Beheersing 5.21 – Beheer van informatiebeveiliging in de ICT-toeleveringsketen

Algemene richtlijnen voor controle 5.21

ISO bepaalt 13 ICT-gerelateerde richtlijnen waarmee rekening moet worden gehouden naast alle andere controles die de relatie van een organisatie met haar leverancier(s) bepalen.

Gezien de uitbreiding van platformonafhankelijke on-premise- en clouddiensten in de afgelopen tien jaar, houdt Control 5.21 zich bezig met het aanbod van zowel hardware en software-gerelateerde componenten en diensten (zowel on-premise als cloudgebaseerd), en maakt zelden een onderscheid tussen beide.

Naast de relatie tussen de leverancier en de organisatie hebben verschillende controles ook betrekking op de verplichtingen van een leverancier bij het uitbesteden van onderdelen van de toeleveringsketen aan externe organisaties.

1. Organisaties moeten een duidelijke set van richtlijnen opstellen informatiebeveiliging normen die van toepassing zijn op hun individuele behoeften, om duidelijke verwachtingen te scheppen over hoe leveranciers zich moeten gedragen bij het leveren van ICT-producten en -diensten.
2. Als de ICT-leverancier enig onderdeel van de toeleveringsketen uitbesteedt, moet de leverancier maatregelen nemen om ervoor te zorgen dat aannemers en hun personeel volledig op de hoogte zijn van de unieke informatiebeveiligingsnormen van de organisatie.
3. Als de noodzaak zich voordoet om componenten (fysiek of virtueel) aan te schaffen die zijn gekocht bij een derde partij, moet de leverancier de beveiligingsvereisten van de organisatie verspreiden onder alle verkopers of leveranciers die hij zelf gebruikt.
4. Leveranciers moeten worden gevraagd om informatie te verstrekken over de aard en functie van de softwarecomponenten die zij gebruiken om een ​​dienst aan de organisatie te leveren.
5. Organisaties moeten de onderliggende beveiligingsfuncties van elk geleverd product of dienst identificeren, en hoe het product of de dienst op een dergelijke manier kan worden beheerd doet geen concessies op het gebied van informatiebeveiliging.
6. Organisaties moeten risiconiveaus niet als vanzelfsprekend beschouwen en procedures opstellen die ervoor zorgen dat alle producten of diensten die een leverancier levert, veilig zijn en voldoen aan geaccepteerde industriestandaarden. Methoden kunnen bestaan ​​uit certificeringscontroles, interne tests en ondersteunende nalevingsdocumentatie.
7. Bij ontvangst van een product of dienst moeten organisaties zich houden aan een proces waarbij eerst alle elementen worden geïdentificeerd en vervolgens vastgelegd die essentieel worden geacht voor het behoud van de kernfunctionaliteit – vooral als deze componenten afkomstig zijn van een onderaannemer/uitbestede overeenkomst.
8. Leveranciers moeten concrete garanties kunnen bieden dat “kritieke componenten” baat hebben bij een gedegen onderzoek audit log dat hun beweging door de hele ICT-toeleveringsketen volgt, van creatie tot levering.
9. Wanneer ICT-producten en -diensten worden geleverd, moeten organisaties de categorische zekerheid zoeken dat genoemde producten en diensten niet alleen binnen de reikwijdte opereren, maar ook geen extra kenmerken bevatten die een onderpand kunnen vormen. veiligheidsrisico.
10. Componentspecificaties zijn essentieel om ervoor te zorgen dat een organisatie de hardware- en softwarecomponenten begrijpt die zij in haar netwerk introduceert. Leveranciers moeten antimanipulatiemaatregelen overwegen gedurende de hele ontwikkelingscyclus, en organisaties moeten bepalingen eisen die bepalen of componenten bij levering legitiem zijn.
11. Er moet worden gezocht naar garanties om te bevestigen dat ICT-producten in overeenstemming zijn met de industriestandaard en/of sectorspecifiek beveiligingsvereisten, voor zover relevant voor elk product. Gebruikelijke methoden om dit te bereiken zijn onder meer het bereiken van een minimumniveau van formele veiligheidscertificering, of het naleven van een reeks internationaal erkende informatiestandaarden (zoals de Common Criteria Recognition Arrangement) per product.
12. Organisaties moeten stappen ondernemen om dat te garanderen leveranciers zijn op de hoogte van hun verplichtingen bij het delen van informatie en/of gegevens over de onderlinge werking van de toeleveringsketen, inclusief het onderkennen van eventuele conflicten of problemen die zich tussen beide partijen kunnen voordoen, en hoe hiermee bij de bron moet worden omgegaan.
13. Organisaties moeten procedures opstellen die de risico's beheersen wanneer ze werken met niet-beschikbare, niet-ondersteunde of verouderde componenten, waar deze zich ook bevinden. Wanneer componenten in een van deze categorieën vallen, moeten organisaties zich dienovereenkomstig kunnen aanpassen en alternatieven kunnen identificeren.

