ISO 27001:2022 נספח A בקרת 5.19

הנחיות כלליות בנושא ISO 27001:2022 נספח A 5.19

עמידה בנספח A בקרה 5.19 כרוכה בשמירה על מה שמכונה א גישה 'ספציפית לנושא' לאבטחת מידע ביחסי ספקים.

ארגון עשוי לרצות שספקים יגשו ויתרום לנכסי מידע מסוימים בעלי ערך גבוה (למשל פיתוח קוד תוכנה, מידע שכר חשבונאי). לכן הם יצטרכו לקבל הסכמים ברורים לגבי איזו גישה בדיוק הם מאפשרים להם, כדי שיוכלו לשלוט באבטחה סביבו.

זה חשוב במיוחד עם יותר ויותר שירותי ניהול, עיבוד וטכנולוגיה של מידע במיקור חוץ. זה אומר שיש מקום להראות ניהול של מערכת היחסים קורה; חוזים, אנשי קשר, תקריות, פעילות מערכת יחסים ו ניהול סיכונים וכדומה. כאשר הספק גם מעורב באופן אינטימי בארגון, אבל אולי אין לו ISMS מוסמך משלו, אזי הבטחת צוות הספקים מושכלים ומודעים לאבטחה, מאומנים על המדיניות שלך וכו', שווה גם להוכיח עמידה בדרישות.

גישות ספציפיות לנושא מעודדות ארגונים ליצור מדיניות הקשורה לספקים המותאמות לפונקציות עסקיות בודדות, במקום לדבוק במדיניות גורפת של ניהול ספקים החלה על כל קשרי צד שלישי בכל הפעילות המסחרית של הארגון.

חשוב לציין ש-ISO 27001 נספח א' בקרה 5.19 מבקש מהארגון ליישם מדיניות ונהלים שלא רק מסדירים את השימוש של הארגון במשאבי ספקים ופלטפורמות ענן, אלא גם מהווים את הבסיס לאופן שבו הם מצפים מהספקים שלהם להתנהל לפני לאורך כל תקופת הקשר המסחרי.

ככזה, ניתן לראות בנספח A בקרה 5.19 כמסמך הכשיר החיוני המכתיב את אופן הטיפול בממשל אבטחת מידע במהלך חוזה ספק.

ISO 27001 נספח A Control 5.19 מכיל 14 נקודות הנחיה עיקריות שיש לדבוק בהן:

1) לשמור על רישום מדויק של סוגי ספקים (למשל שירותים פיננסיים, חומרת ICT, טלפוניה) שיש להם פוטנציאל להשפיע על שלמות אבטחת המידע.

מענה לארועים - נסח רשימה של כל הספקים והספקים שאיתם הארגון שלך עובד, סיווג אותם לפי תפקידם העסקי והוסף קטגוריות לסוגי הספקים האמורים לפי הצורך.

2) הבן כיצד לבצע בדיקת ספקים, בהתבסס על רמת הסיכון הגלומה בסוג הספק שלהם.

מענה לארועים – סוגי ספקים שונים ידרשו בדיקות נאותות שונות. שקול להשתמש בשיטות בדיקה על בסיס ספק-ספק (למשל הפניות בענף, דוחות כספיים, הערכות באתר, הסמכות ספציפיות למגזר כגון שותפויות של Microsoft).

3) זהה ספקים שיש להם בקרות אבטחת מידע קיימות.

מענה לארועים – בקש לראות עותקים של נהלי ניהול אבטחת המידע הרלוונטיים של הספקים, על מנת להעריך את הסיכון לארגון שלך. אם אין להם, זה לא סימן טוב.

4) זהה והגדר את התחומים הספציפיים בתשתית ה-ICT של הארגון שלך שהספקים שלך יוכלו לגשת אליהם, לנטר או לעשות בהם שימוש בעצמם.

מענה לארועים – חשוב לקבוע מלכתחילה במדויק כיצד הספקים שלכם עומדים לקיים אינטראקציה עם נכסי ה-ICT שלכם – בין אם הם פיזיים או וירטואליים – ואילו רמות גישה מוענקות להם בהתאם להתחייבויות החוזיות שלהם.

5) הגדירו כיצד תשתית ה-ICT של הספקים עצמם יכולה להשפיע על הנתונים שלכם ושל הלקוחות שלכם.

מענה לארועים – המחויבות הראשונה של ארגון היא למערכת של תקני אבטחת מידע משלו. יש לבחון את נכסי ה-ICT של הספקים בהתאם לפוטנציאל שלהם להשפיע על זמן העבודה והיושרה בכל הארגון שלך.

