liitteen A mukaisiin kontrolleihin, dokumentoituihin menettelytapoihin ja todelliseen valvontaan. Tähän kysymystesi tulisi keskittyä, jos haluat materiaalia, jota voit käyttää uudelleen tilintarkastajien, hankintaosaston ja sisäisten sidosryhmien kanssa.

Miltä hyvä palvelukohtainen ohjauskartta näyttää

Vahva kartoitusasiakirja yksittäiselle hallitulle palvelulle sisältää yleensä selkeän kuvauksen palvelusta, kyseisen palvelun kannalta merkityksellisistä liitteen A mukaisista kontrollimekanismeista sekä siitä, miten kukin kontrollimekanismeista on vastuussa ja miten ne on todistettu. Painopiste on spesifisyydessä eikä iskulauseissa.

Vahva kartoitusdokumentti sisältää yleensä seuraavat:

Selkeä palvelukuvaus ja sen kuvaus siitä, miten se sopii MSP:n tietoturvan hallintajärjestelmän piiriin.
Luettelo asiaankuuluvista liitteen A mukaisista valvontatoimista, jotka on suodatettu vain niihin, joilla on aidosti merkitystä kyseiselle palvelulle.
Jokaiselle ohjausobjektille:
Onko se palveluntarjoajan omistama, asiakkaan omistamatai yhteinen.
Lyhyt kuvaus siitä, miten ohjaus toteutetaan.
Viitteitä todisteisiin, kuten käytäntöihin, menettelytapoihin, lokeihin, tiketteihin ja raportteihin.

Yksinkertaistettu esimerkki voisi näyttää tältä:

Ohjausteema	Vahva vastaus MSP:ltä	Punainen lippu -vastaus
Kulunvalvonta	”Käytämme tässä palvelussa roolipohjaista käyttöoikeutta, johon kuuluu hyväksyntöjä, säännöllisiä tarkistuksia ja keskitetty lokikirjaus. Sinä hallinnoit käyttäjäroolejasi; me hallinnoimme alustan käyttöoikeuksia.”	"Pääsyä rajoitetaan tarpeen mukaan; tiedot ovat sisäisiä."
Kirjaaminen ja seuranta	"Kaikki ympäristössäsi tehtävät järjestelmänvalvojan toimenpiteet kirjataan lokiin, säilytetään määritetyn ajan ja operatiivinen tiimimme tarkistaa ne selkeiden eskalointisääntöjen mukaisesti."	"Meillä on lokit, mutta tarkistamme ne vain, jos jokin menee pieleen."
Liiketoiminnan jatkuvuus	”Tähän palveluun sovelletaan toipumismenettelyjä, joita testataan sovituin väliajoin ja joilla on määritelty toipumisaika ja -pistetavoitteet.”	”Datakeskuksen toimittajamme takaa käyttöajan; me luotamme heihin.”
Tapahtumien havaitseminen ja reagointi	”Meillä on palvelusi valvontajärjestelmä, joka valvoo palveluasi ja käyttää toimintasuunnitelmia, vakavuusperusteisia palvelutasosopimuksia ja yhteisiä tapaustarkasteluja tapahtumille, jotka vaikuttavat dataasi.”	"Ilmoitamme, jos näemme jotain epätavallista."

Useita MSP-palveluita tarkastavat tietoturvatiimit havaitsevat usein samoja kaavoja: vahvemmat tarjoajat antavat vasemmassa sarakkeessa olevien kaltaisia vastauksia, joissa on mainittu omistajuus, erityiset mekanismit ja aikarajoitettu testaus. Heikommat tarjoajat ryhmittyvät oikeaan sarakkeeseen epämääräisine vakuutuksineen, liiallisena alihankkijoihin luottaen ja vain vähän todisteita siitä, että kukaan testaisi palautumista tai reagointia. Kun sinulla on muutamia esimerkkejä, on paljon helpompi selittää sisäisille sidosryhmillesi, miltä "hyvä" näyttää.

Palvelukohtaisten määritysten pyytäminen ja käyttäminen

Tarjouspyynnöissä tai due diligence -puheluissa voit kääntää tämän eksplisiittisiksi pyynnöiksi, kuten:

”Tätä hallittua palvelua varten toimita kontrollimatriisi, joka kuvaa kontrollisi ISO 27001:2022 -standardin liitteen A mukaisesti, ja joka sisältää vastuut ja todisteet kullekin kontrollille.”
"Jos ohjausobjekti on jaettu, kuvaile, mitä teet ja mitä odotat meidän tekevän, mukaan lukien mahdolliset kokoonpano- tai prosessivaatimukset meidän puolellamme."
"Selitä, miten pidät tämän määrityksen ajan tasalla, kun muutat palvelua tai kun ISO 27001 -standardia päivitetään."

Kun olet saanut kartoituksen, käsittele sitä työasiakirjana äläkä yhtenä staattisena liitteenä. Tietoturva-arkkitehtisi voivat yhdenmukaistaa sen oman valvontakehyksesi kanssa ja tunnistaa aukot. GRC- ja toimittajariskitiimisi voivat viitata siihen riskirekistereissä, SoA-merkinnöissä ja toimittajariskiraporteissa. Toiminto- ja palveluomistajatiimisi näkevät tarkalleen, mitä heidän on konfiguroitava tai valvottava pitääkseen yllä jaettuja valvontatoimia sinun puolellasi.

Ajan myötä voit standardoida näiden vastaavuuksien rakenteen kaikissa hallinnoiduissa palveluntarjoajissa (MSP). Tässä vaiheessa jaetun tietoturva-alustan, kuten ISMS.onlinen, käyttö on arvokasta, koska sen avulla voit tallentaa, vertailla ja ylläpitää näitä matriiseja keskitetysti sen sijaan, että jonglööraisit niitä erillisissä laskentataulukoissa tai sähköpostiarkistoissa. Vaikka aloittaisit yksinkertaisista asiakirjoista, yhteisestä muodosta sopiminen on käytännöllinen ensimmäinen askel.

Miten MSP:n ISO 27001 -sertifikaattia ja SoA:ta tulisi lukea skeptisesti?

Sinun tulisi käsitellä MSP:n ISO 27001 -sertifikaattia ja sovellettavuuslausuntoa lähtökohtina, jotka pohjaavat lisäkysymyksiä laajuudesta, kontrolleista ja kypsyydestä. Skeptisessä tulkinnassa tarkastellaan, mikä on sertifikaatin soveltamisalan sisällä, mikä sen ulkopuolella ja miten se on linjassa sinulle tärkeiden palveluiden, sijaintien ja alihankkijoiden kanssa sen sijaan, että oletettaisiin, että sertifikaatti kattaa kaiken tarvitsemasi.

Lähes kaikki vastaajat mainitsivat turvallisuussertifikaattien, kuten ISO 27001- tai SOC 2 -standardin, hankkimisen tai ylläpitämisen tärkeimpänä prioriteettina tulevalle vuodelle.

Ensi silmäyksellä vaikuttavalta vaikuttava sertifikaatti voi kätkeä alleen tärkeitä aukkoja, ja sertifiointi- ja auditointielimet muistuttavat organisaatioita säännöllisesti siitä, että sertifikaatti on vain varmennuslausunto määritellyn laajuuden ja ajanjakson yli, ei kaikenkattava turvallisuustakuu. Esimerkiksi TÜV:n kaltaisten tarjoajien ISO 27001 -sertifiointikatsaukset korostavat laajuuden ja rajoitusten ymmärtämisen tärkeyttä. Näiden asiakirjojen lukeminen tilintarkastajan tai sääntelyviranomaisen tavoin helpottaa tällaisten ongelmien havaitsemista varhaisessa vaiheessa.

Laajuus- ja tarkastuslausunnon lukeminen tilintarkastajan tavoin

Kun tarkastelet todistusta ja siihen liittyviä asiakirjoja, keskity muutamaan keskeiseen osa-alueeseen, jotka osoittavat, vastaavatko paperityöt ostamiesi palveluiden todellisuutta.

Kiinnitä erityistä huomiota seuraaviin:

Soveltamisalalausunto: – mainitaanko siinä nimenomaisesti, minkä tyyppisiä palveluita aiot käyttää (esimerkiksi ”hallittu tietoturvakeskus” tai ”hallittu pilvipalvelu”) ja mistä sijainneista niitä tarjotaan?

Sijainnit, oikeushenkilöt ja alihankkijat: – onko lueteltu datakeskukset, tukikeskukset, konserniyhtiöt ja nimetyt alihankkijat, jotka käsittelevät tietojasi, vai puuttuuko luettelosta kriittisiä tai niihin viitataan vain epäsuorasti?

SoA:n kattavuus ja poikkeukset: – mitkä liitteen A mukaiset kontrollit on merkitty sovellettaviksi, mitkä on suljettu pois ja miksi? Ovatko mitkään poikkeukset yllättäviä tällaiselle palveluntarjoajalle, kuten varmuuskopioinnin, lokitietojen, liiketoiminnan jatkuvuuden tai toimittajien kontrollien poissulkeminen?

