ISO 27001:2022 Bijlage A Controle 5.19

Algemene richtlijn voor ISO 27001:2022 bijlage A 5.19

Naleving van Bijlage A Controle 5.19 houdt in dat u zich houdt aan wat bekend staat als: ‘themaspecifieke’ aanpak tot informatiebeveiliging in leveranciersrelaties.

Een organisatie wil misschien dat leveranciers toegang krijgen tot en bijdragen aan bepaalde waardevolle informatiemiddelen (bijvoorbeeld de ontwikkeling van softwarecodes, boekhoudkundige salarisinformatie). Ze zouden daarom duidelijke afspraken moeten hebben over welke toegang ze hen precies verlenen, zodat ze de beveiliging eromheen kunnen controleren.

Dit is vooral belangrijk nu steeds meer informatiebeheer-, verwerkings- en technologiediensten worden uitbesteed. Dat betekent dat er een plek is waar je kunt laten zien dat het beheer van de relatie plaatsvindt; contracten, contacten, incidenten, relatieactiviteiten en risicobeheer enz. Als de leverancier ook nauw betrokken is bij de organisatie, maar mogelijk niet over een eigen gecertificeerd ISMS beschikt, is het ook de moeite waard om ervoor te zorgen dat het personeel van de leverancier is opgeleid en zich bewust is van de beveiliging, getraind in uw beleid, enz., om de naleving ervan aan te tonen.

Themaspecifieke benaderingen moedigen organisaties aan om leveranciersgerelateerd beleid te creëren dat is toegesneden op individuele bedrijfsfuncties, in plaats van vast te houden aan een algemeen leveranciersbeheerbeleid dat van toepassing is op alle relaties met derden binnen de commerciële activiteiten van een organisatie.

Het is belangrijk op te merken dat ISO 27001 Annex A Control 5.19 de organisatie vraagt ​​om beleid en procedures te implementeren die niet alleen het gebruik van leveranciersbronnen en cloudplatforms door de organisatie regelen, maar ook de basis vormen van hoe zij van hun leveranciers verwachten dat zij zich gedragen voorafgaand aan en gedurende de gehele looptijd van de commerciële relatie.

Als zodanig kan Bijlage A Controle 5.19 worden gezien als het essentiële kwalificerende document dat bepaalt hoe informatiebeveiligingsbeheer wordt afgehandeld in de loop van een leverancierscontract.

ISO 27001 Bijlage A Controle 5.19 bevat 14 belangrijke richtlijnen waaraan moet worden voldaan:

1) Zorg voor een nauwkeurige registratie van de typen leveranciers (bijvoorbeeld financiële diensten, ICT-hardware, telefonie) die de potentie hebben om de integriteit van de informatiebeveiliging te beïnvloeden.

Conformiteit – Stel een lijst op van alle leveranciers waarmee uw organisatie samenwerkt, categoriseer ze op basis van hun bedrijfsfunctie en voeg indien nodig categorieën toe aan de genoemde soorten leveranciers.

2) Begrijp hoe u leveranciers kunt onderzoeken, op basis van het risiconiveau dat inherent is aan hun leverancierstype.

Conformiteit – Verschillende typen leveranciers vereisen verschillende due diligence-onderzoeken. Overweeg het gebruik van controlemethoden per leverancier (bijvoorbeeld sectorreferenties, financiële overzichten, beoordelingen op locatie, sectorspecifieke certificeringen zoals Microsoft Partnerships).

3) Identificeer leveranciers die reeds bestaande informatiebeveiligingscontroles hebben ingevoerd.

Conformiteit – Vraag om kopieën van de relevante procedures voor het beheer van informatiebeveiliging van leveranciers, om het risico voor uw eigen organisatie te evalueren. Als ze er geen hebben, is dat geen goed teken.

4) Identificeer en definieer de specifieke gebieden van de ICT-infrastructuur van uw organisatie waartoe uw leveranciers toegang kunnen krijgen, deze kunnen monitoren of waar zij zelf gebruik van kunnen maken.

Conformiteit – Het is belangrijk om vanaf het begin precies vast te stellen hoe uw leveranciers zullen omgaan met uw ICT-middelen – of deze nu fysiek of virtueel zijn – en welke toegangsniveaus hun worden verleend in overeenstemming met hun contractuele verplichtingen.

5) Definieer hoe de eigen ICT-infrastructuur van de leverancier invloed kan hebben op uw eigen data en die van uw klanten.

Conformiteit – De eerste verplichting van een organisatie is het voldoen aan haar eigen set informatiebeveiligingsnormen. ICT-middelen van leveranciers moeten worden beoordeeld op hun potentieel om de uptime en integriteit in uw hele organisatie te beïnvloeden.