6) לזהות ולנהל את סיכוני אבטחת המידע השונים הקשורים ל:

א. שימוש ספק במידע סודי או בנכסים מוגנים (למשל מוגבל לשימוש זדוני ו/או כוונה פלילית).

ב. חומרה פגומה של ספק או פלטפורמת תוכנה לא תקינה הקשורה לשירותים מקומיים או מבוססי ענן.

מענה לארועים - ארגונים צריכים להיות מודעים כל הזמן לסיכוני אבטחת המידע הקשורים לאירועים קטסטרופליים, כגון פעילות מזעזעת של משתמשים בצד הספק או תקריות תוכנה גדולות בלתי צפויות, והשפעתם על אבטחת המידע הארגונית.

7) מעקב אחר תאימות לאבטחת מידע על בסיס נושא ספציפי או סוג ספק.

מענה לארועים – הצורך של הארגון להעריך את אבטחת מידע השלכות הגלומות בכל סוג ספק, ולהתאים את פעילות הניטור שלהם כדי להתאים לרמות סיכון שונות.

8) הגבל את כמות הנזק ו/או ההפרעה שנגרמו עקב אי ציות.

מענה לארועים – יש לעקוב אחר פעילות הספקים באופן מתאים ובדרגות שונות בהתאם לרמת הסיכון שלו. כאשר מתגלה אי ציות, באופן יזום או מחדש, יש לנקוט בפעולה מיידית.

9) לשמור על איתן ניהול אירועים נוהל המתייחס לכמות סבירה של מקרים.

מענה לארועים – ארגונים צריכים להבין במדויק כיצד להגיב כאשר הם מתמודדים עם מגוון רחב של אירועים הקשורים לאספקת מוצרים ושירותים של צד שלישי, ולהתווה פעולות מתקנות הכוללות הן את הספק והן את הארגון.

10) חוקק אמצעים הנותנים מענה לזמינות ועיבוד המידע של הספק, בכל מקום בו נעשה בו שימוש, ובכך להבטיח את שלמות המידע של הארגון עצמו.

מענה לארועים – יש לנקוט בצעדים על מנת להבטיח שמערכות הספקים והנתונים יטופלו באופן שאינו מתפשר על הזמינות והאבטחה של המערכות והמידע של הארגון עצמו.

11) נסח תוכנית הדרכה יסודית המציעה הדרכה כיצד הצוות צריך לקיים אינטראקציה עם אנשי הספק ומידע על בסיס ספק אחר ספק, או על בסיס סוג אחר סוג.

מענה לארועים – ההכשרה צריכה לכסות את כל קשת הממשל בין ארגון לספקיו, כולל התקשרות, בקרות פרטניות של ניהול סיכונים ונהלים ספציפיים לנושא.

12) להבין ולנהל את רמת הסיכון הגלומה בהעברת מידע ונכסים פיזיים ווירטואליים בין הארגון לספקיהם.

מענה לארועים - ארגונים צריכים למפות כל שלב בתהליך ההעברה וללמד את הצוות לגבי הסיכונים הכרוכים בהעברת נכסים ומידע ממקור אחד למשנהו.

13) לוודא שיחסי ספקים נסתיימו מתוך מחשבה על אבטחת מידע, כולל הסרת זכויות גישה ויכולת גישה למידע ארגוני.

מענה לארועים – צוותי ה-ICT שלך צריכים להיות בעלי הבנה ברורה כיצד לשלול את הגישה של ספק למידע, כולל:

• ניתוח מפורט של כל דומיין משויך ו/או חשבונות מבוססי ענן.
• הפצה של קניין רוחני.
• העברה של מידע בין ספקים, או חזרה לארגון שלך.
• ניהול רשומות.
• החזרת נכסים לבעליהם המקורי.
• סילוק הולם של נכסים פיזיים ווירטואליים, לרבות מידע.
• עמידה בכל דרישה חוזית, לרבות סעיפי סודיות ו/או הסכמים חיצוניים.

14) תאר במדויק כיצד אתה מצפה מהספק להתנהל לגבי אמצעי אבטחה פיזיים ווירטואליים.

מענה לארועים - ארגונים צריכים להגדיר ציפיות ברורות מההתחלה של כל קשר מסחרי, המפרטות כיצד מצופה מאנשי צד הספק להתנהל בעת אינטראקציה עם הצוות שלך או כל נכס רלוונטי.

