מטרת הבקרה 5.19
בקרה 5.19 עוסקת בחובתו של ארגון להבטיח כי בעת שימוש במוצרים ושירותים בצד הספק (כולל ספקי שירותי ענן), ניתנת התחשבות נאותה ברמת הסיכון הגלומה בשימוש במערכות חיצוניות, וההשפעה הנובעת מכך שעלולה להיות שלהם דבקות באבטחת מידע.
5.19 הוא בקרה מונעת זֶה משנה סיכון על ידי שמירה על נהלים המתייחסים לסיכוני אבטחה מובנים הקשורים לשימוש במוצרים ו שירותים הניתנים על ידי צדדים שלישיים.
בעוד שבקרה 5.20 עוסקת באבטחת מידע במסגרת הסכמי ספקים, בקרה 5.19 עוסקת באופן נרחב בעמידה לאורך כל מהלך היחסים.
טבלת בקרה של תכונות 5.19
| סוג הבקרה | מאפייני אבטחת מידע | מושגי אבטחת סייבר | יכולות מבצעיות | תחומי אבטחה |
|---|---|---|---|---|
| #מוֹנֵעַ | #סודיות | #לזהות | #אבטחת קשרי ספקים | #ממשל ומערכת אקולוגית |
| #יושרה | #הֲגָנָה | |||
| #זמינות |
בעלות על שליטה 5.19
בעוד ש-Control 5.19 מכיל הנחיות רבות לגבי השימוש בשירותי ICT, ההיקף הרחב יותר של הבקרה מקיף היבטים רבים אחרים של מערכת היחסים של ארגון עם בסיס הספקים שלו, כולל סוגי ספקים, לוגיסטיקה, שירותים, שירותים פיננסיים ורכיבי תשתית).
ככזה, הבעלות על Control 5.19 צריכה להיות בידי חבר הנהלה בכירה המפקחת על הפעילות המסחרית של ארגון, ושומרת על קשר ישיר עם ספקי הארגון, כגון סמנכ"ל תפעול.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
ליווי כללי
עמידה ב-Control 5.19 כרוכה בשמירה על מה שמכונה א גישה 'ספציפית לנושא' לאבטחת מידע ביחסי ספקים.
גישות ספציפיות לנושא מעודדות ארגונים ליצור מדיניות הקשורה לספקים המותאמים לפונקציות עסקיות בודדות, במקום לדבוק בשמיכה מדיניות ניהול ספקים זה חל על כל קשרי צד שלישי בכל הפעילות המסחרית של ארגון.
חשוב לציין ש-Control 5.19 מבקש מהארגון ליישם מדיניות ונהלים שלא רק מסדירים את השימוש של הארגון במשאבי הספקים ובפלטפורמות הענן, אלא גם מהווים את הבסיס לאופן שבו הם מצפים מהספקים שלהם להתנהל לפני ולאורך תקופת הקדנציה של הקשר המסחרי.
ככזה, ניתן לראות ב-Control 5.19 את המסמך הכשיר החיוני המכתיב את אופן הטיפול בניהול אבטחת המידע במהלך חוזה הספק.
בקרה 5.19 מכילה 14 נקודות הנחיה עיקריות שיש להקפיד עליהן:
1) שמור על רישום מדויק של סוגי ספקים (למשל שירותים פיננסיים, חומרת ICT, טלפוניה) שיש להם פוטנציאל להשפיע על שלמות אבטחת המידע.
מענה לארועים - נסח רשימה של כל הספקים והספקים שאיתם הארגון שלך עובד, סיווג אותם לפי תפקידם העסקי והוסף קטגוריות לסוגי הספקים האמורים לפי הצורך.
2) הבן כיצד לטפל בספקים, בהתבסס על רמת הסיכון הגלומה בסוג הספק שלהם.
מענה לארועים – סוגי ספקים שונים ידרשו בדיקות נאותות שונות. שקול להשתמש בשיטות בדיקה על בסיס ספק-ספק (למשל הפניות בענף, דוחות כספיים, הערכות באתר, הסמכות ספציפיות למגזר כגון שותפויות של Microsoft).
3) זהה ספקים שיש להם בקרות אבטחת מידע קיימות.
מענה לארועים – בקש לראות עותקים של נהלי ניהול אבטחת המידע הרלוונטיים של הספקים, על מנת להעריך את הסיכון לארגון שלך. אם אין להם, זה לא סימן טוב.
4) זהה והגדר את התחומים הספציפיים של תשתית ה-ICT של הארגון שלך שהספקים שלך יוכלו לגשת אליהם, לנטר או לעשות בהם שימוש בעצמם.
מענה לארועים – חשוב לקבוע מלכתחילה במדויק כיצד הספקים שלכם עומדים לקיים אינטראקציה עם נכסי ה-ICT שלכם – בין אם הם פיזיים או וירטואליים – ואילו רמות גישה מוענקות להם בהתאם להתחייבויות החוזיות שלהם.
5) הגדירו כיצד תשתית ה-ICT של הספקים עצמם יכולה להשפיע על הנתונים שלכם ושל הלקוחות שלכם.
