Doel van de controle 5.22
Controle 5.22 bepaalt de methoden die organisaties moeten volgen bij het monitoren, beoordelen en beheren van veranderingen in de informatiebeveiligingspraktijken en dienstverleningsnormen van een leverancier, en bij het beoordelen van de impact op de eigen niveaus van informatiebeveiliging van de organisatie.
Bij het beheren van de relatie met hun leveranciersmoet een organisatie ernaar streven een basisniveau van informatiebeveiliging te handhaven dat voldoet aan alle overeenkomsten die zijn aangegaan.
5.22 een preventieve controle uit die wijzigt het risico door het handhaven van een “overeengekomen niveau van informatiebeveiliging en dienstverlening” van de kant van de leverancier.
Kenmerken van controle 5.22
| controle Type | Eigenschappen voor informatiebeveiliging | Cyberbeveiligingsconcepten | Operationele mogelijkheden | Beveiligingsdomeinen |
|---|---|---|---|---|
| #Preventief | #Vertrouwelijkheid | #Identificeren | #Beveiliging van leveranciersrelaties | #Governance en ecosysteem |
| #Integriteit | #Bescherming | |||
| #Beschikbaarheid | #Verdediging | |||
| #Informatiebeveiligingsgarantie |
Eigendom van zeggenschap 5.22
Het eigendom van Controle 5.22 moet berusten bij een seniorlid management dat toezicht houdt op de commerciële bedrijfsvoering van een organisatie, en onderhoudt een directe relatie met de leveranciers van een organisatie, zoals a Chief Operating Officer.
ISO 27001 eenvoudig gemaakt
Een voorsprong van 81% vanaf dag één
Wij hebben het harde werk voor u gedaan, waardoor u vanaf het moment dat u inlogt een voorsprong van 81% heeft. U hoeft alleen nog maar de lege plekken in te vullen.
Algemene richtlijnen voor controle 5.22
Controle 5.22 bevat 13 hoofdgebieden die organisaties nodig hebben waarmee rekening moet worden gehouden bij het beheren van leveranciersrelaties, en het effect dat deze hebben op hun eigen informatiebeveiligingsnormen.
Organisaties moeten stappen ondernemen om ervoor te zorgen dat werknemers die verantwoordelijk zijn voor het beheer van SLA's en leveranciersrelaties over de vereiste vaardigheden en technische middelen beschikken om de prestaties van leveranciers adequaat te kunnen beoordelen, en dat de normen voor informatiebeveiliging niet worden geschonden.
Organisaties moeten beleid en procedures opstellen die:
- Bewaak voortdurend de serviceniveaus in overeenstemming met gepubliceerde SLA's en eventuele tekortkomingen worden aangepakt.
- Houd toezicht op eventuele wijzigingen die de leverancier in zijn eigen bedrijfsvoering heeft aangebracht, met inbegrip van (maar niet beperkt tot):
a) Serviceverbeteringen
b) De introductie van nieuwe applicaties, systemen of softwareprocessen
c) Relevante en betekenisvolle herzieningen van de interne governancedocumenten van de leverancier
d) Elke probleembehandeling procedurele veranderingen of inspanningen bedoeld om het niveau van informatiebeveiliging te verhogen - Controleer eventuele servicespecifieke wijzigingen, inclusief (maar niet beperkt tot):
a) Wijzigingen in de infrastructuur
b) De toepassing van opkomende technologieën
c) De uitrol van productupdates of versie-upgrades
d) Veranderingen in de ontwikkelomgeving
e) Logistieke en fysieke veranderingen aan de faciliteiten van leveranciers, inclusief nieuwe locaties
f) Eventuele wijzigingen bij uitbestedingspartners of onderaannemers
g) De intentie om uit te besteden, waar dit voorheen niet het geval was - Vraag regelmatig om servicerapporten, analyseer gegevens en woon beoordelingsvergaderingen bij in overeenstemming met de overeengekomen niveaus van dienstverlening.
- Audit outsourcingpartners en onderaannemers en onderzoek eventuele aandachtspunten.
- Beoordeel beveiligingsincidenten in overeenstemming met de overeengekomen normen en praktijken voor incidentbeheer en de leveranciersovereenkomst.
- Houd een grondig overzicht bij van informatiebeveiligingsgebeurtenissen, tastbare operationele problemen, foutlogboeken en algemene belemmeringen voor de overeengekomen serviceleveringsnormen.
- Proactief reageren op en corrigerende maatregelen nemen tegen informatiebeveiligingsgerelateerde gebeurtenissen.
