ISO 27002:2022, בקרה 5.19 – אבטחת מידע ביחסי ספקים

בעלות על שליטה 5.19

בעוד ש-Control 5.19 מכיל הנחיות רבות לגבי השימוש בשירותי ICT, ההיקף הרחב יותר של הבקרה מקיף היבטים רבים אחרים של מערכת היחסים של ארגון עם בסיס הספקים שלו, כולל סוגי ספקים, לוגיסטיקה, שירותים, שירותים פיננסיים ורכיבי תשתית).

ככזה, הבעלות על Control 5.19 צריכה להיות בידי חבר הנהלה בכירה המפקחת על הפעילות המסחרית של ארגון, ושומרת על קשר ישיר עם ספקי הארגון, כגון סמנכ"ל תפעול.

ליווי כללי

עמידה ב-Control 5.19 כרוכה בשמירה על מה שמכונה א גישה 'ספציפית לנושא' לאבטחת מידע ביחסי ספקים.

גישות ספציפיות לנושא מעודדות ארגונים ליצור מדיניות הקשורה לספקים המותאמים לפונקציות עסקיות בודדות, במקום לדבוק בשמיכה מדיניות ניהול ספקים זה חל על כל קשרי צד שלישי בכל הפעילות המסחרית של ארגון.

חשוב לציין ש-Control 5.19 מבקש מהארגון ליישם מדיניות ונהלים שלא רק מסדירים את השימוש של הארגון במשאבי הספקים ובפלטפורמות הענן, אלא גם מהווים את הבסיס לאופן שבו הם מצפים מהספקים שלהם להתנהל לפני ולאורך תקופת הקדנציה של הקשר המסחרי.

ככזה, ניתן לראות ב-Control 5.19 את המסמך הכשיר החיוני המכתיב את אופן הטיפול בניהול אבטחת המידע במהלך חוזה הספק.

בקרה 5.19 מכילה 14 נקודות הנחיה עיקריות שיש להקפיד עליהן:

1) שמור על רישום מדויק של סוגי ספקים (למשל שירותים פיננסיים, חומרת ICT, טלפוניה) שיש להם פוטנציאל להשפיע על שלמות אבטחת המידע.

מענה לארועים - נסח רשימה של כל הספקים והספקים שאיתם הארגון שלך עובד, סיווג אותם לפי תפקידם העסקי והוסף קטגוריות לסוגי הספקים האמורים לפי הצורך.

2) הבן כיצד לטפל בספקים, בהתבסס על רמת הסיכון הגלומה בסוג הספק שלהם.

מענה לארועים – סוגי ספקים שונים ידרשו בדיקות נאותות שונות. שקול להשתמש בשיטות בדיקה על בסיס ספק-ספק (למשל הפניות בענף, דוחות כספיים, הערכות באתר, הסמכות ספציפיות למגזר כגון שותפויות של Microsoft).

3) זהה ספקים שיש להם בקרות אבטחת מידע קיימות.

מענה לארועים – בקש לראות עותקים של נהלי ניהול אבטחת המידע הרלוונטיים של הספקים, על מנת להעריך את הסיכון לארגון שלך. אם אין להם, זה לא סימן טוב.

4) זהה והגדר את התחומים הספציפיים של תשתית ה-ICT של הארגון שלך שהספקים שלך יוכלו לגשת אליהם, לנטר או לעשות בהם שימוש בעצמם.

מענה לארועים – חשוב לקבוע מלכתחילה במדויק כיצד הספקים שלכם עומדים לקיים אינטראקציה עם נכסי ה-ICT שלכם – בין אם הם פיזיים או וירטואליים – ואילו רמות גישה מוענקות להם בהתאם להתחייבויות החוזיות שלהם.

5) הגדירו כיצד תשתית ה-ICT של הספקים עצמם יכולה להשפיע על הנתונים שלכם ושל הלקוחות שלכם.

מענה לארועים – המחויבות הראשונה של ארגון היא למערכת של תקני אבטחת מידע משלו. יש לבדוק את נכסי ה-ICT של הספקים בהתאם לפוטנציאל שלהם להשפיע על זמן פעולה ושלמות בכל הארגון שלך.

6) לזהות ולנהל את השונות סיכוני אבטחת מידע מצורף ל:

a. שימוש ספק במידע סודי או בנכסים מוגנים (למשל מוגבל לשימוש זדוני ו/או כוונה פלילית).

b. חומרה פגומה של ספק או פלטפורמת תוכנה לא תקינה הקשורה לשירותים מקומיים או מבוססי ענן.

