ISO 27001:2022 Vedlegg A Kontroll 5.20

ISO 27001:2022 vedlegg A 5.20 Generell veiledning

Kontroll 5.20 i vedlegg A inneholder 25 veiledningspunkter som ISO-stater er "mulig å vurdere" (dvs. ikke nødvendigvis alle) for at organisasjoner skal oppfylle sine krav til informasjonssikkerhet.

Vedlegg A Kontroll 5.20 spesifiserer at uavhengig av vedtatte tiltak, må begge parter gå ut av prosessen med en «klar forståelse» av hverandres informasjonssikkerhetsforpliktelser.

1. Det er viktig å gi en klar beskrivelse av informasjonen som må aksesseres og hvordan denne informasjonen vil skaffes tilgang.
2. Organisasjoner bør klassifisere informasjon etter deres publiserte klassifiseringsordninger (se vedlegg A kontroller 5.10, 5.12 og 5.13).
3. Informasjonsklassifisering på leverandørsiden bør vurderes sammen med hvordan det forholder seg til det på organisasjonens side.
4. Generelt kan begge parters rettigheter deles inn i fire kategorier: juridiske, lovfestede, regulatoriske og kontraktsmessige. Som standard med kommersielle avtaler, bør ulike forpliktelser være klart skissert innenfor disse fire områdene, inkludert tilgang til personopplysninger, immaterielle rettigheter og opphavsrettslige bestemmelser. Kontrakten bør også dekke hvordan disse nøkkelområdene skal behandles separat.
5. Som en del av kontrollsystemet vedlegg A, bør hver part pålegges å implementere samtidige tiltak utformet for å overvåke, vurdere og administrere informasjonssikkerhetsrisikoer (som tilgangskontrollpolicyer, kontraktsmessige gjennomganger, overvåking, rapportering og periodisk revisjon). Videre bør avtalen tydelig angi at leverandørpersonell skal overholde organisasjonens informasjonssikkerhetsstandarder (se ISO 27001 vedlegg A Kontroll 5.20).
6. Begge parter må tydelig forstå hva som utgjør akseptabel og uakseptabel bruk av informasjon, samt fysiske og virtuelle eiendeler.
7. For å sikre at personell på leverandørsiden kan få tilgang til og se en organisasjons informasjon, bør prosedyrer settes på plass (f.eks. revisjoner på leverandørsiden og servertilgangskontroller).
8. I tillegg til å vurdere leverandørens IKT-infrastruktur, er det viktig å forstå hvordan det forholder seg til typen informasjon organisasjonen vil få tilgang til. Dette kommer i tillegg til organisasjonens kjernesett med forretningskrav.
9. Hvis leverandøren bryter kontrakten eller ikke overholder individuelle vilkår, bør organisasjonen vurdere hvilke skritt den kan ta.
10. Konkret bør avtalen beskrive en gjensidig hendelseshåndteringsprosedyre som klargjør hvordan problemer skal håndteres når de oppstår. Dette inkluderer hvordan begge parter skal kommunisere når en hendelse inntreffer.
11. Begge parter bør gi tilstrekkelig bevisstgjøringstrening (der standardopplæring ikke er tilstrekkelig) på nøkkelområder i avtalen, spesielt på risikoområder som hendelseshåndtering og informasjonsdeling.
12. Bruken av underleverandører bør ivaretas tilstrekkelig. Organisasjoner bør sørge for at, dersom leverandøren har tillatelse til å bruke underleverandører, slike personer eller selskaper følger de samme informasjonssikkerhetsstandardene som leverandøren.
13. Så langt det er lovlig og operasjonelt mulig, bør organisasjoner vurdere hvordan leverandørpersonell screenes før de samhandler med informasjonen deres. I tillegg bør de vurdere hvordan screeninger registreres og rapporteres til organisasjonen, inkludert ikke-screenet personell og bekymringsområder.
14. Tredjepartsattest, for eksempel uavhengig rapporter og tredjepartsrevisjoner, bør kreves av organisasjoner for leverandører som overholder deres krav til informasjonssikkerhet.
15. ISO 27001:2022 vedlegg A Kontroll 5.20 krever at organisasjoner har rett til å evaluere og revidere sine leverandørers prosedyrer.
16. En leverandør bør være pålagt å levere periodiske rapporter (med varierende intervaller) som oppsummerer effektiviteten av deres prosesser og prosedyrer og hvordan de har til hensikt å håndtere eventuelle problemer som reises.
17. Under forholdet bør avtalen inneholde tiltak for å sikre at eventuelle mangler eller konflikter blir løst i tide og grundig.
18. En passende BUDR-policy bør implementeres av leverandøren, skreddersydd for å møte organisasjonens behov, som ivaretar tre hovedhensyn: a) Sikkerhetskopieringstype (full server, fil og mappe, inkrementell), b) Sikkerhetskopieringsfrekvens (daglig, ukentlig, etc.). ) C) Sikkerhetskopieringsplassering og kildemedier (på stedet, utenfor stedet).
19. Det er viktig å sikre dataresiliens ved å operere fra et nødgjenopprettingsanlegg atskilt fra leverandørens hoved-IKT-sted. Dette anlegget er ikke underlagt samme risikonivå som hoved-IKT-stedet.
20. Leverandører bør opprettholde en omfattende policy for endringshåndtering som gjør det mulig for organisasjonen å avvise eventuelle endringer som kan påvirke informasjonssikkerheten på forhånd.
21. Fysiske sikkerhetskontroller bør implementeres avhengig av hvilken informasjon de har tilgang til (bygningsadgang, besøkstilgang, romtilgang, skrivebordssikkerhet).
22. Når data overføres mellom eiendeler, nettsteder, servere eller lagringsplasser, bør leverandører sørge for at dataene og eiendelene er beskyttet mot tap, skade eller korrupsjon.
23. Som en del av avtalen bør hver part være pålagt å foreta en omfattende liste over handlinger i tilfelle oppsigelse (se vedlegg A Kontroll 5.20). Disse handlingene inkluderer (men er ikke begrenset til): a) avhending av eiendeler og/eller flytting, b) sletting av informasjon, c) returnering av IP, d) fjerning av tilgangsrettigheter e) vedvarende konfidensialitetsforpliktelser.
24. I tillegg til punkt 23 bør leverandøren diskutere i detalj hvordan den har til hensikt å ødelegge/ permanent slette organisasjonens informasjon når den ikke lenger er nødvendig (dvs. ved oppsigelse av kontrakten).
25. Hver gang en kontrakt avsluttes og det oppstår behov for å overføre støtte og/eller tjenester til en annen leverandør som ikke er oppført på kontrakten, tas det skritt for å sikre at forretningsdriften ikke avbrytes.

