ISO 27002:2022, Controle 5.20 – Informatiebeveiliging aanpakken binnen leveranciersovereenkomsten

Algemene richtlijnen voor controle 5.20

Controle 5.20 bevat 25 richtlijnen die volgens ISO “in overweging kunnen worden genomen” (dus niet noodzakelijkerwijs allemaal) om te voldoen aan de informatiebeveiligingseisen van een organisatie.

Ongeacht welke maatregelen worden genomen, stelt Control 5.20 expliciet dat beide partijen het proces moeten afsluiten met een “duidelijk begrip” van hun verplichtingen op het gebied van informatiebeveiliging ten opzichte van elkaar.

1. Er moet een duidelijke beschrijving worden gegeven waarin gedetailleerd wordt aangegeven welke informatie op welke manier dan ook toegankelijk moet zijn, en hoe die informatie toegankelijk zal worden gemaakt.
2. De organisatie moet de informatie waartoe toegang moet worden verkregen classificeren in overeenstemming met het gepubliceerde classificatieschema (zie Controle 5.10, Controle 5.12 en Controle 5.13).
3. Er moet voldoende aandacht worden besteed aan het classificatieschema aan de leverancierszijde, en hoe dit zich verhoudt tot de classificatie van informatie door de organisatie.
4. De rechten van beide partijen moeten worden onderverdeeld in vier hoofdgebieden: juridisch, statutair, regelgevend en contractueel. Binnen deze vier gebieden moeten verschillende verplichtingen duidelijk worden omschreven, zoals standaard is in commerciële overeenkomsten, waaronder toegang tot PII, intellectuele eigendomsrechten en auteursrechtbepalingen. De overeenkomst moet ook bepalen hoe elk van deze sleutelgebieden achtereenvolgens zal worden aangepakt.
5. Elke partij zou verplicht moeten worden een reeks gelijktijdige controles uit te voeren die toezicht houden, beoordelen en beheren informatiebeveiligingsrisico niveaus (zoals toegangscontrolebeleid, contractuele beoordelingen, systeemmonitoring, rapportage en periodieke audits). Bovendien moet de overeenkomst duidelijk aangeven dat het personeel van leveranciers zich moet houden aan de informatiebeveiligingsnormen van een organisatie (zie Controle 5.20).
6. Er moet een duidelijk begrip zijn van wat zowel aanvaardbaar als onaanvaardbaar gebruik van informatie en fysieke en virtuele activa van beide partijen inhoudt.
7. Er moeten procedures worden ingesteld die betrekking hebben op de autorisatieniveaus die vereist zijn voor personeel aan de leverancierskant om toegang te krijgen tot de informatie van een organisatie of deze te bekijken (bijvoorbeeld lijsten met geautoriseerde gebruikers, audits aan de leverancierskant, controles op servertoegang).
8. Informatiebeveiliging moet worden bezien naast de eigen ICT-infrastructuur van de leverancier, en hoe dat zich verhoudt tot het soort informatie waartoe de organisatie toegang heeft verleend, de risicocriteria en de basisset van bedrijfsvereisten van de organisatie.
9. Er moet worden nagedacht over welke stappen de organisatie kan ondernemen in geval van contractbreuk van de kant van de leverancier of het niet naleven van individuele bepalingen.
10. De overeenkomst moet duidelijk een wederzijds karakter schetsen Incidentbeheerprocedure waarin duidelijk wordt vastgelegd wat er moet gebeuren als zich problemen voordoen, vooral wat betreft de manier waarop het incident tussen beide partijen wordt gecommuniceerd.
11. Er moet personeel van beide partijen worden ingezet adequate bewustwordingstraining (waar standaardtraining niet voldoende is) op belangrijke gebieden van de overeenkomst, met name wat betreft belangrijke risicogebieden zoals Incident Management en het verlenen van toegang tot informatie.
12. Er moet voldoende aandacht worden besteed aan het inschakelen van onderaannemers. Als het de leverancier is toegestaan ​​gebruik te maken van onderaannemers, moeten de organisaties stappen ondernemen om ervoor te zorgen dat dergelijke personen of bedrijven zich houden aan dezelfde reeks informatiebeveiligingseisen als de leverancier.
13. Waar dit juridisch mogelijk en operationeel relevant is, moeten organisaties overwegen hoe het personeel van leveranciers wordt gescreend voordat er met hun informatie wordt gewerkt, en hoe de screening wordt geregistreerd en gerapporteerd aan de organisatie, inclusief niet-gescreend personeel en aandachtspunten.
14. Organisaties moeten de noodzaak van attesten van derden bepalen die het vermogen van de leverancier verifiëren om aan de eisen op het gebied van informatiebeveiliging van de organisatie te voldoen, inclusief onafhankelijke rapporten en audits door derden.
15. Organisaties moeten het contractuele recht hebben om de procedures van een leverancier te beoordelen en te auditen, met betrekking tot Controle 5.20.
16. Leveranciers moeten verplicht zijn om (met wisselende tussenpozen) rapporten te leveren die betrekking hebben op de effectiviteit van hun eigen processen en procedures, en op de manier waarop zij eventuele kwesties die in een dergelijk rapport aan de orde komen, willen aanpakken.
17. De overeenkomst moet stappen ondernemen om te zorgen voor een tijdige en grondige oplossing van eventuele gebreken of conflicten die zich in de loop van de relatie voordoen.
18. Waar relevant moet de leverancier te werk gaan met een robuust BUDR-beleid, in lijn met de behoeften van de organisatie, dat drie belangrijke overwegingen omvat:
    