Auditointisykli ja havainnot: – milloin viimeisin sertifiointi- tai valvontatarkastus tehtiin, ja onko tiedossa olevia puutteellisuuksia, joita ollaan käsittelemässä ja jotka saattavat vaikuttaa saamiini palveluihin?

Kokeneet yritystiimit voivat löytää palveluita, joita toimitetaan laajuusluettelon ulkopuolella olevista toimipisteistä, ISMS:n kattamattomista alihankkijoista tai datakeskuksista, tai liitteen A mukaisia "ei sovellettaviksi" merkittyjä kontrolleja, joita he pitävät olennaisina. Kolmannen osapuolen riskinarvioinnit ja konsultointinäkemykset, mukaan lukien Deloitten kaltaisten yritysten kyberriskiraportit, kuvaavat laajuusaukkoja ja yllättäviä poissulkemisia yleisinä havaintoina toimittajien sertifiointeja tarkasteltaessa. Tiimit, jotka ovat käyneet läpi useita ulkoisia auditointeja, huomaavat usein kaavan: vahvat palveluntarjoajat voivat käydä läpi laajuuden ja soveltuvuusarvioinnin luottavaisin mielin, selittää poissulkemiset selkeällä kielellä ja tunnistaa parannusalueet. Heikot palveluntarjoajat kamppailevat asiakirjojen yhdistämisen todellisiin palveluihin ja joskus suhtautuvat poissulkemisiin liittyviin kysymyksiin vihamielisinä. Käytännön seurantana voit tiivistää tärkeimmät havaintosi ja tallentaa ne sertifikaatin rinnalle toimittajan riskitiedostoon.

Kysymyksiä, jotka paljastavat todistuksen rajoitukset

Tämän skeptisen näkökulman avulla voit esittää kysymyksiä, jotka muuttavat staattiset dokumentit rikkaammaksi keskusteluksi pelkän sertifikaatin sijaan. Tavoitteena on ymmärtää, missä määrin dokumentoitu laajuus ja kontrollit todella tukevat käyttötapauksiasi.

Tällaiset kysymykset ovat hyödyllisiä:

"Mitkä suunnittelemistamme palveluista kuuluvat kokonaan tietoturvallisuuden hallintajärjestelmän piiriin ja mitkä osittain tai eivät vielä?"
"Kerro meille tämän palvelun perustana olevat keskeiset liitteen A mukaiset säätimet ja selitä kaikki meihin mahdollisesti vaikuttavat poikkeukset."
"Miten päätätte, milloin uusi palvelu, ominaisuus, alihankkija tai sijainti otetaan mukaan, ja miten ilmoitatte asiakkaille, kun näin tapahtuu?"
"Mitkä viimeisimmät sisäiset ja ulkoiset auditointinne toivat esiin parannuskohteita, joilla voisi olla vaikutusta meihin?"

Nämä kysymykset muistuttavat palveluntarjoajaa siitä, että ymmärrät ISO 27001 -standardin elävänä järjestelmänä, etkä markkinointileimana. Ne myös luovat pohjan myöhemmille keskusteluille riskien, tapaustenhallinnan, jatkuvuuden ja sääntelyilmoitusten jaetuista vastuista, joissa laajuuden selkeys on entistä tärkeämpää omien toimintaperiaatteidesi ja riskienhallintasuunnitelmiesi kannalta. Vastausten dokumentointi sisäisiin hallintotyökaluihisi helpottaa johtopäätösten perusteiden osoittamista hallituksille ja sääntelyviranomaisille.

Ota käyttöön, laajenna ja skaalaa vaatimustenmukaisuus ilman sotkua. Io antaa sinulle joustavuutta ja luottamusta kasvaa turvallisesti.

Varaa esittelysi

Miten vedät rajan riskien, häiriöiden ja jatkuvuuden jaetun vastuun välille?

Voit rajata jaetun vastuun muuttamalla ISO 27001 -standardin mukaiset korkean tason roolit ja vastuut konkreettisiksi, kirjallisiksi sopimuksiksi, joissa määritellään kunkin merkittävän riskialueen osalta, mitä MSP tekee, mitä sinun on tehtävä ja miten molemmat osapuolet koordinoivat toimintaansa. Ilman tätä selkeyden tasoa jopa sertifioitu palveluntarjoaja voi jättää sinut epämukavan alttiiksi vaaratilanteiden tai häiriöiden aikana.

ISO 27001 -standardi edellyttää, että tietoturvallisuuteen liittyvät roolit, vastuut ja valtuudet määritellään ja viestitään. ISO/IEC 27001 -standardin kohta 5.3 edellyttää nimenomaisesti tietoturvaroolien, -vastuiden ja -valtuuksien määrittelemistä ja viestimistä, kuten keskeisissä standardikommentaareissa, kuten ISO 27000 -sarjan johdannossa, korostetaan. Hallitun palveluntarjoajan (MSP) suhteen tämä odotus ulottuu sopimuksiin, palvelukuvauksiin ja toimintaohjeisiin, joiden tulisi kestää auditoinnit ja viranomaistarkastukset, jos jokin menee pieleen.

Selkeät rajat estävät vastuunkantoa koskevat väittelyt paineen ollessa suurin.

Riskienhallinnan vastuiden selkeyttäminen

Riskienhallinnan vastuiden selkeyttäminen alkaa ymmärtämällä, miten omat riskisi näkyvät MSP:n suunnittelussa ja miten heidän riskinsä näkyvät sinun suunnitelmassasi. Monet myöhemmin syntyvät ongelmat johtuvat siitä, että kumpikaan osapuoli ei ole kirjoittanut tätä muistiin.

Hyödyllisiä vaiheita ja kysymyksiä ovat:

Kysy MSP:ltä, miten palveluihisi ja tietoihisi liittyvät riskit pääsevät heidän riskirekisteriinsä ja hoitosuunnitelmiinsa.
Selvennä, odottavatko he sinun suorittavan erityisiä riskinarviointeja vai toimittavanko heille riskitietoja heidän omaa suunnitteluaan varten, mukaan lukien tietosuojan vaikutustenarvioinnit, joihin liittyy yksityisyyden suojaa.
Varmista, että omaan riskirekisteriisi kirjataan MSP:n käyttö ja niihin perustuvat kontrollit.

Hyviin jaetun vastuun malleihin sisältyy usein RACI-matriisi (vastuullinen, tilivelvollinen, konsultoitu, informoitu) keskeisille toimille, kuten:

Käyttöoikeuksien tarjoaminen ja säännölliset tarkastukset.
Jaettujen alustojen konfigurointi ja muutostenhallinta.
Korjauspäivitysten ja haavoittuvuuksien hallinta infrastruktuurissa ja sovelluksissa.
Seuranta, hälytysten käsittely ja eskalointi.

Operatiivisia ja tietoturvallisia parhaita käytäntöjä koskevat resurssit, mukaan lukien SANS-instituutin raporttien RACI-ohjeet, suosittelevat usein tämäntyyppistä matriisia aukkojen ja päällekkäisyyksien välttämiseksi vastuuvelvollisuudessa. Käytännössä korjauspäivitysten hallinnan RACI voi todeta, että MSP on vastuullinen käyttöjärjestelmän ja alustan korjaamiseen; olet vastuussa huoltojaksojen hyväksymistä ja omien sovellustesi korjaamista varten; tietoturvatiimisi on Kuulemisen kohteena korkean riskin muutoksista; ja palvelujesi omistajat ovat tietoa tulevista korjauspäivitysjaksoista. Kun olette sopineet jaosta, voitte ottaa sen huomioon riskirekisterissänne ja soveltuvuuslausekkeessanne, jotta tilintarkastajat saavat johdonmukaisen kuvan.

Kysymystesi tulisi pyrkiä paljastamaan nämä mallit ja testaamaan, ymmärretäänkö ne molemmin puolin. Jos tiimisi ja MSP:n tiimit antaisivat erilaisia vastauksia siitä, kuka on vastuussa tehtävästä, sinulla on työtä tehtävänä ennen kuin voit kertoa hallituksellesi, että riskit ovat hallinnassa.

Tapahtumaan reagoinnin ja jatkuvuuden erottaminen käytännössä

Riskienhallinta muuttuu todelliseksi, kun jokin menee pieleen, joten tarvitset samanlaista selkeyttä tapahtumien reagointiin ja jatkuvuuteen. Tässä vaiheessa haet tarkkoja luovutuksia, aikatauluja ja oletuksia korkeiden lupausten sijaan.

Kaksi kriittistä aluetta ovat:

Tapahtumavastaus: – kuka valvoo tapahtumia, kuka käsittelee hälytyksiä, missä olosuhteissa MSP ottaa sinuun yhteyttä, mitä kanavia pitkin ja kuka on vastuussa rikostutkinnasta, todisteiden säilyttämisestä, asiakas- ja viranomaisilmoituksista sekä tapahtuman jälkeisistä tarkastuksista.