Aanvullende begeleiding

Het is belangrijk op te merken dat het bestuur van de ICT-toeleveringsketen niet op zichzelf mag worden genomen, in overeenstemming met deze controle. Control 5.21 is ontworpen als aanvulling op bestaande supply chain management-procedures en biedt context voor ICT-specifieke producten en diensten.

ISO erkent dat, vooral als het om softwarecomponenten gaat, de kwaliteitscontrole op het gebied van ICT-producten en -diensten zich niet uitstrekt tot gedetailleerde inspectie van de eigen compliance-procedures van de leverancier.

Als zodanig worden organisaties aangemoedigd om leveranciersspecifieke controles te identificeren die de leverancier als een “gerenommeerde bron” verifiëren en overeenkomsten op te stellen waarin de informatiebeveiligingsverplichtingen van de leverancier categorisch worden vastgelegd bij het uitvoeren van een contract, bestelling of het verlenen van een dienst.

Controle 5.21 Wijzigingen ten opzichte van ISO 27002:2013

ISO 27002 :2022-5.21 vervangt ISO 27002:2013-15.1.3 (toeleveringsketen voor informatie- en communicatietechnologie).

ISO 27002:2022-5.21 houdt zich aan dezelfde reeks algemene richtlijnen als ISO 27002:2013-15.1.3, maar legt een veel grotere nadruk op de verplichting van een leverancier om componentgerelateerde informatie te verstrekken en te verifiëren op het leveringspunt, waaronder:

• ICT-leveranciers die componentinformatie verstrekken.
• ICT-leveranciers schetsen de beveiligingsfuncties van een product en hoe dit vanuit beveiligingsperspectief het beste kan worden bediend.
• Zekerheden met betrekking tot vereiste beveiligingsniveaus.

ISO 27002:2022-5.21 vraagt ​​de organisatie ook om aanvullende componentspecifieke informatie te creëren om het algemene niveau van informatiebeveiliging te verhogen bij de introductie van producten en diensten, waaronder:

• Het identificeren en documenteren van componenten die cruciaal zijn voor de kernfunctionaliteit van het product of de dienst.
• Ervoor zorgen dat de componenten origineel en ongewijzigd zijn.

Hoe ISMS.online helpt

At ISMS.onlinehebben we een uitgebreid en eenvoudig te gebruiken systeem gebouwd dat u kan helpen bij het implementeren van ISO 27002-controles en het beheren van uw gehele ISMS.

Ons cloudgebaseerde platform biedt:

• Een eenvoudig te gebruiken en aanpasbaar documentatiebeheersysteem.
• Toegang tot een bibliotheek met gepolijste, vooraf geschreven documentatiesjablonen.
• Een vereenvoudigd proces voor het uitvoeren van interne audits.
• Een efficiënte manier om te communiceren met management en stakeholders.
• Een workflowmodule om het implementatieproces te stroomlijnen.

ISMS.online heeft al deze functiesEn nog veel meer.

Neem vandaag nog contact op met boek een demo.