ISO 27002:2022, Kontroll 5.19 – Informasjonssikkerhet i leverandørforhold

Eierskap til kontroll 5.19

Mens Control 5.19 inneholder mye veiledning om bruk av IKT-tjenester, omfatter det bredere omfanget av kontrollen mange andre aspekter av en organisasjons forhold til leverandørbasen, inkludert leverandørtyper, logistikk, verktøy, finansielle tjenester og infrastrukturkomponenter).

Som sådan bør eierskapet til kontroll 5.19 ligge hos et medlem av toppledelsen som fører tilsyn med en organisasjons kommersielle drift, og opprettholder et direkte forhold til en organisasjons leverandører, som f.eks. Chief Operating Officer.

Generell veiledning

Overholdelse av kontroll 5.19 innebærer å følge det som er kjent som en 'emnespesifikk' tilnærming til informasjonssikkerhet i leverandørforhold.

Emnespesifikke tilnærminger oppmuntrer organisasjoner til å lage leverandørrelaterte retningslinjer som er skreddersydd for individuelle forretningsfunksjoner, i stedet for å følge et teppe leverandørstyringspolitikk som gjelder alle tredjepartsforhold på tvers av en organisasjons kommersielle drift.

Det er viktig å merke seg at Control 5.19 ber organisasjonen implementere retningslinjer og prosedyrer som ikke bare styrer organisasjonens bruk av leverandørressurser og skyplattformer, men som også danner grunnlaget for hvordan de forventer at leverandørene deres skal oppføre seg før og gjennom hele perioden det kommersielle forholdet.

Som sådan kan Kontroll 5.19 sees på som det essensielle kvalifiserende dokumentet som dikterer hvordan informasjonssikkerhetsstyring håndteres i løpet av en leverandørkontrakt.

Kontroll 5.19 inneholder 14 hovedveiledningspunkter som skal følges:

1) Opprettholde en nøyaktig oversikt over leverandørtyper (f.eks. finansielle tjenester, IKT-maskinvare, telefoni) som har potensial til å påvirke informasjonssikkerhetens integritet.

Samsvar – Lag en liste over alle leverandører som din organisasjon jobber med, kategoriser dem i henhold til deres forretningsfunksjon og legg til kategorier til nevnte leverandørtyper etter behov.

2) Forstå hvordan du vet leverandører, basert på risikonivået som er iboende for deres leverandørtype.

Samsvar – Ulike leverandørtyper vil kreve ulike due diligence-kontroller. Vurder å bruke kontrollmetoder på leverandør-for-leverandør-basis (f.eks. bransjereferanser, regnskaper, vurderinger på stedet, sektorspesifikke sertifiseringer som Microsoft-partnerskap).

3) Identifiser leverandører som har forhåndseksisterende informasjonssikkerhetskontroller på plass.

Samsvar – Be om å se kopier av leverandørers relevante styringsprosedyrer for informasjonssikkerhet, for å vurdere risikoen for din egen organisasjon. Hvis de ikke har noen, er det ikke et godt tegn.

4) Identifiser og definer de spesifikke områdene av din organisasjons IKT-infrastruktur som leverandørene dine vil kunne enten få tilgang til, overvåke eller gjøre bruk av selv.

Samsvar – Det er viktig å fastslå fra første stund nøyaktig hvordan leverandørene dine skal samhandle med IKT-ressursene dine – enten de er fysiske eller virtuelle – og hvilke tilgangsnivåer de gis i henhold til kontraktsmessige forpliktelser.

5) Definer hvordan leverandørenes egen IKT-infrastruktur kan påvirke dine egne data og dine kunder.

Samsvar – En organisasjons første forpliktelse er sitt eget sett med informasjonssikkerhetsstandarder. Leverandørens IKT-ressurser må gjennomgås i samsvar med deres potensiale påvirke oppetid og integritet i hele organisasjonen.

6) Identifisere og administrere de ulike informasjonssikkerhetsrisikoer knyttet til:

a. Leverandørbruk av konfidensiell informasjon eller beskyttede eiendeler (f.eks. begrenset til ondsinnet bruk og/eller kriminelle hensikter).

b. Defekt leverandørmaskinvare eller feilfungerende programvareplattform knyttet til lokale eller skybaserte tjenester.

Samsvar – Organisasjoner må hele tiden være oppmerksomme på informasjonssikkerhetsrisikoene forbundet med katastrofale hendelser, for eksempel uhyggelig aktivitet på leverandørsiden eller store uforutsette programvarehendelser, og deres innvirkning på organisasjonens informasjonssikkerhet.

Generell veiledning fortsettes

7) Overvåk overholdelse av informasjonssikkerhet på et emnespesifikk eller leverandørtypebasis.

Samsvar – Organisasjonens behov for å sette pris på informasjonssikkerhetsimplikasjonene som ligger i hver leverandørtype, og justere deres overvåkingsaktivitet for å imøtekomme ulike risikonivåer.

8) Begrens mengden skade og/eller forstyrrelse forårsaket av manglende overholdelse.

Samsvar – Leverandøraktivitet bør overvåkes på en hensiktsmessig måte, og i varierende grad, i samsvar med risikonivået. Der det oppdages manglende overholdelse, enten proaktivt eller reaktivt, bør det iverksettes umiddelbare tiltak.

9) Vedlikehold a robust hendelseshåndteringsprosedyre som dekker en rimelig mengde beredskap.

