ISO 27001:2022 נספח A 5.20 - טיפול באבטחת מידע במסגרת הסכמי ספקים

מהי המטרה של ISO 27001:2022 נספח A 5.20?

ISO 27001 נספח A בקרה 5.20 מסדיר כיצד ארגון יוצר חוזה עם ספק בהתבסס על הדרישות שלו לאבטחה. זה מבוסס על סוגי הספקים איתם הם עובדים.

כחלק מנספח א' בקרה 5.20, ארגונים והספקים שלהם חייבים להסכים ביניהם אבטחת מידע מקובלת חובות לשמור על סיכון.

למי יש בעלות על נספח A 5.20?

בקרת נספח 5.20 צריכה להיקבע על פי אם הארגון מפעיל את המחלקה המשפטית שלו, כמו גם את אופי ההסכם שנחתם.

ניהול כל שינוי בשרשרת האספקה מדיניות, נהלים ובקרות, לרבות שמירה ושיפור מדיניות, נהלים ובקרות קיימים של אבטחת מידע, נחשבים לבקרה יעילה.

הדבר נקבע על ידי התחשבות בקריטיות המידע העסקי, אופי השינוי, סוג/ים הספקים המושפעים, המערכות והתהליכים המעורבים והערכה מחודשת של גורמי סיכון. שינוי השירותים שספק מספק צריך לשקול גם את האינטימיות של מערכת היחסים ואת היכולת של הארגון להשפיע או לשלוט בשינוי.

הבעלות על 5.20 צריכה להיות בידי הפרט האחראי על הסכמים משפטיים מחייבים בתוך הארגון (חוזים, מזכרי הבנות, הסכמי רמת שירות וכו') אם לארגון יש את היכולת המשפטית לנסח, לתקן ולאחסן את הסכמי החוזה שלו ללא מעורבות של צדדים שלישיים.

חבר בהנהלה הבכירה בארגון המפקח על הפעילות המסחרית של הארגון ומקיים קשרים ישירים עם ספקיו צריך לקחת אחריות על נספח א' בקרה 5.20 אם הארגון מעביר הסכמים כאלה למיקור חוץ.

ISO 27001:2022 נספח A 5.20 הנחיה כללית

בקרה 5.20 של נספח A מכילה 25 נקודות הנחיה שמדינות ISO הן "אפשריות לשקול" (כלומר לא בהכרח את כולן) כדי שארגונים יעמדו בדרישות אבטחת המידע שלהם.

נספח א' בקרה 5.20 מפרט כי ללא קשר לאמצעים שננקטו, שני הצדדים חייבים לצאת מהתהליך עם "הבנה ברורה" של חובות אבטחת המידע זה של זה.

