Meteen naar de inhoud

Wat is het doel van ISO 27001:2022 bijlage A 5.21?

In bijlage A Controle 5.21 moeten organisaties robuuste processen en procedures implementeren voordat zij producten of diensten leveren het beheersen van informatiebeveiligingsrisico's.

Beheersing 5.21 in bijlage A is een preventieve controle die het risico binnen de ICT-toeleveringsketen in stand houdt door het tot stand brengen van een “overeengekomen beveiligingsniveau” tussen de partijen.

Bijlage A 5.21 van ISO 27001 is gericht op ICT-leveranciers die mogelijk iets nodig hebben als aanvulling op of in plaats van de standaardaanpak. Hoewel ISO 27001 talrijke gebieden voor implementatie aanbeveelt, is ook pragmatisme vereist. Gezien de omvang van de organisatie in vergelijking met enkele van de zeer grote bedrijven waarmee zij af en toe zal samenwerken (bijvoorbeeld datacentra, hostingdiensten, banken, enz.), moet zij mogelijk de mogelijkheid hebben om praktijken verderop in de toeleveringsketen te beïnvloeden.

Afhankelijk van de informatie- en communicatietechnologiediensten die worden geleverd, moet de organisatie de risico's die zich kunnen voordoen zorgvuldig beoordelen. In het geval van bijvoorbeeld een infrastructuurkritische dienstverlener is het van belang om een ​​grotere bescherming te garanderen dan wanneer de leverancier alleen toegang heeft tot publiekelijk beschikbare informatie (bijv. broncode voor de vlaggenschipsoftwaredienst) als de leverancier infrastructuurkritische diensten levert.




ISMS.online geeft u een voorsprong van 81% vanaf het moment dat u inlogt

ISO 27001 eenvoudig gemaakt

Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.




Eigendom van bijlage A Controle 5.21

In bijlage A Controle 5.21 ligt de nadruk op het leveren van informatie- en communicatietechnologiediensten door een leverancier of een groep leveranciers.

Daarom is de persoon die verantwoordelijk is voor het verwerven, beheren en vernieuwen van relaties met ICT-leveranciers in alle bedrijfsfuncties, zoals de Chief Technical Officer of hoofd Informatietechnologie, zou eigenaar moeten zijn van dit proces.

ISO 27001:2022 Bijlage A 5.21 – Algemene richtlijnen

De ISO 27001-norm specificeert 13 ICT-gerelateerde richtlijnen die in overweging moeten worden genomen naast alle andere controles uit bijlage A die de relatie van een organisatie met haar leveranciers regelen.

De afgelopen tien jaar zijn platformonafhankelijke on-premise- en clouddiensten steeds populairder geworden. ISO27001:2022 bijlage A Controle 5.21 gaat over de levering van hardware- en softwaregerelateerde componenten en diensten (zowel op locatie als in de cloud), maar maakt zelden onderscheid tussen deze twee.

Verschillende controles uit bijlage A hebben betrekking op de relatie tussen de leverancier en de organisatie en op de verplichtingen van de leverancier bij het uitbesteden van delen van de toeleveringsketen aan derden.

