ISO 27001:2022 Bijlage A 5.22 – Monitoring en beoordeling en wijzigingsbeheer van leveranciersdiensten

Wat is het doel van ISO 27001:2022 bijlage A 5.22?

Bijlage A controle 5.22 heeft tot doel ervoor te zorgen dat er overeenstemming wordt bereikt niveau van informatiebeveiliging en de dienstverlening blijft gehandhaafd. Dit is in overeenstemming met leverancierscontracten met betrekking tot de ontwikkeling van leveranciersdiensten.

De diensten van leveranciers worden gecontroleerd en beoordeeld

In bijlage A 5.22 wordt beschreven dat organisaties de dienstverleningsprocessen van hun leveranciers regelmatig monitoren, beoordelen en auditen. Het uitvoeren van beoordelingen en monitoring kan het beste worden gedaan in overeenstemming met de informatie die risico loopt, aangezien één maat niet voor alle situaties geschikt is.

Door haar beoordelingen uit te voeren in overeenstemming met de voorgestelde segmentatie van leveranciers, kan de organisatie haar middelen optimaliseren en ervoor zorgen dat hun inspanningen zich concentreren op het monitoren en beoordelen waar de grootste impact kan worden bereikt.

Net als bij bijlage A 5.19 is pragmatisme soms noodzakelijk: kleine organisaties krijgen niet noodzakelijkerwijs een audit, een personeelsbeoordeling of gerichte serviceverbeteringen als ze AWS gebruiken. Om er zeker van te zijn dat ze geschikt blijven voor uw doel, kunt u bijvoorbeeld hun jaarlijks gepubliceerde SOC II-rapporten en beveiligingscertificeringen controleren.

De monitoring moet worden gedocumenteerd op basis van uw kracht, risico's en waarde, zodat uw auditor kan bevestigen dat deze is voltooid. Dit komt omdat alle noodzakelijke wijzigingen zijn beheerd via een formele wijzigingscontroleprocedure.

Wijzigingen in de dienstverlening van leveranciers beheren

Leveranciers moeten het bestaande informatiebeveiligingsbeleid, de procedures en de controles handhaven en verbeteren om eventuele wijzigingen in de dienstverlening door leveranciers te beheren. Het proces houdt rekening met de kriticiteit van de bedrijfsinformatie, de aard van de verandering, de getroffen typen leveranciers, de betrokken processen en systemen, en een herbeoordeling van de risico's.

Bij het aanbrengen van wijzigingen in de dienstverlening van leveranciers is het ook belangrijk om rekening te houden met de intimiteit van de relatie. Dit geldt ook voor het vermogen van de organisatie om een ​​verandering binnen de leverancier te beïnvloeden of te beheersen.

Controle 5.22 specificeert hoe organisaties moeten monitoren, beoordelen en het beheren van wijzigingen in de beveiligingspraktijken en -service van een leverancier leveringsnormen. Het beoordeelt ook hoe deze de eigen beveiligingspraktijken van de organisatie beïnvloeden.

Bij het beheren van de relaties met hun leveranciers moet een organisatie ernaar streven een basisniveau van informatiebeveiliging te handhaven dat voldoet aan de overeenkomsten die zij hebben ondertekend.

In overeenstemming met ISO 27001:2022 is bijlage A 5.22 een preventieve controle die is ontworpen om risico's te minimaliseren door de leverancier te helpen een 'overeengekomen niveau van informatiebeveiliging en dienstverlening te handhaven.

Eigendom van bijlage A Controle 5.22

Een lid van het senior management dat toezicht houdt op de commerciële activiteiten van een organisatie en een directe relatie onderhoudt met de leveranciers van de organisatie, moet verantwoordelijk zijn voor Controle 5.22.

ISO 27001:2022 Bijlage A 5.22 Algemene richtlijnen

Think ISO 27001:2022 bijlage A Controle 5.22: 13 sleutelgebieden moeten in overweging worden genomen bij het beheren van leveranciersrelaties en hoe deze factoren hun eigen informatiebeveiligingsmaatregelen beïnvloeden.

Een organisatie moet ervoor zorgen dat werknemers die verantwoordelijk zijn voor het beheer van serviceniveauovereenkomsten en leveranciersrelaties over de vereiste vaardigheden en technische middelen beschikken. Dit is om ervoor te zorgen dat zij de prestaties van leveranciers adequaat kunnen beoordelen en dat de informatiebeveiligingsnorm niet wordt geschonden.

