ISO 27002:2022 – Controle 5.22 – Monitoring, beoordeling en wijzigingsbeheer van leveranciersdiensten

Doel van de controle 5.22

Controle 5.22 bepaalt de methoden die organisaties moeten volgen bij het monitoren, beoordelen en beheren van veranderingen in de informatiebeveiligingspraktijken en dienstverleningsnormen van een leverancier, en bij het beoordelen van de impact op de eigen niveaus van informatiebeveiliging van de organisatie.

Bij het beheren van de relatie met hun leveranciersmoet een organisatie ernaar streven een basisniveau van informatiebeveiliging te handhaven dat voldoet aan alle overeenkomsten die zijn aangegaan.

5.22 een preventieve controle uit die wijzigt het risico door het handhaven van een “overeengekomen niveau van informatiebeveiliging en dienstverlening” van de kant van de leverancier.

Kenmerken van controle 5.22

Eigendom van zeggenschap 5.22

Het eigendom van Controle 5.22 moet berusten bij een seniorlid management dat toezicht houdt op de commerciële bedrijfsvoering van een organisatie, en onderhoudt een directe relatie met de leveranciers van een organisatie, zoals a Chief Operating Officer.

Algemene richtlijnen voor controle 5.22

Controle 5.22 bevat 13 hoofdgebieden die organisaties nodig hebben waarmee rekening moet worden gehouden bij het beheren van leveranciersrelaties, en het effect dat deze hebben op hun eigen informatiebeveiligingsnormen.

Organisaties moeten stappen ondernemen om ervoor te zorgen dat werknemers die verantwoordelijk zijn voor het beheer van SLA's en leveranciersrelaties over de vereiste vaardigheden en technische middelen beschikken om de prestaties van leveranciers adequaat te kunnen beoordelen, en dat de normen voor informatiebeveiliging niet worden geschonden.

Organisaties moeten beleid en procedures opstellen die:

1. Bewaak voortdurend de serviceniveaus in overeenstemming met gepubliceerde SLA's en eventuele tekortkomingen worden aangepakt.
2. Houd toezicht op eventuele wijzigingen die de leverancier in zijn eigen bedrijfsvoering heeft aangebracht, met inbegrip van (maar niet beperkt tot):

   a) Serviceverbeteringen
   b) De introductie van nieuwe applicaties, systemen of softwareprocessen
   c) Relevante en betekenisvolle herzieningen van de interne governancedocumenten van de leverancier
   d) Elke probleembehandeling procedurele veranderingen of inspanningen bedoeld om het niveau van informatiebeveiliging te verhogen

3. Controleer eventuele servicespecifieke wijzigingen, inclusief (maar niet beperkt tot):

   a) Wijzigingen in de infrastructuur
   b) De toepassing van opkomende technologieën
   c) De uitrol van productupdates of versie-upgrades
   d) Veranderingen in de ontwikkelomgeving
   e) Logistieke en fysieke veranderingen aan de faciliteiten van leveranciers, inclusief nieuwe locaties
   f) Eventuele wijzigingen bij uitbestedingspartners of onderaannemers
   g) De intentie om uit te besteden, waar dit voorheen niet het geval was

4. Vraag regelmatig om servicerapporten, analyseer gegevens en woon beoordelingsvergaderingen bij in overeenstemming met de overeengekomen niveaus van dienstverlening.
5. Audit outsourcingpartners en onderaannemers en onderzoek eventuele aandachtspunten.
6. Beoordeel beveiligingsincidenten in overeenstemming met de overeengekomen normen en praktijken voor incidentbeheer en de leveranciersovereenkomst.
7. Houd een grondig overzicht bij van informatiebeveiligingsgebeurtenissen, tastbare operationele problemen, foutlogboeken en algemene belemmeringen voor de overeengekomen serviceleveringsnormen.
8. Proactief reageren op en corrigerende maatregelen nemen tegen informatiebeveiligingsgerelateerde gebeurtenissen.
9. Markeer eventuele kwetsbaarheden op het gebied van informatiebeveiliging en deze zoveel mogelijk verzachten.
10. Analyseer alle relevante informatiebeveiligingsfactoren die inherent zijn aan de leveranciersrelatie met zijn eigen leveranciers en onderaannemers.
11. Zorg ervoor dat de dienstverlening op een aanvaardbaar niveau wordt geleverd na een aanzienlijke verstoring aan de leverancierszijde, inclusief noodherstel.
12. Geef een overzicht van het sleutelpersoneel in de activiteiten van de leverancier dat verantwoordelijk is voor het handhaven van de naleving en het naleven van de voorwaarden van een overeenkomst.
13. Controleer regelmatig het vermogen van een leverancier om een ​​basisstandaard voor informatiebeveiliging te handhaven.

Ondersteunende controles

• 5.29
• 5.30
• 5.35
• 5.36
• 8.14

Nieuwe ISO 27002-controles

Hoe ISMS.online helpt

ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.

Enkele van de belangrijkste voordelen van het gebruik van ISMS.online zijn:

• Je kunt bouw uw ISO 27001-compatibele ISMS binnen het platform.
• Gebruikers kunnen taken voltooien en bewijsmateriaal indienen om naleving van de norm aan te tonen.
• Het is gemakkelijk om verantwoordelijkheden te delegeren en de voortgang op weg naar naleving te monitoren.
• De uitgebreide toolset voor risicobeoordeling bespaart tijd en moeite tijdens het hele proces.
• We hebben een toegewijde team van adviseurs staat voor u klaar tijdens uw traject naar compliance.

Neem vandaag nog contact op met boek een demo.