  1. Organisaties moeten een alomvattende set van richtlijnen opstellen informatiebeveiliging standaarden die zijn afgestemd op hun specifieke behoeften en die duidelijke verwachtingen scheppen over hoe leveranciers zich moeten gedragen bij het leveren van ICT-producten en -diensten.
  2. ICT-leveranciers zijn er verantwoordelijk voor dat opdrachtnemers en hun personeel volledig op de hoogte zijn van de unieke informatiebeveiligingsnormen van de organisatie. Dit is het geval als ze een onderdeel van de toeleveringsketen uitbesteden.
  3. De leverancier moet de beveiligingsvereisten van de organisatie communiceren aan alle verkopers of leveranciers waarvan zij gebruik maken wanneer de noodzaak zich voordoet om componenten (fysiek of virtueel) van derden te verwerven.
  4. Een organisatie dient bij leveranciers informatie op te vragen over de aard en functie van de softwarecomponenten.
  5. De organisatie moet elk geleverd product of elke dienst identificeren en exploiteren op een manier die de informatiebeveiliging niet in gevaar brengt.
  6. Risiconiveaus mogen door organisaties niet als vanzelfsprekend worden beschouwd. In plaats daarvan moeten organisaties procedures opstellen die ervoor zorgen dat alle producten of diensten die door leveranciers worden geleverd, veilig zijn en voldoen aan de industrienormen. Er kunnen verschillende methoden worden gebruikt om naleving te garanderen, waaronder certificeringscontroles, interne tests en ondersteunende documentatie.
  7. Als onderdeel van het ontvangen van een product of dienst moeten organisaties alle elementen identificeren en vastleggen die essentieel worden geacht voor het behoud van de kernfunctionaliteit – vooral als deze componenten zijn afgeleid van onderaannemers of uitbestede overeenkomsten.
  8. Leveranciers moeten concrete garanties krijgen dat “kritieke componenten” worden gevolgd in de hele ICT-toeleveringsketen, van creatie tot levering onderdeel van een auditlogboek.
  9. Organisaties moeten categorische zekerheid zoeken voordat ze ICT-producten en -diensten leveren. Dit is om ervoor te zorgen dat ze binnen het toepassingsgebied opereren en geen extra kenmerken bevatten die een onderpandveiligheidsrisico kunnen vormen.
  10. Componentspecificaties zijn van cruciaal belang om ervoor te zorgen dat een organisatie de hardware- en softwarecomponenten begrijpt die zij in haar netwerk introduceert. Organisaties moeten bepalingen eisen die bevestigen dat componenten bij levering legitiem zijn, en leveranciers moeten anti-manipulatiemaatregelen overwegen gedurende de gehele ontwikkelingslevenscyclus.
  11. Het is van cruciaal belang om zekerheid te verkrijgen over de conformiteit van ICT-producten met industriestandaarden en sectorspecifieke beveiligingsvereisten volgens de specifieke productvereisten. Het is gebruikelijk dat bedrijven dit bereiken door een minimumniveau van formele veiligheidscertificering te behalen of zich te houden aan een reeks internationaal erkende informatiestandaarden (bijvoorbeeld de Common Criteria Recognition Arrangement).
  12. Het delen van informatie en gegevens over onderlinge supply chain-operaties vereist dat organisaties ervoor zorgen dat leveranciers hun verplichtingen kennen. In dit opzicht moeten organisaties potentiële conflicten of problemen tussen de partijen onderkennen. Ze moeten ook weten hoe ze deze aan het begin van het proces kunnen oplossen. Leeftijd van het proces.
  13. De organisatie moet procedures ontwikkelen om dit te bewerkstelligen risico's beheren bij het werken met niet-ondersteunde, niet-ondersteunde of verouderde componenten, waar deze zich ook bevinden. In deze situaties moet de organisatie zich dienovereenkomstig kunnen aanpassen en alternatieven kunnen identificeren.



beklimming

Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.




Bijlage A 5.21 ​​Aanvullende richtlijnen

Volgens bijlage A Controle 5.21 moet het bestuur van de ICT-toeleveringsketen in samenhang worden overwogen. Het is bedoeld als aanvulling op het bestaande voorraadketenbeheer procedures en het bieden van context voor ICT-specifieke producten en diensten.

De ISO 27001:2022-norm erkent dat kwaliteitscontrole binnen de ICT-sector geen gedetailleerde inspectie van de nalevingsprocedures van een leverancier omvat, met name met betrekking tot softwarecomponenten.

Het wordt daarom aanbevolen dat organisaties leveranciersspecifieke controles identificeren die worden gebruikt om te verifiëren dat de leverancier een “gerenommeerde bron” is en dat zij overeenkomsten opstellen waarin in detail de verantwoordelijkheden van de leverancier op het gebied van informatiebeveiliging worden vastgelegd bij het uitvoeren van een contract, bestelling of het verlenen van een dienst. .

Wat zijn de veranderingen ten opzichte van ISO 27001:2013?

ISO 27001:2022 Bijlage A Controle 5.21 vervangt ISO 27001:2013 Bijlage A Controle 15.1.3 (Toeleveringsketen voor informatie- en communicatietechnologie).