1. חיוני לספק תיאור ברור של המידע שיש לגשת אליו וכיצד הגישה למידע זה.
2. ארגונים צריכים לסווג מידע לפי תוכניות הסיווג שפורסמו (ראה נספח A בקרות 5.10, 5.12 ו-5.13).
3. סיווג מידע יש לקחת בחשבון את הצד של הספק יחד עם איך זה קשור לזה שבצד הארגון.
4. באופן כללי, ניתן לחלק את זכויותיהם של שני הצדדים לארבע קטגוריות: משפטיות, סטטוטוריות, רגולטוריות וחוזיות. כסטנדרט בהסכמים מסחריים, חובות שונות צריכות להיות מתארות בבירור בתוך ארבעת התחומים הללו, לרבות גישה למידע אישי, זכויות קניין רוחני והוראות זכויות יוצרים. החוזה צריך לכסות גם כיצד יטופלו תחומי מפתח אלו בנפרד.
5. כחלק ממערכת הבקרה נספח א', יש לחייב כל צד ליישם אמצעים במקביל שנועדו לנטר, להעריך ולנהל סיכוני אבטחת מידע (כגון מדיניות בקרת גישה, ביקורות חוזיות, ניטור, דיווח וביקורת תקופתית). יתר על כן, ההסכם צריך לציין בבירור שאנשי הספק חייבים לעמוד בתקני אבטחת המידע של הארגון (ראה ISO 27001 נספח A בקרה 5.20).
6. שני הצדדים חייבים להבין בבירור מה מהווה שימוש מקובל ובלתי מקובל במידע, כמו גם בנכסים פיזיים ווירטואליים.
7. כדי להבטיח שאנשי צד הספק יוכלו לגשת למידע של ארגון ולהציג אותו, יש להפעיל נהלים (למשל ביקורת צד הספק ובקרות גישה לשרתים).
8. בנוסף להתחשבות בתשתית ה-ICT של הספק, חשוב להבין כיצד זה קשור לסוג המידע אליו ייגש הארגון. זאת בנוסף למערך הליבה של הדרישות העסקיות של הארגון.
9. אם הספק מפר את החוזה או לא עומד בתנאים אישיים, על הארגון לשקול אילו צעדים הוא יכול לנקוט.
10. באופן ספציפי, ההסכם צריך לתאר נוהל ניהול אירועים הדדי המבהיר כיצד יש לטפל בבעיות כאשר הן מתעוררות. זה כולל איך שני הצדדים צריכים לתקשר כאשר מתרחש תקרית.
11. שני הצדדים צריכים לספק הכשרה מספקת למודעות (כאשר הכשרה סטנדרטית אינה מספקת) בתחומי מפתח של ההסכם, במיוחד בתחומי סיכונים כגון ניהול תקריות ושיתוף מידע.
12. יש להתייחס כראוי לשימוש בקבלני משנה. ארגונים צריכים לוודא שאם הספק מורשה להשתמש בקבלני משנה, כל אדם או חברה כאלה יקפידו על אותם תקני אבטחת מידע כמו הספק.
13. ככל שזה אפשרי מבחינה חוקית ותפעולית, ארגונים צריכים לשקול כיצד צוות הספקים עובר סינון לפני אינטראקציה עם המידע שלהם. בנוסף, עליהם לשקול כיצד נרשמים ומדווחים על ההקרנות לארגון, לרבות אנשי צוות לא מסוננים ואזורי דאגה.
14. אישור צד שלישי, כגון עצמאי דוחות וביקורות של צד שלישי, צריך להידרש על ידי ארגונים לספקים העומדים בדרישות אבטחת המידע שלהם.
15. ISO 27001:2022 נספח א' בקרה 5.20 דורשת שלארגונים תהיה הזכות להעריך ולבקר את נהלי הספקים שלהם.
16. יש לחייב ספק לספק דוחות תקופתיים (במרווחים משתנים) המסכמים את האפקטיביות של התהליכים והנהלים שלו וכיצד הם מתכוונים לטפל בכל נושא שהועלה.
17. במהלך מערכת היחסים, ההסכם צריך לכלול אמצעים כדי להבטיח שכל פגמים או עימותים ייפתרו בזמן וביסודיות.
18. יש ליישם מדיניות BUDR מתאימה על ידי הספק, המותאמת לצרכי הארגון, המתייחסת לשלושה שיקולים מרכזיים: א) סוג הגיבוי (שרת מלא, קובץ ותיקיה, אינקרמנטלי), ב) תדירות גיבוי (יומי, שבועי וכו'. ) ג) מיקום גיבוי ומדיה מקור (באתר, מחוץ לאתר).
19. חיוני להבטיח עמידות נתונים על ידי הפעלה מתוך מתקן התאוששות מאסון נפרד מאתר ה-ICT הראשי של הספק. מתקן זה אינו נתון לאותה רמת סיכון כמו אתר ה-ICT הראשי.
20. על הספקים לשמור על מדיניות ניהול שינויים מקיפה המאפשרת לארגון לדחות מראש כל שינוי שעלול להשפיע על אבטחת המידע.
21. בקרות אבטחה פיזיות יש ליישם בהתאם לאיזה מידע הם רשאים לגשת (גישה לבניין, גישה למבקרים, גישה לחדר, אבטחת שולחן).
22. בכל פעם שמועברים נתונים בין נכסים, אתרים, שרתים או מקומות אחסון, על הספקים לוודא שהנתונים והנכסים מוגנים מפני אובדן, נזק או שחיתות.
23. במסגרת ההסכם, יש לדרוש מכל צד לנקוט ברשימה נרחבת של פעולות במקרה של סיום (ראה נספח א' בקרה 5.20). פעולות אלו כוללות (אך לא מוגבלות ל): א) סילוק נכסים ו/או העברה, ב) מחיקת מידע, ג) החזרת IP, ד) הסרת זכויות גישה ה) המשך חובות סודיות.
24. בנוסף לסעיף 23, על הספק לדון בפירוט כיצד הוא מתכוון להשמיד/למחוק לצמיתות את פרטי הארגון כאשר אין בו צורך עוד (כלומר עם סיום ההתקשרות).
25. בכל פעם שחוזה מסתיים ועולה צורך בהעברת תמיכה ו/או שירותים לספק אחר שאינו רשום בחוזה, ננקטים צעדים על מנת להבטיח לא הפרעה לפעילות העסקית.