Liiketoiminnan jatkuvuus ja katastrofien palautuminen: – mihin palautumisaika- ja palautumispistetavoitteisiin MSP sitoutuu palvelulle, miten nämä ovat linjassa liiketoimintavaikutusanalyysisi kanssa ja mitä oletuksia MSP tekee omista jatkuvuusjärjestelyistäsi, kuten vaihtoehtoisista käyttöreiteistä tai manuaalisista kiertoteistä.

Kysymyksesi saattavat kuulostaa tältä:

"Kuvaile kokonaisvaltainen prosessi hallittuun palveluumme vaikuttavan tapahtuman käsittelyyn havaitsemisesta sen ratkaisemiseen ja näytä, mistä vastuumme alkavat."
"Mitkä tämän palvelun käyttökatko- ja tietojen menetysskenaariot kuuluvat jatkuvuus- ja palautussuunnitelmienne piiriin, ja missä skenaarioissa odotatte meidän hoitavan itse?"
"Kuinka usein testaatte yhteisiä tapahtuma- ja jatkuvuusprosesseja kaltaistemme asiakkaiden kanssa, ja miten voimme osallistua?"

Vastaukset ovat osa omaa tapaturmatilanteisiin reagointia ja liiketoiminnan jatkuvuussuunnittelua, ja ne tarjoavat lohtua sidosryhmille, kuten tarkastusvaliokunnalle, tietosuojavastaavalle ja sääntelyviranomaiselle, jos he tarkastelevat järjestelyjäsi. Ne myös hyödyntävät myöhemmin pyytämääsi todistusaineistoa: testiraportteja, tapaturman jälkeisiä arviointeja ja molempien osapuolten ajan myötä toteuttamia parannuksia. Sovittujen jakojen dokumentointi tapauskohtaisissa runbookeissa ja jatkuvuussuunnitelmissa on käytännöllinen tapa muuttaa nämä keskustelut auditoitavaksi todellisuudeksi.

Miten MSP voi osoittaa jatkuvan ISO 27001 -standardin noudattamisen, eikä vain kertaluonteisen sertifioinnin?

Hallitun tukipalvelun tarjoaja voi osoittaa jatkuvan ISO 27001 -standardin noudattamisen jakamalla jäsenneltyä näyttöä, joka osoittaa sen tietoturvan hallintajärjestelmän ja kontrollien toimivan ja kehittyvän ympäri vuoden, ei pelkästään sertifiointihetkellä. Tämä näyttö kattaa sisäiset ja ulkoiset auditoinnit, tekniset testit, haavoittuvuuksien hallintatoimet, toimittajien arvioinnit, koulutustulokset ja mittarit, joilla seurataan ongelmien löytämistä ja ratkaisemista.

Pelkkä sertifikaatti on ajankohtainen arvio: varmennusohjeissa sertifioinnit kuvataan lausunnoiksi, jotka perustuvat auditointipäivänä saatavilla olevaan näyttöön, eivätkä tulevan suorituskyvyn takeiksi. Tätä eroa korostetaan auditointiin keskittyvissä resursseissa, kuten Audit Analyticsissa. Jatkuva näyttö osoittaa käyttäytymismallin, joka vakuuttaa hallituksellesi, tilintarkastajillesi, tietosuojavaltuutetuille ja toimittajariskifoorumeille, että MSP:n tietoturvatilannetta hallitaan aktiivisesti eikä sen anneta ajautua pois tolaltaan. Kysymystesi tulisi siksi keskittyä siihen, miten he suunnittelevat, testaavat ja parantavat tietoturvaa jatkuvasti, sen sijaan, että keskityttäisiin vain siihen, mitä sertifikaatissa näkyy.

Noin kaksi kolmasosaa organisaatioista vuonna 2025 tehdyssä ISMS.online-kyselyssä sanoi, että sääntelymuutosten nopeus ja määrä vaikeuttavat vaatimustenmukaisuuden ylläpitämistä.

Todisteet, jotka osoittavat elävän tieto- ja viestintätekniikan

Kun pyydät todistuksen lisäksi muita todisteita, pyydät itse asiassa palveluntarjoajaa osoittamaan, että heidän suunnittele-tee-tarkista-toimintasyklinsä toimii käytännössä palveluidesi kohdalla. Et tarvitse kaikkia yksityiskohtia, mutta riittävästi nähdäksesi, että tarkastukset, löydökset ja parannukset ovat todellisia.

Hyödyllisiä todisteita ovat muun muassa:

Sisäisen tarkastuksen raportit tai yhteenvedot: – nämä osoittavat, että MSP arvioi säännöllisesti omaa tietoturvan hallintajärjestelmäänsä, löytää poikkeamia ja toteuttaa korjaavia toimenpiteitä sen sijaan, että odottaisi ulkoisten auditointien löytävän ongelmia.

Valvonnan ja uudelleensertifioinnin tulokset: – Ulkoisten auditointien yleisen tason tulokset osoittavat, että riippumaton elin testaa myös vaatimustenmukaisuutta suurten sertifiointitapahtumien välillä ja sitä, saatetaanko parannustoimet päätökseen aikataulussa.

Tunkeutumistestaus ja haavoittuvuusarvioinnit: – Asianmukaisesti puhdistetut raportit voivat näyttää, mitä testattiin, mitä ongelmia löydettiin, miten ne luokiteltiin ja kuinka nopeasti ne korjattiin palveluihisi liittyvissä järjestelmissä.

Haavoittuvuuksien hallinnan mittarit: – korjauspäivitysten käyttöönoton trendit, vakavien ongelmien keskimääräinen korjaamisaika ja jäljellä olevien haavoittuvuuksien määrä alustoilla, jotka käsittelevät tietojasi.

Toimittajien ja alihankkijoiden arvioinnit: – näyttö siitä, että MSP hallitsee kolmansien osapuolten riskejä tavalla, joka tukee ISO 27001- ja NIS 2 -odotuksiasi sen sijaan, että sokeasti luottaisi ylävirran toimittajiin.

Koulutus- ja tiedotustiedot: – tietoja hallittujen palveluiden toimittamiseen osallistuvan henkilöstön tietoturvakoulutuksen, tietojenkalasteluharjoitusten ja roolikohtaisten tiedotustoimien suoritusasteista.

Sertifiointielimet ja varmennuspalvelujen tarjoajat, jotka kuvaavat ISO 27001 -ohjelmia, kuten TÜV:n yleiskatsaus, viittaavat yleisesti tällaisiin aineistoihin tyypillisinä osina tehokasta tietoturvallisuuden hallintajärjestelmää. Monissa tapauksissa näet yhteenvetoja, trendejä ja esimerkkiaineistoja täydellisten, luottamuksellisten raporttien sijaan, mikä on yleensä kohtuullista. Olennaista on, että näet säännöllisiä tarkastuksia, selkeitä havaintoja ja seurantaa, jotka liittyvät suoraan palveluihisi. Käytännöllinen vaihe on määritellä, minkä tyyppisiä todisteita odotat kullekin strategiselle hallintosuunnitelmalle (MSP), ja kirjata vuosittaisten tarkastusten aikana saamasi tiedot.

Mittarit ja kysymykset, jotka tekevät "jatkuvasta" totta

Jotta sanasta "jatkuva" tulisi enemmän kuin pelkkä muotisana, voit pyytää ja seurata tiettyjä mittareita ajan kuluessa, jotka vaikuttavat suoraan riskikuvaasi. Tämä myös helpottaa sisäisten sidosryhmien informointia ilman, että heitä kuormitetaan raakadatalla.

Hyödyllisiä mittareita ovat:

Palveluitasi tukevien järjestelmien sisäisissä auditoinneissa ja teknisissä testeissä tehtyjen avointen ja suljettujen löydösten määrä ja vakavuus.
Keskimääräinen aika kriittisten haavoittuvuuksien korjaamiseen kyseisissä järjestelmissä verrattuna sovittuihin tavoitteisiin.
Palveluihisi vaikuttavien jatkuvuus- tai palautumistestien tiheys ja laajuus sekä tavoitteiden saavuttaminen.
Koulutuksen suorittamisasteet henkilöstölle, jolla on etuoikeutettu pääsy ympäristöihisi tai asiakastietoihisi.
Hallittuihin palveluihin vaikuttaneiden häiriöiden lukumäärä, vaikutus ja perimmäiset syyt viimeisen vuoden aikana.

Kysymyksiisi saattaa kuulua:

"Kuinka usein suoritatte sisäisiä tietoturvallisuuden hallintajärjestelmien auditointeja, ja milloin viimeisin auditointi kattoi palveluissamme käytettävät järjestelmät?"
"Mitä palvelutasotavoitteita asetatte vakavien haavoittuvuuksien ratkaisemiseksi, ja kuinka hyvin olette saavuttaneet ne viimeisen kahdentoista kuukauden aikana?"
"Kuinka jaatte kokemuksia, joita on saatu riskitilanteisiin tai testeihin vaikuttavista häiriöistä tai testeistä, mukaan lukien niistä seuranneet viranomais- tai asiakasilmoitukset?"