Naast het naleven van dezelfde algemene richtlijnen als ISO 27001:2013 bijlage A 15.1.3, legt ISO 27001:2022 bijlage A 5.21 veel nadruk op de verplichting van de leverancier om componentgerelateerde informatie te verstrekken en te verifiëren op het moment van levering. levering, waaronder:

  • Leveranciers van informatietechnologiecomponenten.
  • Geef een overzicht van de beveiligingsfuncties van een product en hoe u dit vanuit beveiligingsperspectief kunt gebruiken.
  • Zekerheden met betrekking tot het vereiste beveiligingsniveau.

Volgens ISO 27001:2022 bijlage A 5.21 is de organisatie ook verplicht om aanvullende componentspecifieke informatie te creëren bij de introductie van producten en diensten, zoals:

  • Het identificeren en documenteren van de belangrijkste componenten van een product of dienst die bijdragen aan de kernfunctionaliteit ervan.
  • Waarborgen van de authenticiteit en integriteit van componenten.

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 Annex A-controle.

ISO 27001:2022 Organisatorische controles
Bijlage A Controletype ISO/IEC 27001:2022 bijlage A-identificatie ISO/IEC 27001:2013 bijlage A-identificatie Bijlage A Naam
Organisatorische controles Bijlage A 5.1 Bijlage A 5.1.1
Bijlage A 5.1.2
Beleid voor informatiebeveiliging
Organisatorische controles Bijlage A 5.2 Bijlage A 6.1.1 Rollen en verantwoordelijkheden op het gebied van informatiebeveiliging
Organisatorische controles Bijlage A 5.3 Bijlage A 6.1.2 Scheiding van taken
Organisatorische controles Bijlage A 5.4 Bijlage A 7.2.1 Directie verantwoordelijkheden
Organisatorische controles Bijlage A 5.5 Bijlage A 6.1.3 Contact met autoriteiten
Organisatorische controles Bijlage A 5.6 Bijlage A 6.1.4 Contact met speciale interessegroepen
Organisatorische controles Bijlage A 5.7 NIEUW Bedreiging Intelligentie
Organisatorische controles Bijlage A 5.8 Bijlage A 6.1.5
Bijlage A 14.1.1
Informatiebeveiliging in projectmanagement
Organisatorische controles Bijlage A 5.9 Bijlage A 8.1.1
Bijlage A 8.1.2
Inventarisatie van informatie en andere bijbehorende activa
Organisatorische controles Bijlage A 5.10 Bijlage A 8.1.3
Bijlage A 8.2.3
Aanvaardbaar gebruik van informatie en andere bijbehorende activa
Organisatorische controles Bijlage A 5.11 Bijlage A 8.1.4 Teruggave van activa
Organisatorische controles Bijlage A 5.12 Bijlage A 8.2.1 Classificatie van informatie
Organisatorische controles Bijlage A 5.13 Bijlage A 8.2.2 Etikettering van informatie
Organisatorische controles Bijlage A 5.14 Bijlage A 13.2.1
Bijlage A 13.2.2
Bijlage A 13.2.3
Informatieoverdracht
Organisatorische controles Bijlage A 5.15 Bijlage A 9.1.1
Bijlage A 9.1.2
Access Controle
Organisatorische controles Bijlage A 5.16 Bijlage A 9.2.1 Identiteitsbeheer
Organisatorische controles Bijlage A 5.17 Bijlage A 9.2.4
Bijlage A 9.3.1
Bijlage A 9.4.3
Authenticatie-informatie
Organisatorische controles Bijlage A 5.18 Bijlage A 9.2.2
Bijlage A 9.2.5
Bijlage A 9.2.6
Toegangsrechten
Organisatorische controles Bijlage A 5.19 Bijlage A 15.1.1 Informatiebeveiliging in leveranciersrelaties
Organisatorische controles Bijlage A 5.20 Bijlage A 15.1.2 Het aanpakken van informatiebeveiliging binnen leveranciersovereenkomsten
Organisatorische controles Bijlage A 5.21 Bijlage A 15.1.3 Beheer van informatiebeveiliging in de ICT-toeleveringsketen
Organisatorische controles Bijlage A 5.22 Bijlage A 15.2.1
Bijlage A 15.2.2
Monitoring, beoordeling en wijzigingsbeheer van leveranciersdiensten
Organisatorische controles Bijlage A 5.23 NIEUW Informatiebeveiliging voor gebruik van cloudservices