6) Identificeer en beheer de verschillende informatiebeveiligingsrisico’s die verbonden zijn aan:

A. Gebruik door leveranciers van vertrouwelijke informatie of beschermde activa (bijvoorbeeld beperkt tot kwaadwillig gebruik en/of criminele bedoelingen).

B. Defecte hardware van de leverancier of een defect softwareplatform geassocieerd met on-premise of cloudgebaseerde services.

Conformiteit – Organisaties moeten zich voortdurend bewust zijn van de informatiebeveiligingsrisico’s die gepaard gaan met catastrofale gebeurtenissen, zoals snode gebruikersactiviteiten aan de kant van de leverancier of grote onvoorziene software-incidenten, en de impact daarvan op de informatiebeveiliging van de organisatie.

7) Bewaak de naleving van de informatiebeveiliging op basis van een onderwerp of leveranciertype.

Conformiteit – De behoefte van de organisatie om de informatiebeveiliging implicaties die inherent zijn aan elk type leverancier, en pas hun monitoringactiviteiten aan om tegemoet te komen aan verschillende risiconiveaus.

8) Beperk de hoeveelheid schade en/of verstoring veroorzaakt door niet-naleving.

Conformiteit – De activiteiten van leveranciers moeten op passende wijze en in verschillende mate worden gemonitord, in overeenstemming met het risiconiveau ervan. Wanneer niet-naleving wordt ontdekt, proactief of reactief, moet onmiddellijk actie worden ondernomen.

9) Zorg voor een robuust karakter probleembehandeling procedure die een redelijk aantal onvoorziene gebeurtenissen aanpakt.

Conformiteit – Organisaties moeten precies begrijpen hoe ze moeten reageren wanneer ze worden geconfronteerd met een breed scala aan gebeurtenissen met betrekking tot de levering van producten en diensten van derden, en herstelmaatregelen moeten schetsen waarbij zowel de leverancier als de organisatie betrokken zijn.

10) Maatregelen treffen die inspelen op de beschikbaarheid en verwerking van de informatie van de leverancier, waar deze ook wordt gebruikt, waardoor de integriteit van de eigen informatie van de organisatie wordt gewaarborgd.

Conformiteit – Er moeten stappen worden ondernomen om ervoor te zorgen dat de systemen en gegevens van leveranciers worden behandeld op een manier die geen afbreuk doet aan de beschikbaarheid en veiligheid van de eigen systemen en informatie van de organisatie.

11) Stel een gedegen trainingsplan op dat richtlijnen biedt voor de manier waarop het personeel moet omgaan met het personeel van de leverancier en informatie verstrekt per leverancier, of per type.

Conformiteit – De training moet het volledige spectrum van het bestuur tussen een organisatie en haar leveranciers bestrijken, inclusief betrokkenheid, gedetailleerde risicobeheercontroles en onderwerpspecifieke procedures.

12) Begrijp en beheer het risiconiveau dat inherent is aan de overdracht van informatie en fysieke en virtuele activa tussen de organisatie en hun leveranciers.

Conformiteit – Organisaties moeten elke fase van het overdrachtsproces in kaart brengen en het personeel informeren over de risico's die gepaard gaan met het verplaatsen van activa en informatie van de ene bron naar de andere.

13) Zorg ervoor dat leveranciersrelaties worden beëindigd met het oog op informatiebeveiliging, inclusief het intrekken van toegangsrechten en de mogelijkheid om toegang te krijgen tot organisatie-informatie.

Conformiteit – Uw ICT-teams moeten duidelijk begrijpen hoe ze de toegang van een leverancier tot informatie kunnen intrekken, waaronder:

• Gedetailleerde analyse van elk gekoppeld domein en/of cloudgebaseerde accounts.
• Distributie van intellectueel eigendom.
• Het overdragen van informatie tussen leveranciers, of terug naar uw organisatie.
• Beheer van records.
• Activa teruggeven aan hun oorspronkelijke eigenaar.
• Adequate beschikking over fysieke en virtuele activa, inclusief informatie.
• Naleving van eventuele contractuele vereisten, inclusief vertrouwelijkheidsclausules en/of externe overeenkomsten.

14) Geef precies aan hoe u van de leverancier verwacht dat hij zich gedraagt ​​op het gebied van fysieke en virtuele beveiligingsmaatregelen.

Conformiteit – Organisaties moeten vanaf het begin van elke commerciële relatie duidelijke verwachtingen scheppen, waarin wordt gespecificeerd hoe personeel aan de leverancierskant zich moet gedragen in de omgang met uw personeel of andere relevante activa.