הנחיות משלימות על נספח א' 5.19

ISO מכירה בכך שלא תמיד ניתן לכפות מערך מדיניות מלא על ספק העומד בכל דרישה ודרישה מהרשימה לעיל כפי שמתכוון ISO 27001 נספח A Control 5.19, במיוחד כאשר מדובר בארגונים נוקשים במגזר הציבורי.

עם זאת, נספח א' בקרה 5.19 קובע בבירור שארגונים צריכים להשתמש בהנחיה לעיל בעת יצירת קשרים עם ספקים, ולשקול אי-עמידה על בסיס כל מקרה לגופו.

כאשר לא ניתן להשיג תאימות מלאה, נספח א' בקרה 5.19 נותן לארגונים חופש פעולה על ידי המלצה על "בקרות מתגמלות" המשיגות רמות נאותות של ניהול סיכונים, בהתבסס על הנסיבות הייחודיות של הארגון.

מהם השינויים מ-ISO 27001:2013?

ISO 27001:2022 נספח A 5.19 מחליף את ISO 27001:2013 נספח א' 15.1.1 (מדיניות אבטחת מידע לקשרי ספקים).

ISO 27001:2022 נספח A 5.19 תואם באופן כללי לאותם מושגים הבסיסיים הכלולים בבקרה של 2013, אך מכיל מספר תחומי הנחיות נוספים אשר הושמטו מ-ISO 27001:2013 נספח A 5.1.1, או לכל הפחות אינם מכוסים ב כמה שיותר פרטים, כולל:

• בדיקה של ספקים על סמך סוג הספק ורמת הסיכון שלהם.
• הצורך להבטיח את שלמות המידע הספק על מנת לאבטח את הנתונים שלהם, ולהבטיח המשכיות עסקית.
• השלבים השונים הנדרשים בעת סיום יחסי ספק, לרבות ביטול זכויות גישה, הפצת IP, הסכמים חוזיים וכו'.

ISO 27001:2022 נספח A 5.19 מפורש גם בהכרה באופי המשתנה מאוד של קשרי ספקים (בהתבסס על סוג, מגזר ורמת סיכון), ומעניק לארגונים מידה מסוימת של מרחב פעולה כאשר בוחנים את האפשרות של אי ציות לכל הנחיה נתונה. נקודה, בהתבסס על אופי הקשר (ראה 'הנחיות משלימות' לעיל).

טבלה של כל בקרות ISO 27001:2022 נספח A

בטבלה למטה תמצא מידע נוסף על כל ISO 27001:2022 בנפרד נספח א לִשְׁלוֹט.

כיצד ISMS.online עוזר בקשרים עם ספקים?

ISMS.online הפך את מטרת השליטה הזו לקלה מאוד על ידי מתן הוכחות לכך שמערכות היחסים שלך נבחרות בקפידה, מנוהלות היטב בחיים כולל מעקב ובדיקה. אזור קשרי החשבונות הקלים לשימוש שלנו (למשל ספקים) עושה בדיוק את זה. חללי העבודה של הפרויקטים השיתופיים מתאימים לכניסה חשובה של ספקים למטוס, יוזמות משותפות, יציאה למטוס וכו', את כולם גם המבקר יכול לראות בקלות בעת הצורך.

ISMS.online גם הקלה על מטרת הבקרה הזו עבור הארגון שלך בכך שהיא מאפשרת לך לספק ראיות לכך שהספק התחייב רשמית לעמוד בדרישות והבין את אחריותו לאבטחת מידע באמצעות ערכות המדיניות שלנו. חבילות מדיניות הם אידיאליים כאשר לארגון יש מדיניות ובקרות ספציפיות שהוא רוצה שצוות הספקים יפעלו ויקחו ביטחון שהם קראו אותם והתחייבו לעמוד בהם - מעבר להסכמים הרחבים יותר בין הלקוח לספק.

בהתאם לאופי השינוי (כלומר לשינויים מהותיים יותר) עשויה להיות דרישה רחבה יותר להתיישר עם A.6.1.5 אבטחת מידע בניהול פרויקטים.

באמצעות ISMS.online אתה יכול:

• יישום מהיר של מערכת ניהול אבטחת מידע (ISMS).
• נהל בקלות את התיעוד של ה-ISMS שלך.
• ייעול עמידה בכל התקנים הרלוונטיים.
• נהל את כל ההיבטים של אבטחת מידע, מניהול סיכונים ועד הדרכת מודעות לאבטחה.
• תקשר ביעילות בכל הארגון שלך באמצעות פונקציונליות התקשורת המובנית שלנו.

צור קשר עוד היום כדי הזמן הדגמה.