Vahvemmat MSP:t pystyvät osoittamaan selkeitä mittareita, ajan kuluessa kehittyneitä trendejä ja esimerkkejä siitä, miten nämä mittarit ovat johtaneet parannuksiin. Tämä malli on toistunut myös konsulttiyritysten, kuten KPMG:n, kolmansien osapuolten riski- ja kyberturvallisuustutkimuksissa. Heikommat MSP:t vastaavat usein staattisilla lausunnoilla, kuten "korjaamme ongelmat viipymättä", ilman todisteita niille. Kun ymmärrät käyttäytymismallin ajan kuluessa, voit standardoida tapaa, jolla pyydät, tallennat ja vertailet näitä vastauksia eri palveluntarjoajien välillä sen sijaan, että käsittelisit jokaista toimeksiantoa kertaluonteisena tehtävänä.

ISMS.online tukee yli 100 standardia ja sääntöä, mikä tarjoaa sinulle yhden alustan kaikkiin vaatimustenmukaisuustarpeisiisi.

Varaa esittelysi

Miten ISO 27001 -standardin mukaisista kysymyksistä tehdään hallintajärjestelmien kartoituksen käsikirja hallituille palveluille?

Muunnat ISO 27001 -kysymykset kontrollikartoituksen käsikirjaksi standardoimalla kysymysten rakenteen, MSP:iden vastaustavan ja sen, miten vastaukset liittyvät kontrolleihin, vastuisiin ja näyttöön. Käsikirjasta tulee uudelleenkäytettävä selkäranka MSP:iden due diligence -tarkastuksille, vertailulle, perehdytykselle ja jatkuvalle hallinnalle tietoturva-, riskienhallinta-, toimittajanhallinta- ja hankintatiimeissä.

Noin 41 % organisaatioista vuonna 2025 tehdyssä ISMS.online-kyselyssä ilmoitti, että kolmansien osapuolten riskien hallinta ja toimittajien vaatimustenmukaisuuden seuranta olivat yksi heidän suurimmista turvallisuushaasteistaan.

Sen sijaan, että keksiisit lähestymistapaasi uudelleen joka kerta, kun uusi palveluntarjoaja ilmestyy, luot yhdenmukaisen mallin, jonka kuka tahansa MSP voi täyttää ja tiimisi voivat tulkita nopeasti. Ajan myötä tämä antaa sinulle koko portfoliota kattavan kuvan MSP:n kypsyydestä, jota voit selittää hallituksille ja sääntelyviranomaisille ilman, että sinun tarvitsee perehtyä jokaiseen yksittäiseen sopimukseen, koska muoto ja pisteytys ovat jo ymmärrettyjä.

Uudelleenkäytettävän karttapohjan suunnittelu

Hyvässä toimintasuunnitelman mallissa on tyypillisesti kolme yhdessä toimivaa tasoa: strukturoidut kysymykset, kontrollien määritykset ja kommentit tai pisteytys. Näiden tasojen pitäminen yhdenmukaisena eri palveluntarjoajien välillä on tärkeämpää kuin kaikkien yksityiskohtien saaminen täydelliseksi ensimmäisenä päivänä.

Käytännön mallipohja sisältää yleensä:

kysymykset – ohjeet, jotka on mukautettu ISO 27001 -standardin keskeisiin aiheisiin, kuten laajuus, riskinarviointi, liitteen A mukaiset kontrollit, jaettu vastuu, näyttö sekä yksityisyyden suojaan tai sääntelyyn liittyvät velvoitteet soveltuvin osin. Esimerkiksi:

"Kuvaile, miten tietoturvajärjestelmäsi kattaa tämän palvelun."
"Anna liitteen A mukainen kartoitus tälle palvelulle vastuineen."

Ohjauskartoitus – taulukko, jossa on kunkin asiaankuuluvan liitteen A mukaisen valvonnan osalta seuraavat tiedot:

Ilmaisee, onko se palveluntarjoajan omistama, asiakkaan omistama vai jaettu.
Linkit lyhyeen kuvaukseen toteutuksesta.
Viittaa todisteiden tyyppeihin ja sijainteihin, mukaan lukien linkit omiin prosesseihisi.

Pisteytys ja kommentit – tapa arvioida vastausten selkeyttä ja vahvuutta sekä kirjata kommentteja, aukkoja tai jatkotoimia, joihin haluat MSP:n puuttuvan.

Kun käytät tätä mallia kaikissa hallinnoiduissa palveluntarjoajissa (MSP), saat vertailukelpoisen kuvan niiden kypsyydestä ja sopivuudesta. Hankinta-, tietoturva-, GRC-, laki-, yksityisyys- ja toimittajariskitoiminnot voivat kaikki viitata samaan artefaktiin ilman erillisten kyselylomakkeiden tai laskentataulukoiden luomista, jotka eivät ole synkronoituja. Käsikirjan uudelleentarkastelu vähintään vuosittain tai palveluiden tai määräysten muuttuessa pitää kuvan ajan tasalla sen sijaan, että siitä tulisi jälleen yksi vanhentunut tietovarasto. Seuraavana neutraalina vaiheena voit pilotoida mallia yhden tai kahden korkean riskin palveluntarjoajan kanssa ennen sen laajempaa käyttöönottoa.

Vastausten muuttaminen vertailevaksi tuloskortiksi

Kun mallipohja on valmis, pisteytyksestä tulee systemaattisempaa ja henkilökohtaisten vaikutelmien varassa vähemmän. Voit painottaa organisaatiollesi tärkeimpiä aiheita ja arvioida sitten kutakin palveluntarjoajaa johdonmukaisesti näiden kriteerien perusteella.

Tyypillisiä käytäntöjä ovat:

Painotus tiettyjä alueita enemmän, kuten:
Laajuuskuvauksen selkeys ja täydellisyys.
Liitteen A mukaisten kartoitusten syvyys ja tarkkuus.
Jatkuvan todistusaineiston laatu ja tuoreus.
Jaetun vastuun määritelmien täsmällisyys.
Yhdenmukaisuus oman riskinottohalukkuutesi ja sääntelyprofiilisi kanssa.

Määrittelemällä etukäteen, miltä "vahva" vastaus näyttää, vastausten arviointi on vähemmän subjektiivista ja helpompaa selittää sidosryhmille.

Esimerkiksi kysymykseen "Miten käsittelette tietoihimme liittyviä tapauksia?" vahva vastaus voi sisältää selkeästi vastuullisiksi määriteltyjä havaitsemis- ja triage-prosesseja, sovittuja ilmoitusaikatauluja ja -kanavia, jotka on sidottu vakavuuteen ja sääntelykynnyksiin, yhteisiä tutkinta- ja perussyyanalyysivaiheita sekä linkkejä liiketoimintavaikutusanalyysisi mukaisiin toipumistavoitteisiin. Heikko vastaus voi yksinkertaisesti sanoa "Tutkimme ja ilmoitamme teille tarvittaessa" ilman yksityiskohtaisia tietoja ajoituksesta, rooleista tai todisteista.

Soveltamalla tätä käsikirjaa johdonmukaisesti rakennat ISO 27001 -standardiin, ei markkinointiin, perustuvan MSP-profiilien kirjaston. Sen yhdenmukaistaminen sisäisten ISO 27001 -prosessien kanssa tekee siitä entistä tehokkaamman: käsikirjaa voidaan käyttää johdon arviointeihin, riskirekisterin päivityksiin, soA-muutoksiin ja hallituksen raportointiin. Mallien, määritysten ja pisteytysten tallentaminen yhteistyöhön perustuvaan ISMS-alustaan, kuten ISMS.onlineen, mahdollistaa työn uudelleenkäytön auditoinneissa, uusimisissa ja uusissa projekteissa sen sijaan, että aloittaisit nollasta joka kerta, kun sidosryhmä kysyy: "Mistä tiedämme, että MSP:mme ovat todella ISO 27001 -standardin mukaisia?"

Varaa esittely ISMS.onlinesta jo tänään

ISMS.online tarjoaa sinulle yhden jaetun paikan ISO 27001 -kysymysten, kontrollien kartoituksen ja todisteiden jäsentämiseen MSP:iden kanssa, jotta kolmannen osapuolen varmennus on nopeampaa, selkeämpää ja helpommin puolustettavaa. Sen sijaan, että jonglööraisit sertifikaattien, laskentataulukoiden ja sähköpostiketjujen kanssa, voit nähdä, miten sisäiset ja ulkoiset kontrollit toimivat yhdessä organisaatiosi suojaamiseksi ja sidosryhmiesi tyydyttämiseksi.

Miksi jaettu tietoturvan hallintajärjestelmä auttaa sekä sinua että hallinnoituja palveluita tarjoavia yrityksiäsi

Jaettu tietoturvan hallintajärjestelmä (ISMS) auttaa sinua ja MSP-palveluntarjoajiasi pitämään vastaukset johdonmukaisina, todisteet keskitettyinä ja varmuuden toistettavissa, vaikka palvelut, kontrollit ja määräykset muuttuisivat. Kun yrityksen tietoturvatiimit ja MSP-palveluntarjoajat yrittävät tehdä yhteistyötä pelkästään staattisten asiakirjojen avulla, kolme ongelmaa toistuu yhä uudelleen.