Het beleid en de procedures van een organisatie moeten worden opgesteld door:

1. Bewaak voortdurend de serviceniveaus in overeenstemming met de gepubliceerde serviceniveauovereenkomsten en pak eventuele tekortkomingen aan zodra deze zich voordoen.
2. De leverancier moet worden gemonitord op eventuele wijzigingen in zijn eigen bedrijfsvoering, inclusief (maar niet beperkt tot): (1) Serviceverbeteringen (2) Nieuwe applicaties, systemen of softwareprocessen (3) Relevante en betekenisvolle herzieningen van de interne governancedocumenten van de leverancier, en (4) eventuele wijzigingen in procedures voor incidentbeheer of pogingen om het niveau van informatiebeveiliging te verbeteren.
3. Eventuele wijzigingen met betrekking tot de dienst, inclusief (maar niet beperkt tot): a) Infrastructuurwijzigingen b) Toepassingen van opkomende technologieën c) Productupdates en versie-upgrades d) Veranderingen in de ontwikkelomgeving e) Logistieke en fysieke wijzigingen in faciliteiten van leveranciers, inclusief nieuwe locaties f) Wijzigingen in outsourcingpartners of onderaannemers g) Intenties om uit te besteden, indien een dergelijke praktijk nog niet eerder is toegepast.
4. Zorg ervoor dat er regelmatig servicerapporten worden opgeleverd, dat gegevens worden geanalyseerd en dat beoordelingsgesprekken plaatsvinden volgens afgesproken serviceniveaus.
5. Zorg ervoor dat outsourcingpartners en onderaannemers worden gecontroleerd en pak eventuele aandachtspunten aan.
6. Voer een beoordeling uit van beveiligingsincidenten op basis van de standaard en praktijken die zijn overeengekomen door de leverancier en in overeenstemming met de normen voor incidentbeheer.
7. Er moeten gegevens worden bijgehouden over alle incidenten op het gebied van informatiebeveiliging, tastbare operationele problemen, foutlogboeken en algemene belemmeringen voor het voldoen aan de overeengekomen normen voor dienstverlening.
8. Neem proactief actie als reactie op incidenten op het gebied van informatiebeveiliging.
9. Identificeer eventuele kwetsbaarheden in de informatiebeveiliging en verhelp deze zoveel mogelijk.
10. Voer een analyse uit van alle relevante informatiebeveiligingsfactoren die verband houden met de relatie van de leverancier met zijn leveranciers en onderaannemers.
11. In het geval van een aanzienlijke verstoring aan de kant van de leverancier, inclusief een inspanning voor noodherstel, zorg ervoor dat de dienstverlening op een aanvaardbaar niveau wordt geleverd.
12. Geef een lijst op van de belangrijkste personeelsleden in de activiteiten van de leverancier die verantwoordelijk zijn voor het handhaven van de naleving en het naleven van de voorwaarden van het contract.
13. Zorg ervoor dat een leverancier regelmatig een basisnorm voor informatiebeveiliging handhaaft.

Ondersteuning van bijlage A-controles

• ISO 27001:2022 Bijlage A 5.29
• ISO 27001:2022 Bijlage A 5.30
• ISO 27001:2022 Bijlage A 5.35
• ISO 27001:2022 Bijlage A 5.36
• ISO 27001:2022 Bijlage A 8.14

Tabel met alle ISO 27001:2022 bijlage A-controles

In de onderstaande tabel vindt u meer informatie over elke afzonderlijke ISO 27001:2022 Annex A-controle.

Wat is het voordeel van het gebruik van ISMS.online om leveranciersrelaties te beheren?

Deze Annex A controledoelstelling is door ISMS.online zeer eenvoudig gemaakt. Dit komt omdat ISMS.online het bewijs levert dat uw relaties zorgvuldig zijn geselecteerd, goed worden beheerd en gecontroleerd en beoordeeld. Dit doet u in ons gebruiksvriendelijke gedeelte Accountrelaties (bijvoorbeeld leverancier). Werkruimtes voor samenwerkingsprojecten stellen de auditor in staat om eenvoudig belangrijke leveranciers on boarding, gezamenlijke initiatieven, off boarding, enz. te bekijken.

Naast het assisteren van uw organisatie bij deze Annex A-beheersingsdoelstelling, ISMS.online biedt u ook de mogelijkheid om bewijs te leveren dat de leverancier de vereisten formeel heeft aanvaard en zijn verantwoordelijkheden voor informatiebeveiliging via onze Policy Packs heeft begrepen. Als resultaat van hun specifieke beleid en controles, Beleidspakketten verzekeren leveranciers dat hun medewerkers het beleid en de controles van de organisatie hebben gelezen en zich ertoe hebben verbonden deze na te leven.

Er kan een bredere vereiste zijn om aan te sluiten bij bijlage A.5.8 Informatiebeveiliging in projectmanagement, afhankelijk van de aard van de verandering (bijvoorbeeld voor meer materiële veranderingen).

ISO 27001 implementeren is eenvoudiger met onze stapsgewijze checklist, die u begeleidt vanaf het definiëren van uw ISMS-scope tot het identificeren van risico's en het implementeren van controles.

ISMS.online biedt de volgende voordelen:

• Met het platform kunt u een ISMS-compatibel met ISO 27001 vereisten.
• Gebruikers kunnen taken voltooien en bewijsmateriaal indienen om naleving van de norm aan te tonen.
• Het proces van het delegeren van verantwoordelijkheden en het monitoren van de voortgang op het gebied van compliance is eenvoudig.
• Als resultaat van de alomvattende risico-evaluatie gereedschapset, het proces wordt versneld en tijdbesparend.
• Een toegewijd team van consultants kan u bijstaan ​​tijdens het gehele complianceproces.

Neem vandaag nog contact met ons op een demo plannen.