מענה לארועים – המחויבות הראשונה של ארגון היא למערכת של תקני אבטחת מידע משלו. יש לבדוק את נכסי ה-ICT של הספקים בהתאם לפוטנציאל שלהם להשפיע על זמן פעולה ושלמות בכל הארגון שלך.
6) לזהות ולנהל את השונות סיכוני אבטחת מידע מצורף ל:
a. שימוש ספק במידע סודי או בנכסים מוגנים (למשל מוגבל לשימוש זדוני ו/או כוונה פלילית).
b. חומרה פגומה של ספק או פלטפורמת תוכנה לא תקינה הקשורה לשירותים מקומיים או מבוססי ענן.
מענה לארועים - ארגונים צריכים להיות מודעים כל הזמן לסיכוני אבטחת המידע הקשורים לאירועים קטסטרופליים, כגון פעילות מזעזעת של משתמשים בצד הספק או תקריות תוכנה גדולות בלתי צפויות, והשפעתם על אבטחת המידע הארגונית.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
המשך הנחיות כלליות
7) מעקב אחר תאימות לאבטחת מידע על בסיס נושא ספציפי או סוג ספק.
מענה לארועים – הצורך של הארגון להעריך את השלכות אבטחת המידע הגלומות בכל סוג ספק, ולהתאים את פעילות הניטור שלהם כדי להתאים לרמות סיכון שונות.
8) הגבל את כמות הנזק ו/או ההפרעה שנגרמו עקב אי ציות.
מענה לארועים – יש לעקוב אחר פעילות הספקים באופן מתאים ובדרגות שונות בהתאם לרמת הסיכון שלו. כאשר מתגלה אי ציות, באופן יזום או תגובתי, יש לנקוט בפעולה מיידית.
9) לשמור על נוהל ניהול אירועים חזק שמתייחס לכמות סבירה של מקרים.
מענה לארועים – ארגונים צריכים להבין במדויק כיצד להגיב כאשר הם מתמודדים עם מגוון רחב של אירועים הקשורים לאספקת מוצרים ושירותים של צד שלישי, ולהתווה פעולות מתקנות הכוללות הן את הספק והן את הארגון.
10) חוקק אמצעים הנותנים מענה לזמינות ועיבוד המידע של הספק, בכל מקום בו נעשה בו שימוש, ובכך להבטיח את שלמות המידע של הארגון עצמו.
מענה לארועים – יש לנקוט בצעדים על מנת להבטיח שמערכות הספקים והנתונים יטופלו באופן שאינו מתפשר על הזמינות והאבטחה של המערכות והמידע של הארגון עצמו.
11) נסח תוכנית הדרכה יסודית המציעה הדרכה כיצד הצוות צריך לקיים אינטראקציה עם אנשי הספק ומידע על בסיס ספק אחר ספק, או על בסיס סוג אחר סוג.
מענה לארועים – ההכשרה צריכה לכסות את כל קשת הממשל בין ארגון לספקיו, כולל מעורבות, פרטנית בקרות ניהול סיכונים ונהלים ספציפיים לנושא.
12) להבין ולנהל את רמת הסיכון הגלומה בהעברת מידע ונכסים פיזיים ווירטואליים בין הארגון לספקיהם.
מענה לארועים - ארגונים צריכים למפות כל שלב בתהליך ההעברה ולחנך את הצוות לגבי סיכונים הקשורים להעברת נכסים ומידע ממקור אחד למשנהו.
13) ודא כי קשרי ספקים נסתיימו מתוך מחשבה על אבטחת מידע, כולל הסרת זכויות גישה ויכולת גישה למידע ארגוני.
מענה לארועים – צוותי ה-ICT שלך צריכים להיות בעלי הבנה ברורה כיצד לשלול את הגישה של ספק למידע, כולל:
- ניתוח מפורט של כל דומיין משויך ו/או חשבונות מבוססי ענן.
- הפצת קניין רוחני.
- העברה של מידע בין ספקים, או חזרה לארגון שלך.
- ניהול רשומות.
- החזרת נכסים לבעליהם המקורי.
- סילוק הולם של נכסים פיזיים ווירטואליים, לרבות מידע.
- עמידה בכל דרישה חוזית, לרבות סעיפי סודיות ו/או הסכמים חיצוניים.
14) תאר במדויק כיצד אתה מצפה מהספק להתנהל לגבי אמצעי אבטחה פיזיים ווירטואליים.
מענה לארועים - ארגונים צריכים להגדיר ציפיות ברורות מההתחלה של כל קשר מסחרי, המפרטות כיצד מצופה מאנשי צד הספק להתנהל בעת אינטראקציה עם הצוות שלך או כל נכס רלוונטי.
הדרכה משלימה
ISO מכירה בכך שלא תמיד ניתן לכפות סט שלם של מדיניות על ספק העומדת בכל דרישה ודרישה מהרשימה לעיל, כפי שמתכוונת בקרה 5.19, במיוחד כאשר מדובר בארגונים נוקשים במגזר הציבורי.