    a) Back-uptype (volledige server, bestand en map enz., incrementeel enz.)
    b) Back-upfrequentie (dagelijks, wekelijks etc.)
    c) Back-uplocatie en bronmedia (onsite, offsite)
19. De veerkracht van de gegevens moet worden bereikt door te werken met een noodherstellocatie die gescheiden is van de belangrijkste ICT-locatie van de leverancier en die niet aan hetzelfde risiconiveau is blootgesteld.
20. De leverancier moet werken met een alomvattend verandermanagementbeleid die de organisatie vooraf op de hoogte stelt van eventuele wijzigingen die van invloed kunnen zijn op de informatiebeveiliging, en de organisatie de mogelijkheid biedt dergelijke wijzigingen af ​​te wijzen.
21. Fysieke beveiligingscontroles (toegang tot gebouwen, bezoekerstoegang, toegang tot kamers, bureaubeveiliging) moeten worden vastgesteld die relevant zijn voor het soort informatie waartoe zij toegang hebben.
22. Wanneer de noodzaak zich voordoet om over te stappen informatie tussen activasites, servers of opslaglocaties moet de leverancier ervoor zorgen dat gegevens en bedrijfsmiddelen gedurende het hele proces beschermd zijn tegen verlies, schade of corruptie.
23. De overeenkomst moet een uitgebreide lijst bevatten van de maatregelen die door beide partijen moeten worden genomen in het geval van beëindiging (zie ook Controle 5.20), inclusief (maar niet beperkt tot):
    
    a) Vervreemding en/of verhuizing van activa
    b) Verwijdering van informatie
    c) Teruggave van IP
    d) Verwijdering van toegangsrechten
    e) Doorlopende vertrouwelijkheidsverplichtingen
24. In aanvulling op punt 23 moet de leverancier precies uiteenzetten hoe hij de informatie van de organisatie wil vernietigen/definitief verwijderen op het moment dat deze niet langer nodig is (dat wil zeggen in geval van beëindiging).
25. Als aan het einde van een contract de noodzaak ontstaat om ondersteuning en/of diensten over te dragen aan een andere aanbieder die niet in de overeenkomst vermeld staat, worden er stappen ondernomen om ervoor te zorgen dat het proces resulteert in nul bedrijfsonderbrekingen.

Ondersteunende controles

• 5.10
• 5.12
• 5.13
• 5.20

Aanvullende begeleiding

Om organisaties te helpen bij het beheren van leveranciersrelaties stelt Control 5.20 dat organisaties een register van overeenkomsten.

Registers moeten alle overeenkomsten met andere organisaties vermelden, en gecategoriseerd op basis van de aard van de relatie, zoals contracten, memoranda van overeenstemming en overeenkomsten voor het delen van informatie.

Wijzigingen en verschillen ten opzichte van ISO 27002:2013

ISO 27002:2022-5.20 vervangt 27002:2013-15.1.2 (Aandacht voor beveiliging binnen leveranciersovereenkomsten).

ISO 27002:2022-5.20 bevat tal van aanvullende richtlijnen die een breed scala aan technische, juridische en compliance-gerelateerde onderwerpen behandelen, waaronder:

• Overdrachtsprocedures
• Vernietiging van informatie
• Beëindigingsclausules
• Fysieke beveiligingscontroles
• Wijzig beheer
• Back-ups en informatieredundantie

In grote lijnen legt ISO 27002:2022-5.20 een veel grotere nadruk op wat er gebeurt aan het einde van een leveranciersrelatie, en kent veel meer belang toe aan de manier waarop een leverancier redundantie en gegevensintegriteit bereikt gedurende de looptijd van een overeenkomst.

Hoe ISMS.online helpt

ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.

Neem vandaag nog contact op met boek een demo.