Organisatorische controles Bijlage A 5.24 Bijlage A 16.1.1 Planning en voorbereiding van informatiebeveiligingsincidentbeheer
Organisatorische controles Bijlage A 5.25 Bijlage A 16.1.4 Beoordeling en beslissing over informatiebeveiligingsgebeurtenissen
Organisatorische controles Bijlage A 5.26 Bijlage A 16.1.5 Reactie op informatiebeveiligingsincidenten
Organisatorische controles Bijlage A 5.27 Bijlage A 16.1.6 Leren van informatiebeveiligingsincidenten
Organisatorische controles Bijlage A 5.28 Bijlage A 16.1.7 Verzameling van bewijsmateriaal
Organisatorische controles Bijlage A 5.29 Bijlage A 17.1.1
Bijlage A 17.1.2
Bijlage A 17.1.3
Informatiebeveiliging tijdens disruptie
Organisatorische controles Bijlage A 5.30 NIEUW ICT-gereedheid voor bedrijfscontinuïteit
Organisatorische controles Bijlage A 5.31 Bijlage A 18.1.1
Bijlage A 18.1.5
Wettelijke, statutaire, regelgevende en contractuele vereisten
Organisatorische controles Bijlage A 5.32 Bijlage A 18.1.2 Intellectuele eigendomsrechten
Organisatorische controles Bijlage A 5.33 Bijlage A 18.1.3 Bescherming van records
Organisatorische controles Bijlage A 5.34 Bijlage A 18.1.4 Privacy en bescherming van PII
Organisatorische controles Bijlage A 5.35 Bijlage A 18.2.1 Onafhankelijke beoordeling van informatiebeveiliging
Organisatorische controles Bijlage A 5.36 Bijlage A 18.2.2
Bijlage A 18.2.3
Naleving van beleid, regels en normen voor informatiebeveiliging
Organisatorische controles Bijlage A 5.37 Bijlage A 12.1.1 Gedocumenteerde operationele procedures
ISO 27001:2022 Personeelscontroles
Bijlage A Controletype ISO/IEC 27001:2022 bijlage A-identificatie ISO/IEC 27001:2013 bijlage A-identificatie Bijlage A Naam
Mensencontroles Bijlage A 6.1 Bijlage A 7.1.1 Doorlichting
Mensencontroles Bijlage A 6.2 Bijlage A 7.1.2 Arbeidsvoorwaarden
Mensencontroles Bijlage A 6.3 Bijlage A 7.2.2 Informatiebeveiligingsbewustzijn, onderwijs en training
Mensencontroles Bijlage A 6.4 Bijlage A 7.2.3 Disciplinair proces
Mensencontroles Bijlage A 6.5 Bijlage A 7.3.1 Verantwoordelijkheden na beëindiging of verandering van dienstverband
Mensencontroles Bijlage A 6.6 Bijlage A 13.2.4 Vertrouwelijkheids- of geheimhoudingsovereenkomsten
Mensencontroles Bijlage A 6.7 Bijlage A 6.2.2 Werken op afstand
Mensencontroles Bijlage A 6.8 Bijlage A 16.1.2
Bijlage A 16.1.3
Rapportage van informatiebeveiligingsgebeurtenissen
ISO 27001:2022 Fysieke controles
Bijlage A Controletype ISO/IEC 27001:2022 bijlage A-identificatie ISO/IEC 27001:2013 bijlage A-identificatie Bijlage A Naam
Fysieke controles Bijlage A 7.1 Bijlage A 11.1.1 Fysieke beveiligingsperimeters
Fysieke controles Bijlage A 7.2 Bijlage A 11.1.2
Bijlage A 11.1.6
Fysieke toegang
Fysieke controles Bijlage A 7.3 Bijlage A 11.1.3 Beveiliging van kantoren, kamers en faciliteiten
Fysieke controles Bijlage A 7.4 NIEUW Fysieke beveiligingsmonitoring
Fysieke controles Bijlage A 7.5 Bijlage A 11.1.4 Bescherming tegen fysieke en ecologische bedreigingen
Fysieke controles Bijlage A 7.6 Bijlage A 11.1.5 Werken in beveiligde gebieden
Fysieke controles Bijlage A 7.7 Bijlage A 11.2.9 Duidelijk bureau en helder scherm
Fysieke controles Bijlage A 7.8 Bijlage A 11.2.1 Apparatuurlocatie en bescherming
Fysieke controles Bijlage A 7.9 Bijlage A 11.2.6 Beveiliging van activa buiten gebouwen
Fysieke controles Bijlage A 7.10 Bijlage A 8.3.1
Bijlage A 8.3.2
Bijlage A 8.3.3
Bijlage A 11.2.5
Opslag media
Fysieke controles Bijlage A 7.11 Bijlage A 11.2.2 Ondersteunende nutsvoorzieningen