Aanvullend richtsnoer bij bijlage A 5.19

ISO erkent dat het niet altijd mogelijk is om een ​​volledige set beleid op te leggen aan een leverancier die voldoet aan alle vereisten uit de bovenstaande lijst, zoals ISO 27001 Annex A Control 5.19 bedoelt, vooral als het gaat om rigide organisaties in de publieke sector.

Dat gezegd hebbende, stelt Bijlage A Controle 5.19 duidelijk dat organisaties de bovenstaande richtlijnen moeten gebruiken bij het aangaan van relaties met leveranciers, en niet-naleving van geval tot geval moeten overwegen.

Waar volledige naleving niet haalbaar is, geeft Bijlage A Controle 5.19 organisaties speelruimte door “compenserende controles” aan te bevelen die adequate niveaus van risicobeheer bereiken, gebaseerd op de unieke omstandigheden van een organisatie.

Wat zijn de veranderingen ten opzichte van ISO 27001:2013?

ISO 27001:2022 bijlage A 5.19 vervangt ISO 27001:2013 Bijlage A 15.1.1 (Informatiebeveiligingsbeleid voor leveranciersrelaties).

ISO 27001:2022 bijlage A 5.19 houdt zich in grote lijnen aan dezelfde onderliggende concepten als opgenomen in de controle van 2013, maar bevat wel een aantal aanvullende richtlijnen die ofwel zijn weggelaten uit ISO 27001:2013 bijlage A 5.1.1, of op zijn minst niet worden behandeld in zoveel details, waaronder:

• Het doorlichten van leveranciers op basis van hun leverancierstype en risiconiveau.
• De noodzaak om de integriteit van leveranciersinformatie te waarborgen om hun eigen gegevens te beveiligen en de bedrijfscontinuïteit te garanderen.
• De verschillende stappen die nodig zijn bij het beëindigen van een leveranciersrelatie, waaronder het buiten gebruik stellen van toegangsrechten, IP-distributie, contractuele overeenkomsten enz.

ISO 27001:2022 bijlage A 5.19 erkent ook expliciet de zeer variabele aard van leveranciersrelaties (op basis van type, sector en risiconiveau), en geeft organisaties een zekere mate van speelruimte bij het overwegen van de mogelijkheid van niet-naleving van bepaalde richtlijnen. op basis van de aard van de relatie (zie 'Aanvullende richtlijnen' hierboven).

Tabel met alle ISO 27001:2022 bijlage A-controles

In onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 bijlage A Controle.

Hoe helpt ISMS.online bij leveranciersrelaties?

ISMS.online heeft dit controledoel zeer eenvoudig gemaakt door het bewijs te leveren dat uw relaties zorgvuldig zijn gekozen, goed worden beheerd in het leven, inclusief gecontroleerd en beoordeeld. Dat is precies wat ons gebruiksvriendelijke gebied Accountrelaties (bijvoorbeeld leveranciers) doet. De werkruimtes voor samenwerkingsprojecten zijn ideaal voor belangrijke on-boarding van leveranciers, gezamenlijke initiatieven, off-boarding enz., die de auditor indien nodig ook gemakkelijk kan bekijken.

ISMS.online heeft dit controledoel ook voor uw organisatie eenvoudiger gemaakt door u in staat te stellen bewijs te leveren dat de leverancier zich formeel heeft gecommitteerd aan het naleven van de vereisten en zijn verantwoordelijkheden voor informatiebeveiliging heeft begrepen via onze Policy Packs. Beleidspakketten zijn ideaal als de organisatie specifieke beleidsregels en controles heeft die de medewerkers van leveranciers moeten volgen en er vertrouwen in moeten hebben dat ze deze hebben gelezen en zich ertoe hebben verbonden deze na te leven – buiten de bredere overeenkomsten tussen klant en leverancier.

Afhankelijk van de aard van de verandering (dwz voor meer materiële veranderingen) kan er een bredere vereiste zijn om aan te sluiten A.6.1.5 informatiebeveiliging in projectmanagement.

Met ISMS.online kunt u:

• Implementeer snel een Information Security Management System (ISMS).
• Beheer eenvoudig de documentatie van uw ISMS.
• Stroomlijn de naleving van alle relevante normen.
• Beheer alle aspecten van informatiebeveiliging, van risicobeheer tot beveiligingsbewustzijnstraining.
• Communiceer effectief door uw hele organisatie met behulp van onze ingebouwde communicatiefunctionaliteit.

Neem vandaag nog contact op met boek een demo.