Medfølgende vedlegg A kontroller

• ISO 27001:2022 vedlegg A 5.10
• ISO 27001:2022 vedlegg A 5.12
• ISO 27001:2022 vedlegg A 5.13
• ISO 27001:2022 vedlegg A 5.20

Supplerende veiledning om vedlegg A 5.20

Vedlegg A Kontroll 5.20 anbefaler at organisasjoner fører et avtaleregister for å hjelpe dem med å administrere sine leverandørforhold.

Registreringer over alle avtaler som holdes med andre organisasjoner bør oppbevares, kategorisert etter forholdets art. Dette inkluderer kontrakter, memoranda of understanding og avtaler knyttet til informasjonsdeling.

Hva er endringene fra ISO 27001:2013?

Det er gjort en endring i ISO 27001:2013 vedlegg A 15.1.2 (Adressering av sikkerhet innenfor leverandøravtaler) til ISO 27001: 2022 Vedlegg A Kontroll 5.20.

Flere tilleggsretningslinjer er inneholdt i vedlegg A kontroll 5.20 av ISO 27001:2022 som tar for seg et bredt spekter av tekniske, juridiske og samsvarsrelaterte problemer, inkludert:

• Overleveringsprosedyren.
• Ødeleggelse av informasjon.
• Bestemmelser for oppsigelse.
• Kontroller for fysisk sikkerhet.
• Endringsledelse.
• Informasjonsredundans og sikkerhetskopiering.

Som en generell regel legger ISO 27001:2022 vedlegg A 5.20 vekt på hvordan en leverandør oppnår redundans og dataintegritet gjennom en kontrakt.

Tabell over alle ISO 27001:2022 vedlegg A kontroller

I tabellen nedenfor finner du mer informasjon om hver enkelt ISO 27001:2022 vedlegg A-kontroll.

Hva er fordelene ved å bruke ISMS.online for leverandørforhold?

En trinn-for-trinn sjekkliste guider deg gjennom hele ISO 27001 implementeringsprosess, fra å definere omfanget av ditt ISMS til å identifisere risikoer og implementere kontroller.

Gjennom ISMS.onlines brukervennlige kontoforhold (f.eks. leverandør) område, kan du sikre at dine relasjoner blir nøye utvalgt, administrert godt i livet og overvåket og gjennomgått. ISMS.onlines samarbeidsprosjektarbeidsplasser har lett oppnådd dette kontrollmålet. Disse arbeidsplassene er nyttige for leverandør på ombordstigning, felles tiltak, off boarding etc., som revisor også enkelt kan se ved behov.

Vi har også gjort dette kontrollmålet enklere for din organisasjon ved å gjøre det mulig for deg å demonstrere at leverandøren formelt har forpliktet seg til å overholde kravene. Dette gjøres gjennom vår Politikkpakker. Disse policypakkene er spesielt nyttige for organisasjoner med spesifikke retningslinjer og kontroller som de ønsker at leverandørene deres skal følge, slik at de kan ha tillit til at deres leverandører har lest disse retningslinjene og har forpliktet seg til å overholde dem.

Det kan være nødvendig å justere endringen med A.6.1.5 Informasjonssikkerhet i prosjektledelse avhengig av endringens art (f.eks. for mer omfattende endringer).

Bestill en demo i dag.