Formål med kontroll 5.22
Kontroll 5.22 fastsetter metodene organisasjoner bør ta når de overvåker, vurderer og administrerer endringer i en leverandørs informasjonssikkerhetspraksis og tjenesteleveransestandarder, og vurderer innvirkningen på organisasjonens egne nivåer av informasjonssikkerhet.
Når du administrerer forhold til sine leverandører, bør en organisasjon søke å opprettholde et grunnleggende informasjonssikkerhetsnivå som følger eventuelle avtaler som er inngått.
5.22 er en forebyggende kontroll Det endrer risiko ved å opprettholde et «avtalt nivå for informasjonssikkerhet og tjenestelevering» fra leverandørens side.
Kontrollattributter 5.22
| Kontrolltype | Informasjonssikkerhetsegenskaper | Konsepter for cybersikkerhet | Operasjonelle evner | Sikkerhetsdomener |
|---|---|---|---|---|
| #Forebyggende | #Konfidensialitet | #Identifisere | #Sikkerhet for leverandørforhold | #Governance og økosystem |
| #Integritet | #Beskyttelse | |||
| #Tilgjengelighet | #Forsvar | |||
| #Informasjonssikkerhetsforsikring |
Eierskap til kontroll 5.22
Eierskap til kontroll 5.22 bør ligge hos et medlem av senior ledelse som fører tilsyn med en organisasjons kommersielle drift, og opprettholder et direkte forhold til en organisasjons leverandører, for eksempel en Chief Operating Officer.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Generell veiledning om kontroll 5.22
Kontroll 5.22 inneholder 13 hovedområder som organisasjoner trenger å vurdere ved håndtering av leverandørforhold, og hvilken effekt de har på deres egne informasjonssikkerhetsstandarder.
Organisasjoner må ta skritt for å sikre at ansatte som er ansvarlige for å administrere SLAer og leverandørrelasjoner har de nødvendige nivåene av ferdigheter og tekniske ressurser for å kunne vurdere leverandørens ytelse tilstrekkelig, og informasjonssikkerhetsstandarder ikke blir brutt.
Organisasjoner bør utarbeide retningslinjer og prosedyrer som:
- Overvåk kontinuerlig tjenestenivåer i samsvar med publiserte SLAer, og eventuelle mangler blir løst.
- Overvåke eventuelle endringer gjort av leverandøren i deres egen drift, inkludert (men ikke begrenset til):
a) Tjenesteforbedringer
b) Introduksjonen av nye applikasjoner, systemer eller programvareprosesser
c) Relevante og meningsfulle revisjoner av leverandørens interne styringsdokumenter
d) Noen hendelsesadministrasjon prosedyreendringer, eller innsats ment å øke nivåene av informasjonssikkerhet - Overvåk eventuelle tjenestespesifikke endringer, inkludert (men ikke begrenset til):
a) Infrastrukturendringer
b) Anvendelsen av nye teknologier
c) Utrullingen av produktoppdateringer eller versjonsoppgraderinger
d) Endringer i utviklingsmiljøet
e) Logistiske og fysiske endringer på leverandøranlegg, inkludert nye lokasjoner
f) Eventuelle endringer i outsourcing-partnere eller underleverandører
g) Intensjonen om underleverandører, der praksis ikke var på plass tidligere - Be om regelmessige servicerapporter, analyser data og delta på gjennomgangsmøter i henhold til avtalte nivåer for tjenestelevering.
- Revider outsourcingpartnere og underleverandører og forfølge eventuelle bekymringsområder.
- Gjennomgå sikkerhetshendelser i henhold til avtalte Incident Management standarder og praksis, og leverandøravtalen.
- Opprettholde en grundig oversikt over informasjonssikkerhetshendelser, konkrete driftsproblemer, feillogger og generelle barrierer for tjenesteleveransestandardene som er avtalt.
- Reager proaktivt på og iverksett korrigerende tiltak mot informasjonssikkerhetsrelaterte hendelser.
- Fremhev noen sårbarheter i informasjonssikkerhet og dempe dem i størst mulig grad.
- Analyser eventuelle relevante informasjonssikkerhetsfaktorer som ligger i leverandørens forhold til egne leverandører og underleverandører.