Fysieke controles Bijlage A 7.12 Bijlage A 11.2.3 Beveiliging van bekabeling
Fysieke controles Bijlage A 7.13 Bijlage A 11.2.4 Equipment Maintenance
Fysieke controles Bijlage A 7.14 Bijlage A 11.2.7 Veilige verwijdering of hergebruik van apparatuur
ISO 27001:2022 Technologische controles
Bijlage A Controletype ISO/IEC 27001:2022 bijlage A-identificatie ISO/IEC 27001:2013 bijlage A-identificatie Bijlage A Naam
Technologische controles Bijlage A 8.1 Bijlage A 6.2.1
Bijlage A 11.2.8
Eindpuntapparaten van gebruikers
Technologische controles Bijlage A 8.2 Bijlage A 9.2.3 Bevoorrechte toegangsrechten
Technologische controles Bijlage A 8.3 Bijlage A 9.4.1 Beperking van toegang tot informatie
Technologische controles Bijlage A 8.4 Bijlage A 9.4.5 Toegang tot broncode
Technologische controles Bijlage A 8.5 Bijlage A 9.4.2 Veilige authenticatie
Technologische controles Bijlage A 8.6 Bijlage A 12.1.3 Capaciteitsmanagement
Technologische controles Bijlage A 8.7 Bijlage A 12.2.1 Bescherming tegen malware
Technologische controles Bijlage A 8.8 Bijlage A 12.6.1
Bijlage A 18.2.3
Beheer van technische kwetsbaarheden
Technologische controles Bijlage A 8.9 NIEUW Configuration Management
Technologische controles Bijlage A 8.10 NIEUW Informatie verwijderen
Technologische controles Bijlage A 8.11 NIEUW Gegevensmaskering
Technologische controles Bijlage A 8.12 NIEUW Preventie van gegevenslekken
Technologische controles Bijlage A 8.13 Bijlage A 12.3.1 Informatieback-up
Technologische controles Bijlage A 8.14 Bijlage A 17.2.1 Redundantie van informatieverwerkingsfaciliteiten
Technologische controles Bijlage A 8.15 Bijlage A 12.4.1
Bijlage A 12.4.2
Bijlage A 12.4.3
Logging
Technologische controles Bijlage A 8.16 NIEUW Bewakingsactiviteiten
Technologische controles Bijlage A 8.17 Bijlage A 12.4.4 Kloksynchronisatie
Technologische controles Bijlage A 8.18 Bijlage A 9.4.4 Gebruik van bevoorrechte hulpprogramma's Toegangsrechten
Technologische controles Bijlage A 8.19 Bijlage A 12.5.1
Bijlage A 12.6.2
Installatie van software op besturingssystemen
Technologische controles Bijlage A 8.20 Bijlage A 13.1.1 Netwerkbeveiliging
Technologische controles Bijlage A 8.21 Bijlage A 13.1.2 Beveiliging van netwerkdiensten
Technologische controles Bijlage A 8.22 Bijlage A 13.1.3 Segregatie van netwerken
Technologische controles Bijlage A 8.23 NIEUW Web filtering
Technologische controles Bijlage A 8.24 Bijlage A 10.1.1
Bijlage A 10.1.2
Gebruik van cryptografie
Technologische controles Bijlage A 8.25 Bijlage A 14.2.1 Levenscyclus van veilige ontwikkeling
Technologische controles Bijlage A 8.26 Bijlage A 14.1.2
Bijlage A 14.1.3
Beveiligingsvereisten voor applicaties
Technologische controles Bijlage A 8.27 Bijlage A 14.2.5 Principes van veilige systeemarchitectuur en engineeringLeren van incidenten met informatiebeveiliging
Technologische controles Bijlage A 8.28 NIEUW Veilig coderen
Technologische controles Bijlage A 8.29 Bijlage A 14.2.8
Bijlage A 14.2.9
Beveiligingstesten bij ontwikkeling en acceptatie
Technologische controles Bijlage A 8.30 Bijlage A 14.2.7 Uitbestede ontwikkeling
Technologische controles Bijlage A 8.31 Bijlage A 12.1.4
Bijlage A 14.2.6
Scheiding van ontwikkel-, test- en productieomgevingen
Technologische controles Bijlage A 8.32 Bijlage A 12.1.2
Bijlage A 14.2.2
Bijlage A 14.2.3
Bijlage A 14.2.4
Change Management
Technologische controles Bijlage A 8.33 Bijlage A 14.3.1 Test informatie
Technologische controles Bijlage A 8.34 Bijlage A 12.7.1 Bescherming van informatiesystemen tijdens audittests