- Markeer eventuele kwetsbaarheden op het gebied van informatiebeveiliging en deze zoveel mogelijk verzachten.
- Analyseer alle relevante informatiebeveiligingsfactoren die inherent zijn aan de leveranciersrelatie met zijn eigen leveranciers en onderaannemers.
- Zorg ervoor dat de dienstverlening op een aanvaardbaar niveau wordt geleverd na een aanzienlijke verstoring aan de leverancierszijde, inclusief noodherstel.
- Geef een overzicht van het sleutelpersoneel in de activiteiten van de leverancier dat verantwoordelijk is voor het handhaven van de naleving en het naleven van de voorwaarden van een overeenkomst.
- Controleer regelmatig het vermogen van een leverancier om een basisstandaard voor informatiebeveiliging te handhaven.
Ondersteunende controles
- 5.29
- 5.30
- 5.35
- 5.36
- 8.14
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
Nieuwe ISO 27002-controles
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 5.7 | NIEUW | Bedreigingsintelligentie |
| 5.23 | NIEUW | Informatiebeveiliging voor gebruik van clouddiensten |
| 5.30 | NIEUW | ICT gereed voor bedrijfscontinuïteit |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 8.9 | NIEUW | Configuratiebeheer |
| 8.10 | NIEUW | Verwijdering van informatie |
| 8.11 | NIEUW | Gegevensmaskering |
| 8.12 | NIEUW | Preventie van gegevenslekken |
| 8.16 | NIEUW | Monitoring activiteiten |
| 8.23 | NIEUW | Web filtering |
| 8.28 | NIEUW | Veilige codering |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 6.1 | 07.1.1 | Doorlichting |
| 6.2 | 07.1.2 | Arbeidsvoorwaarden |
| 6.3 | 07.2.2 | Bewustzijn, opleiding en training op het gebied van informatiebeveiliging |
| 6.4 | 07.2.3 | Disciplinair proces |
| 6.5 | 07.3.1 | Verantwoordelijkheden na beëindiging of verandering van dienstverband |
| 6.6 | 13.2.4 | Vertrouwelijkheids- of geheimhoudingsovereenkomsten |
| 6.7 | 06.2.2 | Werken op afstand |
| 6.8 | 16.1.2, 16.1.3 | Rapportage van informatiebeveiligingsgebeurtenissen |
| ISO/IEC 27002:2022 Controle-identificatie | ISO/IEC 27002:2013 Controle-identificatie | Controle naam |
|---|---|---|
| 7.1 | 11.1.1 | Fysieke veiligheidsperimeters |
| 7.2 | 11.1.2, 11.1.6 | Fysieke toegang |
| 7.3 | 11.1.3 | Beveiligen van kantoren, kamers en faciliteiten |
| 7.4 | NIEUW | Fysieke beveiligingsmonitoring |
| 7.5 | 11.1.4 | Bescherming tegen fysieke en ecologische bedreigingen |
| 7.6 | 11.1.5 | Werken in beveiligde ruimtes |
| 7.7 | 11.2.9 | Overzichtelijk bureau en helder scherm |
| 7.8 | 11.2.1 | Locatie en bescherming van apparatuur |
| 7.9 | 11.2.6 | Beveiliging van activa buiten het terrein |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | Opslag media |
| 7.11 | 11.2.2 | Ondersteunende nutsvoorzieningen |
| 7.12 | 11.2.3 | Beveiliging van de bekabeling |
| 7.13 | 11.2.4 | Apparatuuronderhoud |
| 7.14 | 11.2.7 | Veilige verwijdering of hergebruik van apparatuur |
Hoe ISMS.online helpt
ISO 27002 implementatie is eenvoudiger met onze stapsgewijze checklist die u door het hele proces leidt, van het definiëren van de reikwijdte van uw ISMS tot risico-identificatie en controle-implementatie.
Enkele van de belangrijkste voordelen van het gebruik van ISMS.online zijn:
- Je kan bouw uw ISO 27001-compatibele ISMS binnen het platform.
- Gebruikers kunnen taken voltooien en bewijsmateriaal indienen om naleving van de norm aan te tonen.
- Het is gemakkelijk om verantwoordelijkheden te delegeren en de voortgang op weg naar naleving te monitoren.
- De uitgebreide toolset voor risicobeoordeling bespaart tijd en moeite tijdens het hele proces.
- We hebben een toegewijde team van adviseurs staat voor u klaar tijdens uw traject naar compliance.
Neem vandaag nog contact op met boek een demo.