בקרות הנלווה לנספח א'

• ISO 27001:2022 נספח A 5.10
• ISO 27001:2022 נספח A 5.12
• ISO 27001:2022 נספח A 5.13
• ISO 27001:2022 נספח A 5.20

הנחיות משלימות על נספח א' 5.20

נספח א' בקרה 5.20 ממליץ לארגונים לנהל רישום של הסכמים כדי לסייע להם בניהול קשרי הספקים שלהם.

יש לשמור רשומות של כל ההסכמים עם ארגונים אחרים, מסווגים לפי אופי הקשר. זה כולל חוזים, מזכרי הבנות והסכמים הנוגעים לשיתוף מידע.

מהם השינויים מ-ISO 27001:2013?

בוצע תיקון ל-ISO 27001:2013 נספח A 15.1.2 (התייחסות לאבטחה במסגרת הסכמי ספקים) ל- ISO 27001: 2022 נספח א' בקרה 5.20.

מספר קווים מנחים נוספים כלולים בנספח A Control 5.20 של ISO 27001:2022 המתייחסות למגוון רחב של בעיות טכניות, משפטיות ותאימות, כולל:

• הליך המסירה.
• הרס מידע.
• הוראות לסיום.
• בקרות לאבטחה פיזית.
• שינוי הנהלה.
• יתירות מידע וגיבויים.

ככלל, ISO 27001:2022 נספח A 5.20 מדגיש כיצד ספק משיג יתירות ושלמות נתונים לאורך חוזה.

טבלה של כל בקרות ISO 27001:2022 נספח A

בטבלה למטה תמצא מידע נוסף על כל בקרת ISO 27001:2022 נספח A בנפרד.

מהם היתרונות של שימוש ב-ISMS.online עבור קשרי ספקים?

רשימת בדיקה שלב אחר שלב מנחה אותך לאורך כל זה תהליך יישום ISO 27001, מהגדרת היקף ה-ISMS שלך ועד לזיהוי סיכונים ויישום בקרות.

דרך תחום קשרי החשבונות הקלים לשימוש של ISMS.online (למשל ספקים), אתה יכול להבטיח שהקשרים שלך נבחרים בקפידה, מנוהלים היטב בחיים ומנוטרים ונבדקים. חללי העבודה השיתופיים בפרויקטים של ISMS.online עמדו בקלות ביעד הבקרה הזה. חללי עבודה אלו שימושיים לספקים בעלייה למטוס, יוזמות משותפות, יציאה למטוס וכו', שגם המבקר יכול לצפות בהם בקלות בעת הצורך.

הפכנו גם את יעד הבקרה הזה לקל יותר עבור הארגון שלך בכך שאפשרנו לך להוכיח שהספק התחייב רשמית לעמוד בדרישות. זה נעשה דרך שלנו חבילות מדיניות. חבילות מדיניות אלו שימושיות במיוחד עבור ארגונים עם מדיניות ובקרות ספציפיות שהם רוצים שהספקים שלהם יצייתו אליהם כדי שיוכלו להיות בטוחים שהספקים שלהם קראו מדיניות זו והתחייבו לציית להם.

ייתכן שיהיה צורך להתאים את השינוי ל-A.6.1.5 אבטחת מידע בניהול פרויקטים בהתאם לאופי השינוי (למשל לשינויים מהותיים יותר).

הזמינו הדגמה עוד היום.