ISO 27002:2022, Kontroll 5.22 – Overvåking, gjennomgang og endringsstyring av leverandørtjenester

Generell veiledning om kontroll 5.22

Kontroll 5.22 inneholder 13 hovedområder som organisasjoner trenger å vurdere ved håndtering av leverandørforhold, og hvilken effekt de har på deres egne informasjonssikkerhetsstandarder.

Organisasjoner må ta skritt for å sikre at ansatte som er ansvarlige for å administrere SLAer og leverandørrelasjoner har de nødvendige nivåene av ferdigheter og tekniske ressurser for å kunne vurdere leverandørens ytelse tilstrekkelig, og informasjonssikkerhetsstandarder ikke blir brutt.

Organisasjoner bør utarbeide retningslinjer og prosedyrer som:

1. Overvåk kontinuerlig tjenestenivåer i samsvar med publiserte SLAer, og eventuelle mangler blir løst.
2. Overvåke eventuelle endringer gjort av leverandøren i deres egen drift, inkludert (men ikke begrenset til):
   
   a) Tjenesteforbedringer
   b) Introduksjonen av nye applikasjoner, systemer eller programvareprosesser
   c) Relevante og meningsfulle revisjoner av leverandørens interne styringsdokumenter
   d) Noen hendelsesadministrasjon prosedyreendringer, eller innsats ment å øke nivåene av informasjonssikkerhet
3. Overvåk eventuelle tjenestespesifikke endringer, inkludert (men ikke begrenset til):
   
   a) Infrastrukturendringer
   b) Anvendelsen av nye teknologier
   c) Utrullingen av produktoppdateringer eller versjonsoppgraderinger
   d) Endringer i utviklingsmiljøet
   e) Logistiske og fysiske endringer på leverandøranlegg, inkludert nye lokasjoner
   f) Eventuelle endringer i outsourcing-partnere eller underleverandører
   g) Intensjonen om underleverandører, der praksis ikke var på plass tidligere
4. Be om regelmessige servicerapporter, analyser data og delta på gjennomgangsmøter i henhold til avtalte nivåer for tjenestelevering.
5. Revider outsourcingpartnere og underleverandører og forfølge eventuelle bekymringsområder.
6. Gjennomgå sikkerhetshendelser i henhold til avtalte Incident Management standarder og praksis, og leverandøravtalen.
7. Opprettholde en grundig oversikt over informasjonssikkerhetshendelser, konkrete driftsproblemer, feillogger og generelle barrierer for tjenesteleveransestandardene som er avtalt.
8. Reager proaktivt på og iverksett korrigerende tiltak mot informasjonssikkerhetsrelaterte hendelser.
9. Fremhev noen sårbarheter i informasjonssikkerhet og dempe dem i størst mulig grad.
10. Analyser eventuelle relevante informasjonssikkerhetsfaktorer som ligger i leverandørens forhold til egne leverandører og underleverandører.
11. Sikre at tjenesteleveransen leveres til akseptable nivåer etter betydelige avbrudd på leverandørsiden, inkludert katastrofegjenoppretting.
12. Skissere nøkkelpersonell i leverandørens drift som er ansvarlig for å opprettholde samsvar og overholde vilkårene i en avtale.
13. Regelmessig revisjon en leverandørs evne til å opprettholde en grunnleggende informasjonssikkerhetsstandard.

Støttekontroller

• 5.29
• 5.30
• 5.35
• 5.36
• 8.14

Hvordan ISMS.online hjelper

ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.

Noen av de viktigste fordelene ved å bruke ISMS.online inkluderer:

• Du kan bygg ditt ISO 27001-kompatible ISMS innenfor plattformen.
• Brukere kan fullføre oppgaver og sende inn bevis for å demonstrere samsvar med standarden.
• Det er enkelt å delegere ansvar og overvåke fremdriften mot overholdelse.
• Det omfattende verktøysettet for risikovurdering sparer tid og krefter gjennom hele prosessen.
• Vi har en dedikert team av konsulenter til stede for å støtte deg gjennom hele reisen mot samsvar.

Ta kontakt i dag for å bestill en demo.