Yleisiä ongelmia ovat:

Vastaukset eivät ole synkronoituja palveluiden kehittyessä.
Todisteet elävät useissa työkaluissa ja niitä on vaikea yhdistää kontrollitekijöihin.
Jokainen tarkastus tai tarjouspyyntö pakottaa molemmat osapuolet muodostamaan samat selitykset uudelleen.

Jaettu ISMS-alusta muuttaa tätä dynamiikkaa. ISMS.online-palvelun avulla voit tallentaa ISO 27001 -standardin mukaisen MSP-kysymyssarjan kerran ja käyttää sitä uudelleen eri palveluntarjoajien välillä. Voit tallentaa palvelukohtaisia liitteen A mukautuksia ja jaetun vastuun matriiseja samaan rakenteeseen, jota käytät sisäisissä kontrolleissasi. Voit linkittää MSP-todisteet, kuten auditointiyhteenvedot, testiraportit ja keskeiset mittarit, suoraan niiden tukemiin kontrolleihin ja riskeihin.

Tämä rakenne auttaa myös MSP-yrityksiäsi. He voivat vastata useille asiakkaille yhden luotettavan kartoitus- ja näyttöaineiston perusteella sen sijaan, että heidän tarvitsisi luoda sisältöä uudelleen jokaiselle kyselylomakkeelle. Ajan myötä tämä vähentää kitkaa molemmilla osapuolilla ja parantaa varmennuskeskustelujen laatua sen sijaan, että ne muuttuisivat paperityöksi. Vaikka myöhemmin vaihtaisit palveluntarjoajaa, johdonmukainen malli tekee siirtymästä paljon helpomman selittää hallituksille ja sääntelyviranomaisille.

Käytännön seuraavat vaiheet ISMS.online-sivuston tutkimiseen

Jos tunnistat tässä kuvatut haasteet, sinun ei tarvitse suunnitella kolmannen osapuolen hallintoasi uudelleen tyhjästä. Usein kohdennettu kokeilu riittää osoittamaan arvon ilman sitoutumista kokonaisvaltaiseen muutokseen, ja voit suorittaa sen nykyisten prosessiesi rinnalla.

Saatat:

Valitse yksi tai kaksi strategista MSP:tä, jotka tukevat vaikuttavia palveluita.
Käytä lähtökohtana olemassa olevaa ISO 27001 -kysymyssarjaasi.
Määritä yksinkertainen yhdistämismalli ja jaetun vastuun malli ISMS.online-palvelussa.
Kutsu MSP-kollegasi yhteistyöhön sisällön viimeistelyssä ja hiomisessa.
Käytä tuotoksia tiedottaaksesi hallituksellesi tai tarkastusvaliokunnallesi, miten kolmannen osapuolen kontrollit on nyt integroitu tietoturvanhallintajärjestelmääsi.

Jaetun ympäristön käyttäminen tällä tavalla voi auttaa sinua rakentamaan selkeämpiä kartoituksia kriittisille palveluille, vähentämään yllätyksiä MSP-tarkastuksissa ja kehittämään varmemman kuvan sääntelyviranomaisille ja suurille asiakkaille. Demon varaaminen on yksinkertaisesti tapa nähdä, miltä tämä voisi näyttää omassa ympäristössäsi, ja päättää, onko jaettu ISMS-alusta oikea tapa hallita sitä.

Jos suunnittelet tai olet siirtymässä standardiin ISO 27001:2022, sama ympäristö voi auttaa sinua päivittämään liitteen A määritykset tarkistettuun ohjausjoukkoon sekä sisäisille että MSP:n ylläpitämille palveluille. ISO/IEC 27001:2022 -standardin siirtymäohjeissa todetaan, että organisaatioiden on päivitettävä liitteen A määritykset, soveltamisalakuvaukset ja dokumentoidut tiedot, ja jaetun ympäristön käyttö, joka tukee sekä sisäisiä että MSP:n ylläpitämiä palveluita, voi helpottaa näiden päivitysten koordinointia, kuten ISO 27000 -sarjan yleiskatsauksissa, kuten ISO 27000 -johdannossa, korostetaan. Kaikkien uusien työkalujen tai muutospalveluntarjoajien käyttöönottoa koskevien päätösten tulisi silti käydä läpi tavanomaiset hallintoprosessisi ja tarvittaessa pätevien laki- tai sääntelyneuvonantajien tarkistuksen.

Viime kädessä ISO 27001 -kysymyksesi hallinnoiduille palveluntarjoajille (MSP) koskevat enemmän kuin due diligence -tarkistuslistoja. Niiden tarkoituksena on osoittaa, että laajennettu digitaalinen ekosysteemisi toimii kuin yhtenäinen, riskiperusteinen hallintajärjestelmä, johon hallitukset, sääntelyviranomaiset ja asiakkaat voivat luottaa. Demon varaaminen ISMS.online-palvelun kautta on yksinkertainen tapa tutkia, miten tämä yhtenäisyys voisi toimia käytännössä organisaatiollesi ja tärkeimmille palveluntarjoajillesi, ja selvittää, voiko yhteinen ISMS-alusta auttaa sinua muuttamaan hyvät kysymykset kestäväksi kolmannen osapuolen varmenteeksi.

Varaa demo

Usein Kysytyt Kysymykset

Miten yhdenmukaistamme MSP:n due diligence -tarkastukset ISO 27001:2022 -standardin kanssa hukuttamatta sidosryhmiä lausekkeiden numeroihin?

Yhdenmukaistat MSP:n due diligence -tarkastukset ISO 27001:2022 -standardin kanssa muotoilemalla kysymyksiä liiketoiminnan tuloksista – riskistä, käyttöajasta, tiedonkäsittelystä ja vastuullisuudesta – ja yhdistämällä vain nämä vastaukset oman tietoturvanhallintajärjestelmäsi lausekkeisiin ja liitteen A kontrolleihin.

Miten ISO 27001 -standardista tehdään teemoja, jotka yritykset ja hallinnoidut palveluntarjoajat (MSP) todella tunnistavat?

Aloita keskusteluista, joita sinulla on jo sidosryhmien ja hallinnoitujen palvelujen tarjoajien kanssa, ja ankkuroi ne sitten muutamaan toistettavaan teemaan:

Palvelun ja laajuuden yhteensopivuus: – ”Mitkä palveluistanne, toimipisteistänne, alustoistanne ja alihankkijoistanne todella koskettavat tietoitamme, ja kuuluvatko ne tietoturvanhallintajärjestelmänne piiriin?”
Riski ja sietokyky: – ”Missä saatavuuteen, luottamuksellisuuteen ja sääntelyyn liittyvät riskimme näkyvät riskirekisterissänne, ja miten niitä käsitellään?”
Omistajuuden ja testauksen hallinta: – ”Mitkä liitteen A:2022 mukaiset valvontamekanismit ovat käytössä tässä palvelussa, kuka omistaa ne ja miten niitä testataan vuoden aikana?”
Toiminnan varmuus ajan kuluessa: – ”Mitä sisäiset auditoinnit, tunkeutumistestit, valvonta ja tapausten tarkastelut ovat kertoneet teille tästä palvelusta viimeisten 12–18 kuukauden aikana?”
Jaettu vastuu: – ”Käyttöoikeuksien, konfiguroinnin, valvonnan, häiriöiden, jatkuvuuden ja toimittajien hallinnan osalta: mitkä toiminnot omistatte te, mitkä me omistamme ja mitkä ovat aidosti jaettuja?”
Muutos ja tiekartta: – ”Miten uudet palvelut, alustamuutokset ja sääntelymuutokset näkyvät toimintasuunnitelmassanne, riskinarvioinneissanne ja kontrollienne puitteissa?”

Nämä teemat tarjoavat vakaan perustan MSP:n due diligence -kyselyille, tarjouspyynnöille ja uusimistarkastuksille. Sisäisesti voit ylläpitää selkeää vastaavuutta kustakin teemasta ja kysymyksestä ISO 27001:2022 -lausekkeisiin, liitteen A mukaisiin kontrolleihin ja toimittajien hallintaprosesseihin ISMS-järjestelmässäsi tai liitteen L mukaisessa integroidussa hallintajärjestelmässäsi. Ulkoisesti MSP näkee vain selkeät palvelutasoon liittyvät kysymykset lausekeviittausten sijaan.

Jos käytät ISMS.online-alustan kaltaista alustaa, kysymysten, vastausten ja vastaavuuksien tallentaminen sovellettavuuslausunnon ja toimittajatietojen rinnalle on yksinkertaista. Tällä tavoin voit nopeasti osoittaa tilintarkastajille, miten kolmannen osapuolen valvonta on sisäänrakennettu ISMS-järjestelmääsi sen sijaan, että se improvisoitaisiin hankintamenettelyjen määräaikojen ympärille.

Miten voimme suunnitella MSP-kysymyksiä, jotka jäljittelevät ISO 27001 -lausekkeita lainaamatta niitä?