- Sikre at tjenesteleveransen leveres til akseptable nivåer etter betydelige avbrudd på leverandørsiden, inkludert katastrofegjenoppretting.
- Skissere nøkkelpersonell i leverandørens drift som er ansvarlig for å opprettholde samsvar og overholde vilkårene i en avtale.
- Regelmessig revisjon en leverandørs evne til å opprettholde en grunnleggende informasjonssikkerhetsstandard.
Støttekontroller
- 5.29
- 5.30
- 5.35
- 5.36
- 8.14
Frigjør deg fra et fjell av regneark
Bygg inn, utvid og skaler samsvarsstyringen din uten rot. IO gir deg robustheten og selvtilliten til å vokse sikkert.
Nye ISO 27002 kontroller
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 5.7 | NEW | Trusselintelligens |
| 5.23 | NEW | Informasjonssikkerhet for bruk av skytjenester |
| 5.30 | NEW | IKT-beredskap for forretningskontinuitet |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 8.9 | NEW | Konfigurasjonsstyring |
| 8.10 | NEW | Sletting av informasjon |
| 8.11 | NEW | Datamaskering |
| 8.12 | NEW | Forebygging av datalekkasje |
| 8.16 | NEW | Overvåking av aktiviteter |
| 8.23 | NEW | Web-filtrering |
| 8.28 | NEW | Sikker koding |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 6.1 | 07.1.1 | Screening |
| 6.2 | 07.1.2 | Vilkår og betingelser for ansettelsen |
| 6.3 | 07.2.2 | Informasjonssikkerhetsbevissthet, utdanning og opplæring |
| 6.4 | 07.2.3 | Disiplinær prosess |
| 6.5 | 07.3.1 | Ansvar etter oppsigelse eller endring av arbeidsforhold |
| 6.6 | 13.2.4 | Avtaler om konfidensialitet eller taushetsplikt |
| 6.7 | 06.2.2 | Fjernarbeid |
| 6.8 | 16.1.2, 16.1.3 | Informasjonssikkerhet hendelsesrapportering |
| ISO/IEC 27002:2022 kontrollidentifikator | ISO/IEC 27002:2013 kontrollidentifikator | Kontrollnavn |
|---|---|---|
| 7.1 | 11.1.1 | Fysiske sikkerhetsomkretser |
| 7.2 | 11.1.2, 11.1.6 | Fysisk inngang |
| 7.3 | 11.1.3 | Sikring av kontorer, rom og fasiliteter |
| 7.4 | NEW | Fysisk sikkerhetsovervåking |
| 7.5 | 11.1.4 | Beskyttelse mot fysiske og miljømessige trusler |
| 7.6 | 11.1.5 | Arbeid i sikre områder |
| 7.7 | 11.2.9 | Oversiktlig skrivebord og oversiktlig skjerm |
| 7.8 | 11.2.1 | Utstyrsplassering og beskyttelse |
| 7.9 | 11.2.6 | Sikkerhet av eiendeler utenfor lokaler |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Lagringsmedier |
| 7.11 | 11.2.2 | Støtteverktøy |
| 7.12 | 11.2.3 | Kablingssikkerhet |
| 7.13 | 11.2.4 | Vedlikehold av utstyr |
| 7.14 | 11.2.7 | Sikker avhending eller gjenbruk av utstyr |
Hvordan ISMS.online hjelper
ISO 27002 implementeringen er enklere med vår trinnvise sjekkliste som guider deg gjennom hele prosessen, fra å definere omfanget av ISMS-en din til risikoidentifikasjon og kontrollimplementering.
Noen av de viktigste fordelene ved å bruke ISMS.online inkluderer:
- Du kan bygg ditt ISO 27001-kompatible ISMS innenfor plattformen.
- Brukere kan fullføre oppgaver og sende inn bevis for å demonstrere samsvar med standarden.
- Det er enkelt å delegere ansvar og overvåke fremdriften mot overholdelse.
- Det omfattende verktøysettet for risikovurdering sparer tid og krefter gjennom hele prosessen.
- Vi har en dedikert team av konsulenter til stede for å støtte deg gjennom hele reisen mot samsvar.
Ta kontakt i dag for å bestill en demo.