עם זאת, בקרה 5.19 קובעת בבירור שארגונים צריכים להשתמש בהנחיה לעיל בעת יצירת קשרים עם ספקים, ולשקול אי-עמידה על בסיס כל מקרה לגופו.
כאשר לא ניתן להשיג תאימות מלאה, Control 5.19 נותן לארגונים חופש פעולה על ידי המלצה על "בקרות פיצוי" המשיגות רמות נאותות של ניהול סיכונים, בהתבסס על הנסיבות הייחודיות של הארגון.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
שינויים מ-ISO 27002:2013
27002:2022-5.19 מחליף את 27002:2013-5.1.1 (מדיניות אבטחת מידע לקשרי ספקים).
27002:2022-5.19 דבק באופן כללי לאותם מושגים בסיסיים הכלולים בבקרה של 2013, אך מכיל מספר אזורי הדרכה נוספים אשר הושמטו מ-27002:2013-5.1.1, או לכל הפחות אינם מכוסים בפירוט רב כל כך, לְרַבּוֹת:
- בדיקה של ספקים על סמך סוג הספק ורמת הסיכון שלהם.
- הצורך להבטיח את שלמות המידע הספק על מנת לאבטח את הנתונים שלהם, ולהבטיח המשכיות עסקית.
- השלבים השונים הנדרשים בעת סיום יחסי ספק, לרבות ביטול זכויות גישה, הפצת IP, הסכמים חוזיים וכו'.
27002:2022-5.19 מפורש גם בהכרה באופי המשתנה ביותר של קשרי ספקים (בהתבסס על סוג, מגזר ורמת סיכון), ומעניק לארגונים מידה מסוימת של מרחב פעולה כאשר בוחנים את האפשרות של אי ציות לכל נקודת הנחיה נתונה. בהתבסס על אופי הקשר (ראה 'הנחיות משלימות' לעיל).
בקרות חדשות ISO 27002
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 5.7 | NEW | אינטליגנציה מאיימת |
| 5.23 | NEW | אבטחת מידע לשימוש בשירותי ענן |
| 5.30 | NEW | מוכנות ICT להמשכיות עסקית |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 8.9 | NEW | ניהול תצורה |
| 8.10 | NEW | מחיקת מידע |
| 8.11 | NEW | מיסוך נתונים |
| 8.12 | NEW | מניעת דליפת נתונים |
| 8.16 | NEW | פעילויות ניטור |
| 8.23 | NEW | סינון אינטרנט |
| 8.28 | NEW | קידוד מאובטח |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 6.1 | 07.1.1 | סריקה |
| 6.2 | 07.1.2 | תנאי העסקה |
| 6.3 | 07.2.2 | מודעות, חינוך והדרכה לאבטחת מידע |
| 6.4 | 07.2.3 | תהליך משמעתי |
| 6.5 | 07.3.1 | אחריות לאחר סיום או שינוי עבודה |
| 6.6 | 13.2.4 | הסכמי סודיות או סודיות |
| 6.7 | 06.2.2 | עבודה מרחוק |
| 6.8 | 16.1.2, 16.1.3 | דיווח על אירועי אבטחת מידע |
| מזהה בקרה ISO/IEC 27002:2022 | מזהה בקרה ISO/IEC 27002:2013 | שם בקרה |
|---|---|---|
| 7.1 | 11.1.1 | היקפי אבטחה פיזית |
| 7.2 | 11.1.2, 11.1.6 | כניסה פיזית |
| 7.3 | 11.1.3 | אבטחת משרדים, חדרים ומתקנים |
| 7.4 | NEW | ניטור אבטחה פיזית |
| 7.5 | 11.1.4 | הגנה מפני איומים פיזיים וסביבתיים |
| 7.6 | 11.1.5 | עבודה באזורים מאובטחים |
| 7.7 | 11.2.9 | שולחן כתיבה ברור ומסך ברור |
| 7.8 | 11.2.1 | מיקום ומיגון ציוד |
| 7.9 | 11.2.6 | אבטחת נכסים מחוץ לשטח |
| 7.10 | 08.3.1, 08.3.2, 08.3.3, 11.2.5 | אחסון מדיה |
| 7.11 | 11.2.2 | כלי עזר תומכים |
| 7.12 | 11.2.3 | אבטחת כבלים |
| 7.13 | 11.2.4 | תחזוקת ציוד |
| 7.14 | 11.2.7 | סילוק מאובטח או שימוש חוזר בציוד |
כיצד ISMS.online עוזר
שימוש ISMS.online אתה יכול:
- ליישם במהירות א מערכת ניהול אבטחת מידע (ISMS).
- נהל בקלות את התיעוד של ה-ISMS שלך.
- ייעול עמידה בכל התקנים הרלוונטיים.
- נהל את כל ההיבטים של אבטחת מידע, מניהול סיכונים ועד הדרכת מודעות לאבטחה.
- תקשר ביעילות בכל הארגון שלך באמצעות פונקציונליות התקשורת המובנית שלנו.
זה עניין פשוט של יצירת חשבון ניסיון בחינם וביצוע השלבים שאנו מספקים.
צור קשר עוד היום כדי הזמן הדגמה.