Työskentele eteenpäin todellisista tilanteista ja taaksepäin ISO 27001 -standardista, ei toisinpäin:

Konteksti, johtajuus ja suunnittelu (kohdat 4–6):

Kysy, miten MSP määrittelee laajuuden, ymmärtää asiakkaiden tarpeet ja suunnittelee riskienkäsittelyä, joka voi vaikuttaa sinuun:
"Näytä meille, miten tietoihimme, käyttöaikaan ja sääntelyvelvoitteisiin liittyvät riskit tunnistetaan, arvioidaan ja priorisoidaan riskirekisterissänne."

Tuki ja toiminta (kohdat 7–8):

Keskity ihmisiin, dokumentoituihin menettelytapoihin ja siihen, miten hallittu palvelu käytännössä toimii:
"Mitä dokumentoituja menettelyjä ja osaamista tämän palvelun tarjoaminen edellyttää, ja miten pidätte molemmat ajan tasalla?"

Suorituskyvyn arviointi ja parantaminen (kohdat 9–10):

Tutustu siihen, miten ne seuraavat tehokkuutta, auditoivat itseään ja edistävät muutoksia:
"Mitkä auditoinnit, keskeiset suorituskykyindikaattorit ja korjaavat toimenpiteet ovat viimeisen vuoden aikana liittyneet suoraan järjestelmiin, joihin luottaisimme?"

Sinun ei tarvitse kysyä itseltäsi kysymystä ”Miten täytät kohdan 8.1 vaatimukset?”, jotta oma ISO 27001:2022 -toteutuksesi olisi puolustettava. Tarvitset kuitenkin johdonmukaisen joukon kysymyksiä, jotka paljastavat, miten MSP:n johtamisjärjestelmä toimii palveluidesi osalta, ja kurinalaisen tavan yhdistää nämä vastaukset takaisin oman tietoturvajärjestelmäsi kohtiin ja liitteen A kontrolleihin. Keskittämällä tämän kartoituksen jaettuun ympäristöön, kuten ISMS.onlineen, tiimisi voi jatkaa kysymysten tarkentamista ja säilyttää samalla selkeän auditointipolun sääntelyviranomaisille, asiakkaille ja sertifiointielimille.

Miten voimme nopeasti selvittää, kattaako MSP:n ISO 27001 -sertifikaatti todella palvelut, joita aiomme käyttää?

Voit selvittää, kattaako MSP:n ISO 27001 -sertifikaatti todella palvelusi, lukemalla laajuuden, sovellettavuuslausunnon ja viimeaikaiset auditointiraportit ikään kuin ne olisivat omiasi ja testaamalla sitten mahdollisia puutteita konkreettisilla palvelutasokysymyksillä.

Mitkä varmennepaketin osat ovat tärkeimpiä MSP-palveluille?

Käsittele dokumentaatiota riskitodisteena, älä myyntivakuuksina:

Soveltamisalan kuvaus: – Tarkista, että siinä mainitaan juuri ne palvelutyypit, joista välität (esimerkiksi hallittu SOC, hallittu tietokanta, hallittu identiteetti, hallittu hosting) sekä niihin liittyvät keskeiset teknologiat ja alustat.
Sijainnit ja toimitusketju: – Varmista, että datakeskukset, tukipisteet ja työkuormiesi kannalta tärkeät alihankkijat kuuluvat nimenomaisesti soveltamisalaan tai että ne kuuluvat selvästi laajemman soveltamisalan piiriin.
Ohjauksen sovellettavuus: – Tarkastele liitteen A:2022 valvonnan sovellettavuutta käyttöluvassa; kyseenalaista lokinnusta, valvontaa, varmuuskopiointia, jatkuvuutta, toimittajien valvontaa ja turvallista kehitystä koskevat poikkeukset, jos omassa riskinarvioinnissasi näitä alueita ei käsitellä neuvoteltavissa olevina.
Tarkastuksen ajankohtaisuus ja painopiste: – Kirjaa muistiin, milloin viimeisin valvonta- tai uudelleensertifiointitarkastus tehtiin ja liittyvätkö viimeaikaiset havainnot ympäristöihin ja palveluihin, joita odotat käyttäväsi.

Siirry sitten suoraan tarkempiin kysymyksiin, esimerkiksi:

"Mitkä arvioimistamme palveluista kuuluvat kokonaan nykyisen ISO 27001 -standardinne piiriin, mitkä kuuluvat vain osittain standardiinne ja mitkä eivät tällä hetkellä kuulu standardin piiriin?"
"Mitä valvonta- ja varmistusmekanismeja sovelletaan järjestelmiin, jotka tukevat tietojamme ja jotka eivät kuulu sertifioinninne piiriin?"

Näiden vastausten tallentaminen toimittajariskitietoihisi tekee valintasi puolustettavissa olevaksi, jos omat tilintarkastajasi, hallituksesi tai asiakkaasi kysyvät myöhemmin, miksi luotit tiettyyn toimittajaan.

Jos järjestät toimittajien todisteet ja muistiinpanot järjestelmään, kuten ISMS.online, voit tallentaa laajuuslausunnot, keskeiset soA-otteet, kysymyksesi ja MSP:n vastaukset liitteen A mukaisten kontrollien ja riskien rinnalle. Näin voit käyttää samaa arviointia uudelleen, kun uusit sopimuksen, kilpailutat uudelleen tai suoritat valvonnan itse sen sijaan, että aloittaisit tyhjästä laskentataulukosta joka kerta.

Mitä käytännön varoitusmerkkejä MSP:n laajuus- ja soveltuvuusasiakirjoissa on?

Sinun ei tarvitse olla ISO-asiantuntija havaitaksesi erityistä tarkastelua vaativia kaavoja:

Soveltamisala, joka on selvästi suppeampi kuin toimitustodellisuus: , kuten sertifikaatti, joka kattaa vain ”pääkonttorin toiminnot”, kun todellinen palveluntarjous tapahtuu useilta alueilta ja pilvialustoilta.
Liian mainostava sanamuoto: konkreettisten tietojen sijaan resursseista, järjestelmistä ja vastuista.
Vanhentuneet auditoinnit: tai epäselvä valvontaohjelma, joka voi viitata ajelehtimiskäytäntöön.
”Ei sovellettavissa” -kontrollien klusterit: osa-alueilla, joita oma riskirekisterisi käsittelee olennaisina, erityisesti seurannassa, varmuuskopioinnissa, jatkuvuudessa, toimittajien valvonnassa tai turvallisessa kehityksessä.

Kun jokin näyttää epämääräiseltä, pyydä MSP:tä käymään läpi yksi sinulle tärkeä palvelu: missä datasi sijaitsee, mitkä tiimit voivat olla vuorovaikutuksessa sen kanssa ja mitkä heidän tietoturvanhallintajärjestelmänsä laajuuden ja kontrollien osat kattavat kyseiset osat. Vahvat palveluntarjoajat tarjoavat sinulle johdonmukaisen ja testattavan tarinan. Voit sitten liittää tämän kertomuksen jäsenneltynä todisteena omaan tietoturvanhallintajärjestelmääsi, jotta kun asiakkaat tai tilintarkastajat esittävät kysymyksiä, luotat selkeään tietoon muistikuvien sijaan.

Miten sopisimme jaetusta vastuusta ISO-sertifioidun MSP:n kanssa, jotta kukaan ei ylläty todellisessa onnettomuudessa?

Sinun tulisi sopia jaetusta vastuusta ISO-sertifioidun hallintopalveluntarjoajan (MSP) kanssa ottamalla käyttöön liitteen A:2022 mukaiset molempia organisaatioita koskevat kontrollit, päättämällä kuka tekee mitä kummankin osalta ja heijastamalla tätä jakoa johdonmukaisesti sopimuksissa, runbookeissa ja tietoturvan hallintajärjestelmässäsi.

Mitkä jaetun vastuun alueet ansaitsevat eniten huomiota?

Aloita siitä, missä epäselvyys tulee kalliiksi päivittäisissä toiminnoissa tai tapahtumissa:

Riskienhallinta ja suunnittelu:

Tee selväksi yhteys liiketoimintariskiesi ja MSP:n teknisten riskien välillä.
– Kysy, miten riskirekisterisi skenaariot – kuten alueen menetys, etuoikeutetun käyttöoikeuden vaarantuminen tai sääntelyn rikkominen – näkyvät heidän riskinarvioinnissaan ja hoitosuunnitelmissaan.
– Laadi ytimekäs RACI-suunnitelma, joka kattaa käyttöoikeuksien tarkistukset, konfiguraation lähtötasot, haavoittuvuuksien hallinnan, valvonnan, varmuuskopioinnin ja palautuksen sekä säännölliset toimittajien tarkistukset.
– Tallenna RACI-tiedot riskienhallintatietoihisi, käyttöoikeussopimukseen (SOA) ja toimittajan muistiinpanoihin, jotta tilintarkastajat ja esimiehet näkevät saman kuvan.