[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]


Wat is het voordeel van ISMS.online als het gaat om leveranciersrelaties?

Deze Annex A controledoelstelling is door ISMS.online zeer eenvoudig gemaakt. Dit komt omdat ISMS.online het bewijs levert dat uw relaties zorgvuldig zijn geselecteerd, goed worden beheerd en gecontroleerd en beoordeeld.

Dit doet u in ons gebruiksvriendelijke gedeelte Accountrelaties (bijvoorbeeld leverancier). Werkruimtes voor samenwerkingsprojecten stellen de auditor in staat om eenvoudig de belangrijkste on-boarding, gezamenlijke initiatieven, off-boarding van leveranciers, enz. te bekijken.

Bovendien heeft ISMS.online het voor uw organisatie gemakkelijker gemaakt om deze Annex A-controledoelstelling te bereiken door u in staat te stellen bewijs te leveren dat de leverancier zich formeel heeft gecommitteerd aan het naleven van de vereisten en de verantwoordelijkheden van de leverancier met betrekking tot informatiebeveiliging met onze Policy Packs heeft begrepen.

Naast de bredere afspraken tussen klant en leverancier, Beleidspakketten zijn ideaal voor organisaties met een specifiek beleid en bijlage A-controles waarvan zij willen dat het personeel van leveranciers zich eraan houdt, zodat zij ervoor zorgen dat zij hun beleid hebben gelezen en zich ertoe verbinden dit te volgen.

Het cloudgebaseerde platform dat wij aanbieden, biedt bovendien de volgende functies

  • Een documentbeheersysteem dat eenvoudig te gebruiken en op maat te maken is.
  • U krijgt toegang tot een bibliotheek met gepolijste, vooraf geschreven documentatiesjablonen.
  • Het proces voor het uitvoeren van interne audits is vereenvoudigd.
  • Een manier van communiceren met management en stakeholders die efficiënt is.
  • Er wordt een workflowmodule meegeleverd om het implementatieproces te vergemakkelijken.

Aarzel niet om een ​​demo in te plannen neem vandaag nog contact met ons op.


David Holloway

Chief Marketing Officer

David Holloway is Chief Marketing Officer bij ISMS.online en heeft meer dan vier jaar ervaring in compliance en informatiebeveiliging. Als onderdeel van het managementteam richt David zich op het ondersteunen van organisaties om vol vertrouwen door complexe regelgeving te navigeren en strategieën te ontwikkelen die bedrijfsdoelen afstemmen op impactvolle oplossingen. Hij is tevens co-host van de podcast Phishing For Trouble, waarin hij ingaat op spraakmakende cybersecurityincidenten en waardevolle lessen deelt om bedrijven te helpen hun beveiliging en compliance te versterken.

ISO 27001:2022 Bijlage A Controles

Organisatorische controles