Kontroll 5.21 – Håndtering av informasjonssikkerhet i IKT-leverandørkjeden

Generell veiledning om kontroll 5.21

ISO fastsetter 13 IKT-relaterte veiledningspunkter som bør vurderes sammen alle andre kontroller som dikterer en organisasjons forhold til leverandøren(e).

Gitt utvidelsen av on-premise- og skytjenester på tvers av plattformer det siste tiåret, tar Control 5.21 for seg forsyningen av både maskinvare og programvare-relaterte komponenter og tjenester (både lokalt og skybasert), og skiller sjelden mellom de to.

I tillegg til forholdet mellom leverandøren og organisasjonen, omhandler flere kontroller også en leverandørs forpliktelser ved underleverandør av deler av forsyningskjeden til tredjepartsorganisasjoner.

1. Organisasjoner bør utarbeide et klart sett med informasjonssikkerhet standarder som gjelder deres individuelle behov, for å sette klare forventninger til hvordan leverandørene skal opptre når de leverer IKT-produkter og -tjenester.
2. Dersom IKT-leverandøren legger ut noen del av forsyningskjeden under entrepriser, bør leverandøren iverksette tiltak for å sikre at entreprenører og deres personell er fullt fortrolig med organisasjonens unike informasjonssikkerhetsstandarder.
3. Dersom det oppstår behov for å anskaffe komponenter (fysiske eller virtuelle) kjøpt fra en tredjepart, bør leverandøren formidle organisasjonens sikkerhetskrav til eventuelle leverandører eller leverandører de selv bruker.
4. Leverandører bør bli bedt om å gi informasjon om arten og funksjonen til programvarekomponentene de bruker for å levere en tjeneste til organisasjonen.
5. Organisasjoner bør identifisere de underliggende sikkerhetsfunksjonene til ethvert produkt eller tjeneste som leveres, og hvordan de skal betjene nevnte produkt eller tjeneste på en måte som går ikke på akkord med informasjonssikkerhet.
6. Organisasjoner bør ikke ta risikonivåer for gitt, og utkast til prosedyrer som sikrer at alle produkter eller tjenester som en leverandør leverer er av sikker natur og i samsvar med aksepterte industristandarder. Metoder kan omfatte sertifiseringskontroller, intern testing og underbyggende samsvarsdokumentasjon.
7. Når de mottar et produkt eller en tjeneste, bør organisasjoner følge en prosess med først å identifisere og deretter registrere alle elementer som anses å være avgjørende for å opprettholde kjernefunksjonalitet – spesielt hvis disse komponentene har sin opprinnelse fra en underleverandør/outsourcet avtale.
8. Leverandører bør kunne gi konkrete forsikringer om at "kritiske komponenter" drar nytte av en grundig revisjonslogg som sporer deres bevegelse gjennom hele IKT-forsyningskjeden, fra opprettelse til levering.
9. Ettersom IKT-produkter og -tjenester leveres, bør organisasjoner søke kategorisk forsikring om at nevnte produkter og tjenester ikke bare opererer innenfor omfanget, men ikke inneholder noen tilleggsfunksjoner som kan utgjøre en sikkerhet sikkerhetsrisiko.
10. Komponentspesifikasjoner er nøkkelen til å sikre at en organisasjon forstår maskinvare- og programvarekomponentene den introduserer på nettverket sitt. Leverandører bør vurdere tiltak mot tukling gjennom hele utviklingens livssyklus, og organisasjoner bør kreve krav som bekrefter at komponenter er legitime ved levering.
11. Det bør søkes forsikringer for å bekrefte at IKT-produkter er i samsvar med industristandard og/eller sektorspesifikke sikkerhetskrav, som er relevant for hvert produkt. Vanlige metoder for å oppnå dette inkluderer å oppnå et minimumsnivå av formell sikkerhetssertifisering, eller å følge et sett med internasjonalt anerkjente informasjonsstandarder (som Common Criteria Recognition Arrangement) per produkt.
12. Organisasjoner bør ta skritt for å sikre det leverandørene er klar over av deres forpliktelser når de deler informasjon og/eller data angående den gjensidige forsyningskjeden, inkludert å erkjenne eventuelle potensielle konflikter eller problemer som kan oppstå mellom begge parter, og hvordan de skal håndteres ved kilden.
13. Organisasjoner må utarbeide prosedyrer som håndterer risiko når de opererer med utilgjengelige, ikke-støttede eller eldre komponenter, uansett hvor de befinner seg. Der komponenter har falt i en av disse kategoriene, bør organisasjoner kunne tilpasse seg deretter og identifisere alternativer.

Supplerende veiledning

Det er viktig å merke seg at styring av IKT-forsyningskjeden ikke bør tas isolert, i samsvar med denne kontrollen. Kontroll 5.21 er utformet for å utfylle eksisterende prosedyrer for forsyningskjedestyring, og tilby kontekst for IKT-spesifikke produkter og tjenester.

ISO erkjenner at, spesielt når det gjelder programvarekomponenter, omfatter ikke kvalitetskontroll innenfor sfæren av IKT-produkter og -tjenester til granulær inspeksjon av leverandørens eget sett med samsvarsprosedyrer.

Som sådan oppfordres organisasjoner til å identifisere leverandørspesifikke kontroller som verifiserer leverandøren som en «reputable source» og utkast til avtaler som kategorisk angir leverandørens informasjonssikkerhetsforpliktelser, ved oppfyllelse av en kontrakt, bestilling eller levering av en tjeneste.

Kontroll 5.21 Endringer fra ISO 27002:2013

ISO 27002:2022-5.21 erstatter ISO 27002:2013-15.1.3 (forsyningskjeden for informasjons- og kommunikasjonsteknologi).

ISO 27002:2022-5.21 følger det samme settet med generelle veiledningsregler som ISO 27002:2013-15.1.3, men legger langt større vekt på en leverandørs forpliktelse til å gi og verifisere komponentrelatert informasjon på leveringsstedet, inkludert:

• IKT-leverandører som gir komponentinformasjon.
• IKT-leverandører som skisserer sikkerhetsfunksjonene til et produkt og hvordan man best kan betjene det fra et sikkerhetsperspektiv.
• Forsikringer om nødvendige sikkerhetsnivåer.

ISO 27002:2022-5.21 ber også organisasjonen om å lage ytterligere komponentspesifikk informasjon for å øke generelle nivåer av informasjonssikkerhet ved introduksjon av produkter og tjenester, inkludert:

• Identifisere og dokumentere komponenter som er avgjørende for kjernefunksjonaliteten til produktet eller tjenesten.
• Sikre at komponentene er ekte og uendret.

Hvordan ISMS.online hjelper

At ISMS.online, har vi bygget et omfattende og brukervennlig system som kan hjelpe deg med å implementere ISO 27002-kontroller og administrere hele ISMS.

Vår skybaserte plattform tilbyr:

• Et enkelt å bruke og tilpasse dokumentasjonsstyringssystem.
• Tilgang til et bibliotek med polerte, forhåndsskrevne dokumentasjonsmaler.
• En forenklet prosess for gjennomføring av internrevisjon.
• En effektiv metode for å kommunisere med ledelse og interessenter.
• En arbeidsflytmodul for å effektivisere implementeringsprosessen.

ISMS.online har alle disse funksjonene, Og mer.

Ta kontakt i dag for å bestill en demo.