Havaitseminen, reagointi ja viestintä:

– Selvitä, mitä hälytyksiä ja telemetriaa MSP:n odotetaan valvovan, mitä oman tiimisi on valvottava ja miten tapahtumat etenevät näiden kahden välillä.
– Sovitaan tietoturvaloukkausten ilmoittamisen kynnysarvoista ja aikatauluista sekä siitä, mikä organisaatio johtaa viestintää sääntelyviranomaisille, asiakkaille ja rekisteröidyille lakien, kuten GDPR:n tai toimialakohtaisten sääntöjen, mukaisesti.
– Dokumentoi nämä työnkulut yhteisiin runbookeihin ja harjoittele niitä realististen pöytätietokoneskenaarioiden avulla.

Jatkuvuus ja toipuminen:

– Varmista, että MSP:n palautumisaika- ja palautumispistetavoitteet ovat linjassa liiketoimintavaikutusanalyysisi ja sopimuslupaustesi kanssa.
– Pyydä heitä erottamaan selkeästi toisistaan häiriöt, joista he ovat vastuussa (esimerkiksi alustan toimintahäiriö) ja ne, joista sinä olet vastuussa (esimerkiksi lähiverkon tai päätelaitteiden vaarantuminen).

Pyydä, että MSP käy läpi täydellisen, palvelukohtaisen tapahtumaskenaarion: mitkä mittarit käynnistävät toimenpiteet, kuka reagoi ensimmäisenä, milloin tiimisi osallistuu tilanteeseen ja miten kokemukset otetaan huomioon molemmilla puolilla. Kun malli toimii yhdessä strategisessa palvelussa, voit peilata sen muihin MSP:ihin ja tallentaa sen keskitetysti alustalle, kuten ISMS.onlineen, linkittämällä jokaisen jaetun vastuun kartan asiaankuuluviin liitteen A kontrolleihin, riskeihin ja sopimuksiin.

Miten pidämme jaetun vastuun mallin linjassa ISO 27001 -standardin ja liitteen L mukaisen järjestelmän kanssa?

Käytä ISO 27001:2022 -standardia ja sen rinnakkaisstandardeja rakenteellisena selkärankana sen sijaan, että ne olisivat jälkikäteen ajateltuja:

Tunnista liitteen A mukaiset valvontatoimet, jotka selvästi kattavat sekä palveluntarjoajan että asiakkaan – esimerkiksi lokinnusta ja valvontaa, turvallista konfigurointia, varmuuskopiointia, toimittajien hallintaa, verkon turvallisuutta ja tapausten hallintaa koskevat toimenpiteet – ja päätä, onko kukin niistä ensisijaisesti sinun vastuullasi, heidän vai jaettu.
Pohdi näitä päätöksiä omassa 6 §:n mukaisten toimintojen suunnittelu ja 8 §:n mukaiset toimintakuvaukset, joten ulkoistamisvalinnat ja -rajapinnat näkyvät riskienhallintasuunnitelmissa, dokumentoiduissa menettelyissä ja ulkoistettujen prosessien muistiinpanoissa.
Varmista, että samaa allokaatiota noudatetaan suoritettaessa suorituskyvyn arviointi 9 §:n mukaisesti ja parannus 10 §:n nojalla, joten yhteiset tapaukset ohjaavat korjaavia toimenpiteitä molempien organisaatioiden johtamisjärjestelmissä pelkkien operatiivisten tikettijonojen sijaan.

Jos käytössäsi on liitteen L mukainen integroitu hallintajärjestelmä, joka yhdistää ISO 27001 -standardin standardeihin, kuten ISO 22301 jatkuvuuden osalta tai ISO 27701 yksityisyyden osalta, käytä samaa jaetun vastuun logiikkaa myös siellä. Arvioijien tulisi pystyä seuraamaan suoraa tietä hallitusta palvelusta tietoturva-, jatkuvuus- ja yksityisyydensuojavastuiden läpi löytämättä ristiriitaisia oletuksia IMS:n eri osista.

Mitä todisteita meidän tulisi pyytää MSP:iltä jatkuvan ISO 27001 -käytännön osoittamiseksi, ei vain kehystettyä sertifikaattia?

Sinun tulisi pyytää hallinnoitujen palveluntarjoajien (MSP) tarjoamia todisteita siitä, miten heidän tietoturvajärjestelmänsä ja liitteen A mukaiset kontrollinsa toimivat ajan kuluessa niiden palveluiden osalta, joista olet riippuvainen. Näitä ovat esimerkiksi tuoreita, jäsenneltyjä esitteitä, jotka osoittavat suunnittelun, toiminnan, mittaamisen ja parantamisen ainakin viimeisen vuoden ajalta.

Minkä tyyppiset MSP-todisteet kestävät parhaiten sisäisissä ja ulkoisissa auditoinneissa?

Priorisoi pieni joukko artefakteja, jotka vastaavat selkeästi kontrolleja ja todellisia muutoksia:

Sisäiset tietoturvallisuuden hallintajärjestelmän auditointiraportit tai tilannevedokset: – mitä kontrolleja otos valittiin, mitä puutteita tai puutteita havaittiin ja miten korjaavia toimenpiteitä seurattiin ohjelman päättämiseen asti.
Ulkoisen valvonnan tai uudelleensertifioinnin yhteenvedot: – sertifiointielimen tulokset, mukaan lukien kaikki havainnot tai huomiot, jotka liittyvät palveluihisi, alustoihisi tai toimituspaikkoihinne.
Tietoturvatestin tulokset: – työkuormiasi tukevien järjestelmien laajuiset tunkeutumistestit ja haavoittuvuusskannaukset, joihin sisältyy selkeä korjaussuunnitelma ja merkittävien löydösten tilannekatsaus.
Haavoittuvuuksien hallinnan mittarit: – korjaavien toimenpiteiden keston trendit, avointen ongelmien määrä vakavuusasteeltaan ja mahdolliset virallisesti hyväksytyt poikkeukset.
Toimittajien ja alihankkijoiden valvonta: – dokumentit tai koontinäytöt, jotka osoittavat, miten ne arvioivat ja valvovat omia strategisia toimittajiaan ja pilvialustojaan.
Koulutus- ja tietoisuusindikaattorit: – todisteet siitä, että hallittuja palveluita suunnittelevat, ylläpitävät ja tukevat henkilöt ovat suorittaneet asiaankuuluvan tietoturva- ja yksityisyyskoulutuksen.

Yhdistä nämä suoriin kysymyksiin, kuten:

"Kuinka usein sisäiset auditoinnit, tekniset testit ja johdon katselmukset kattavat järjestelmät, jotka tukevat käyttämiämme palveluita, ja mitä muutoksia teitte niiden seurauksena?"
"Mitä tavoitteita asetatte kriittisten ja suurten haavoittuvuuksien korjaamiselle, ja miten olette menestyneet näiden tavoitteiden saavuttamisessa viimeisten 12 kuukauden aikana?"

Harvoin tarvitset raakatapahtumalokeja tai kaikkia työkalujen yksityiskohtia, mutta tarvitset riittävästi ajantasaista, jäsenneltyä näyttöä osoittamaan, että MSP:n tietoturvajärjestelmä on aktiivinen ja tehokas. Sovimalla etukäteen, mitä organisaatiosi määrittelee "täydelliseksi näyttöpaketiksi", ja sisällyttämällä tämän odotuksen toimittajien hallintamenettelyyn, vähennetään kitkaa myöhemmin ja tehdään omista ISO 27001 -standardin ja integroitujen järjestelmien auditoinneista suoraviivaisempia.

Kuinka voimme arkistoida ja käyttää uudelleen MSP-todisteita tehokkaasti tietoturvan hallintajärjestelmässämme tai liitteen L IMS:ssä?

Käsittele MSP-todisteita samalla rakenteella ja kurinalaisesti kuin odotat sisäisesti:

Linkitä jokainen artefakti tiettyihin ohjaimiin ja palveluihin: – yhdistä asiakirjat asiaankuuluviin liitteen A:2022 mukaisiin kontrolleihin, riskeihin, toimittajatietoihin ja palvelumääritelmiin, jotta voit selittää tarkalleen, mitä kukin todiste tukee.
Tagin omistajuus ja tarkistustiheys: – kirjaa ylös, kuka on vastuussa todisteiden tarkistamisesta, kuinka usein ne on päivitettävä, sekä mahdolliset ehdot tai hyväksytyt jäännösriskit.
Käytä uudelleen tarvittaessa eri viitekehyksissä: – esimerkiksi penetraatiotestiin, joka kattaa ISO 27001-, SOC 2- ja NIS 2 -standardien piiriin kuuluvat järjestelmät, tulisi viitata kerran tavalla, joka täyttää kaikki kolme järjestelmää, sen sijaan, että se toistettaisiin erillisissä siiloissa.