Samsvar – Organisasjoner bør forstå nøyaktig hvordan de skal reagere når de står overfor et bredt spekter av hendelser knyttet til levering av tredjepartsprodukter og -tjenester, og skissere avhjelpende tiltak som inkluderer både leverandøren og organisasjonen.

10) Vedta tiltak som ivaretar tilgjengeligheten og behandlingen av leverandørens informasjon, uansett hvor den brukes, og sikrer dermed integriteten til organisasjonens egen informasjon.

Samsvar – Det bør iverksettes tiltak for å sikre at leverandørsystemer og data håndteres på en måte som ikke går på akkord med tilgjengeligheten og sikkerheten til organisasjonens egne systemer og informasjon.

11) Lag en grundig opplæringsplan som gir veiledning om hvordan personalet bør samhandle med leverandørpersonell og informasjon på leverandør-for-leverandør-basis, eller type-for-type-basis.

Samsvar – Opplæring bør dekke hele spekteret av styring mellom en organisasjon og dens leverandører, inkludert engasjement, detaljert risikostyringskontroller og temaspesifikke prosedyrer.

12) Forstå og administrere risikonivået ved overføring av informasjon og fysiske og virtuelle eiendeler mellom organisasjonen og deres leverandører.

Samsvar – Organisasjoner bør kartlegge hvert trinn i overføringsprosessen og utdanne ansatte om risiko forbundet med flytting av eiendeler og informasjon fra en kilde til en annen.

13) Sikre at leverandørforhold avsluttes med informasjonssikkerhet i tankene, inkludert fjerning av tilgangsrettigheter og muligheten til å få tilgang til organisasjonsinformasjon.

Samsvar – IKT-teamene dine bør ha en klar forståelse av hvordan de kan tilbakekalle en leverandørs tilgang til informasjon, inkludert:

• Granulær analyse av tilknyttede domene og/eller skybaserte kontoer.
• Distribusjon av åndsverk.
• Portering av informasjon mellom leverandører, eller tilbake til din organisasjon.
• Registeradministrasjon.
• Returnere eiendeler til den opprinnelige eieren.
• Tilstrekkelig avhending av fysiske og virtuelle eiendeler, inkludert informasjon.
• Overholdelse av eventuelle kontraktsmessige krav, inkludert konfidensialitetsklausuler og/eller eksterne avtaler.

14) Skisser nøyaktig hvordan du forventer at leverandøren skal opptre når det gjelder fysiske og virtuelle sikkerhetstiltak.

Samsvar – Organisasjoner bør stille klare forventninger fra begynnelsen av ethvert kommersielt forhold, som spesifiserer hvordan personell på leverandørsiden forventes å oppføre seg når de samhandler med dine ansatte eller eventuelle relevante eiendeler.

Supplerende veiledning

ISO erkjenner at det ikke alltid er mulig å pålegge en leverandør et fullstendig sett med retningslinjer som oppfyller hvert eneste krav fra listen ovenfor, slik Control 5.19 har til hensikt, spesielt når det gjelder rigide offentlige organisasjoner.

Når det er sagt, sier Kontroll 5.19 klart at organisasjoner bør bruke veiledningen ovenfor når de danner relasjoner med leverandører, og vurdere manglende etterlevelse fra sak til sak.

Der full overholdelse ikke er oppnåelig, gir Control 5.19 organisasjoner spillerom ved å anbefale "kompenserende kontroller" som oppnår tilstrekkelige nivåer av risikostyring, basert på en organisasjons unike omstendigheter.

Endringer fra ISO 27002:2013

27002:2022-5.19 erstatter 27002:2013-5.1.1 (Informasjonssikkerhetspolicy for leverandørforhold).

27002:2022-5.19 følger stort sett de samme underliggende konseptene i 2013-kontrollen, men inneholder flere tilleggsveiledningsområder som enten er utelatt fra 27002:2013-5.1.1, eller i det minste ikke dekket så mye detaljert, gjelder også:

• Vetting av leverandører basert på deres leverandørtype og risikonivå.
• Behovet for å sikre integriteten til leverandørinformasjon for å sikre egne data, og sikre forretningskontinuitet.
• De ulike trinnene som kreves når et leverandørforhold avsluttes, inkludert avvikling av tilgangsrettigheter, IP-distribusjon, kontraktsmessige avtaler etc.

27002:2022-5.19 er også eksplisitt i å erkjenne den svært varierende karakteren av leverandørforhold (basert på type, sektor og risikonivå), og gir organisasjoner et visst spillerom når de vurderer muligheten for manglende overholdelse av et gitt veiledningspunkt, basert på forholdets art (se "Supplerende veiledning" ovenfor).

Hvordan ISMS.online hjelper

Ved hjelp av ISMS.online du kan:

• Implementer raskt en Informasjonssikkerhetsstyringssystem (ISMS).
• Administrer enkelt dokumentasjonen til ISMS.
• Strømlinjeform overholdelse av alle relevante standarder.
• Administrer alle aspekter av informasjonssikkerhet, fra risikostyring til opplæring i sikkerhetsbevissthet.
• Kommuniser effektivt gjennom hele organisasjonen ved å bruke vår innebygde kommunikasjonsfunksjonalitet.

Det er en enkel sak å opprette en gratis prøvekonto og følge trinnene vi tilbyr.

Ta kontakt i dag for å bestill en demo.