Jaettu ISMS-alusta, kuten ISMS.online, tekee linkittämisestä ja uudelleenkäytöstä käytännöllistä: MSP-todisteet voidaan liittää suoraan kontrolleihin, riskeihin, auditointeihin ja toimittajatietoihin. Kun ylemmät sidosryhmät tai auditoijat kysyvät: "Mistä tiedätte, että tämä MSP toimii edelleen turvallisesti ja käytäntöjenne mukaisesti?", voit käydä heidät läpi linkitetyt kohteet näytöllä sen sijaan, että etsisitte levyiltä tai sähköpostiketjuista.

Miten voimme vertailla ISO 27001 -standardin kypsyyttä useiden hallinnoitujen palveluntarjoajien välillä ilman, että joka kerta otetaan mukaan konsultteja?

Voit vertailla ISO 27001 -kypsyyttä eri MSP-palveluntarjoajien välillä kysymällä jokaiselta palveluntarjoajalta saman jäsennellyn kysymyssarjan ja muuntamalla heidän vastauksensa yksinkertaiseksi pisteytysmalliksi, joka heijastaa riskiprioriteettejasi sen sijaan, että yrittäisit punnita jokaista vastausta erikseen.

Miltä näyttää käytännön MSP-tuloskortti, joka perustuu ISO 27001 -standardiin?

Hyödyllinen tuloskortti on riittävän tiivis, jotta myös muut kuin asiantuntijat ymmärtävät sen, mutta silti riittävän kattava päätöksenteon tueksi:

Soveltuvuus laajuuteen ja sertifikaattiin (1–5): – kuinka selkeästi MSP:n sertifioitu soveltamisala kattaa palvelut, sijainnit ja alustat, joita aiot käyttää.
Palvelukohtainen ohjauskartoitus (1–5): – kuinka hyvin he yhdistävät liitteen A:2022 mukaiset kontrollit ja muut asiaankuuluvat kontrollit palveluihisi ja tietovirtoihinne, ja nimeävät omistajat.
Jaetun vastuun selkeys (1–5): – kuinka yksiselitteisiä heidän sopimuksensa, palvelutasosopimuksensa ja riskienhallintasopimuksensa (RACI) ovat siitä, kuka tekee mitä riskienhallinnan, valvonnan, häiriöiden ja jatkuvuuden osalta.
Todisteiden laajuus ja tuoreus (1–5): – kuinka kattavia ja ajantasaisia heidän auditointituloksensa, testinsä, mittarinsa ja toimittaja-arviointinsa ovat ympäristöissä, joihin luotat.
Avoimuus ja reagointikyky (1–5): – kuinka helposti he antavat lisätietoja, tunnustavat puutteet ja sitoutuvat realistisiin parannussuunnitelmiin.

Voit painottaa näitä ulottuvuuksia toimialasi ja velvoitteidesi mukaan. Esimerkiksi organisaatio, jota säännellään toiminnan sietokyvyn varmistamiseksi, saattaa painottaa jatkuvuutta ja näyttöä enemmän; nopeasti kasvava SaaS-palveluntarjoaja voi korostaa läpinäkyvyyttä, tietoturvatestauksen syvyyttä ja alustaosaamista.

Tämän pistekortin käyttäminen yhdessä hankinta-, laki-, turvallisuus- ja liiketoimintasponsoreiden kanssa antaa sinulle yhteisen kielen sen selittämiseen, miksi yksi MSP edustaa parempaa kokonaisriskin vastaavuutta, vaikka kaupalliset ehdot vaikuttaisivat samankaltaisilta. Vastausten, pisteiden ja perustelujen tallentaminen tietoturvanhallintajärjestelmään – pelkän diaesityksen sijaan – tarkoittaa, että voit käyttää ja päivittää arviointia uusimisen ja auditointien yhteydessä sen sijaan, että perustelut joutuisit luomaan uudelleen muistista joka kerta, kun joku kysyy "miksi valitsimme tämän palveluntarjoajan?".

Miten MSP-tuloskortti voi pysyä hyödyllisenä eri standardien ja alueiden välillä?

Hyvä tuloskortti keskittyy käyttäytymismalleihin ja varmistusmekanismeihin, joista useat standardit ja sääntelyviranomaiset ovat kiinnostuneita, ei pelkästään ISO 27001 -standardin mukaisiin asiakirjoihin:

Voit soveltaa samaa ydinmallia MSP:ihin, jotka tukevat myös sellaisia järjestelmiä kuin PCI DSS, SOC2, NIS2 tai DORA, koska arvioit, miten he määrittelevät palveluiden laajuuden, toteuttavat ja testaavat kontrolleja, hallitsevat toimittajia ja viestivät riskeistä.
Hallitukset ja sääntelyviranomaiset näkevät a johdonmukainen ja vertailukelpoinen näkemys kolmannen osapuolen riskistä turvallisuuden, jatkuvuuden ja yksityisyyden osalta sen sijaan, että jokaiselle viitekehykselle olisi omat erilliset kyselylomakkeet.
Liitteen L mukainen integroitu johtamisjärjestelmäsi saa toistettavan tavan käsitellä ulkoisia ongelmia ja sidosryhmiä kohdan 4 mukaisesti riippumatta siitä, mitkä standardit ovat voimassa tiettynä ajankohtana.

Tulosten kertyessä pistekortista tulee elävä vertailukohta. Voit tarkentaa kysymyksiä, säätää painotuksia määräysten tai liiketoiminnan riskinottohalukkuuden muuttuessa ja rakentaa sisäisiä vertailuarvoja, jotka tekevät jokaisesta uudesta MSP-arvioinnista nopeamman, johdonmukaisemman ja helpommin puolustettavan ylemmille sidosryhmille.

Milloin on järkevää siirtää MSP:n valvonta jaetulle tietoturvan hallintajärjestelmälle sen sijaan, että se tapahtuisi sähköpostin ja laskentataulukoiden kautta?

On järkevää siirtää MSP-valvonta jaetulle tietoturvan hallintajärjestelmälle (ISMS), kun tiimisi jahtaa toistuvasti samaa ISO 27001 -tietoa useilta strategisilta toimittajilta, kamppailee pitääkseen todisteet ja kartoitukset ajan tasalla eri dokumenteissa ja kokee vaikeaksi esittää yhtenäistä kuvaa kolmannen osapuolen riskeistä johdolle tai tilintarkastajille.

Mitä käytännön hyötyjä voimme odottaa MSP:iden hallinnasta jaetun tietoturvallisuuden hallinta-alustan sisällä?

Yhdellä tai kahdella tehokkaalla hallitulla palvelulla aloittaminen voi nopeasti osoittaa, sopiiko tämä malli sinulle:

Yhdenmukaistetut ohjausrakenteet: – ISO 27001 -kysymyssarjasi, palvelukohtaiset liitteen A:2022 mukaiset kontrollimatriisit, jaetun vastuun jakaumat ja riskitietueet sijaitsevat yhdessä ympäristössä, johon sekä tiimisi että hallinnoidun palveluntarjoajan (MSP) on pääsy valvotuilla käyttöoikeuksilla.
Elävä, keskeinen todiste: – Sisäisten ja ulkoisten tarkastusten yhteenvedot, penetraatiotestausraportit, haavoittuvuusmittarit ja toimittaja-arvioinnit voidaan linkittää suoraan niiden tukemiin kontrolleihin, riskeihin ja palveluihin, joten voit vastata ”näytä”-pyyntöihin ilman kansioiden läpikäymistä.
Yksi lähde useille yleisöille: – sama jäsennelty tieto tukee hallituksen asiakirjoja, riskivaliokunnan päivityksiä, asiakkaiden due diligence -vastauksia ja sertifiointitarkastuksia ilman, että MSP:ltä pyydetään samoja tietoja useissa eri muodoissa.
Nopeammat arvioinnit ja uusimiset: – kun voit tarkastella laajuutta, kontrollien kattavuutta, todisteita ja tuloskorttien tuloksia rinnakkain tietoturvanhallintajärjestelmässäsi, palveluntarjoajien vertailusta ja uusimisten perustelemisesta ei tule enää pelkkää ad hoc -taulukkolaskentaa.

Järkevä ensimmäinen askel on valita yrityksellesi tärkeä palvelu, kuten hallittu tietoturvan valvonta tai pilvialusta. Luo kyseiselle palvelulle yksinkertainen, ISO-standardien mukainen rakenne esimerkiksi ISMS.online-työkalussa ja pyydä hallinnointipalvelun tarjoajaa (MSP) osallistumaan siihen todisteiden ja tarkennusten jakamiseen. Jos vuosineljänneksen jälkeen pystyt käymään hallituksen, tarkastusvaliokunnan tai tärkeimpien asiakkaiden kanssa läpi yhteisen näkemyksen ilman viime hetken dokumenttien metsästystä, sinulla on vahva näyttö siitä, että lähestymistavan laajentaminen muihin hallinnointipalveluntarjoajiin kannattaa. Samaan aikaan oma ISMS- tai Annex L -integroitu järjestelmäsi kypsyy, koska kolmannen osapuolen valvonnasta tulee osa rutiinijohtamista vuosittaisen paperien jahtaamisen sijaan.

ISO 27001 -standardin yleisimmät kysymykset, joita yritysten tietoturvatiimit kysyvät MSPS:ltä