מענה לארועים - ארגונים צריכים להיות מודעים כל הזמן לסיכוני אבטחת המידע הקשורים לאירועים קטסטרופליים, כגון פעילות מזעזעת של משתמשים בצד הספק או תקריות תוכנה גדולות בלתי צפויות, והשפעתם על אבטחת המידע הארגונית.

המשך הנחיות כלליות

7) מעקב אחר תאימות לאבטחת מידע על בסיס נושא ספציפי או סוג ספק.

מענה לארועים – הצורך של הארגון להעריך את השלכות אבטחת המידע הגלומות בכל סוג ספק, ולהתאים את פעילות הניטור שלהם כדי להתאים לרמות סיכון שונות.

8) הגבל את כמות הנזק ו/או ההפרעה שנגרמו עקב אי ציות.

מענה לארועים – יש לעקוב אחר פעילות הספקים באופן מתאים ובדרגות שונות בהתאם לרמת הסיכון שלו. כאשר מתגלה אי ציות, באופן יזום או תגובתי, יש לנקוט בפעולה מיידית.

9) לשמור על נוהל ניהול אירועים חזק שמתייחס לכמות סבירה של מקרים.

מענה לארועים – ארגונים צריכים להבין במדויק כיצד להגיב כאשר הם מתמודדים עם מגוון רחב של אירועים הקשורים לאספקת מוצרים ושירותים של צד שלישי, ולהתווה פעולות מתקנות הכוללות הן את הספק והן את הארגון.

10) חוקק אמצעים הנותנים מענה לזמינות ועיבוד המידע של הספק, בכל מקום בו נעשה בו שימוש, ובכך להבטיח את שלמות המידע של הארגון עצמו.

מענה לארועים – יש לנקוט בצעדים על מנת להבטיח שמערכות הספקים והנתונים יטופלו באופן שאינו מתפשר על הזמינות והאבטחה של המערכות והמידע של הארגון עצמו.

11) נסח תוכנית הדרכה יסודית המציעה הדרכה כיצד הצוות צריך לקיים אינטראקציה עם אנשי הספק ומידע על בסיס ספק אחר ספק, או על בסיס סוג אחר סוג.

מענה לארועים – ההכשרה צריכה לכסות את כל קשת הממשל בין ארגון לספקיו, כולל מעורבות, פרטנית בקרות ניהול סיכונים ונהלים ספציפיים לנושא.

12) להבין ולנהל את רמת הסיכון הגלומה בהעברת מידע ונכסים פיזיים ווירטואליים בין הארגון לספקיהם.

מענה לארועים - ארגונים צריכים למפות כל שלב בתהליך ההעברה ולחנך את הצוות לגבי סיכונים הקשורים להעברת נכסים ומידע ממקור אחד למשנהו.

13) ודא כי קשרי ספקים נסתיימו מתוך מחשבה על אבטחת מידע, כולל הסרת זכויות גישה ויכולת גישה למידע ארגוני.

מענה לארועים – צוותי ה-ICT שלך צריכים להיות בעלי הבנה ברורה כיצד לשלול את הגישה של ספק למידע, כולל:

• ניתוח מפורט של כל דומיין משויך ו/או חשבונות מבוססי ענן.
• הפצת קניין רוחני.
• העברה של מידע בין ספקים, או חזרה לארגון שלך.
• ניהול רשומות.
• החזרת נכסים לבעליהם המקורי.
• סילוק הולם של נכסים פיזיים ווירטואליים, לרבות מידע.
• עמידה בכל דרישה חוזית, לרבות סעיפי סודיות ו/או הסכמים חיצוניים.

14) תאר במדויק כיצד אתה מצפה מהספק להתנהל לגבי אמצעי אבטחה פיזיים ווירטואליים.

מענה לארועים - ארגונים צריכים להגדיר ציפיות ברורות מההתחלה של כל קשר מסחרי, המפרטות כיצד מצופה מאנשי צד הספק להתנהל בעת אינטראקציה עם הצוות שלך או כל נכס רלוונטי.

הדרכה משלימה

ISO מכירה בכך שלא תמיד ניתן לכפות סט שלם של מדיניות על ספק העומדת בכל דרישה ודרישה מהרשימה לעיל, כפי שמתכוונת בקרה 5.19, במיוחד כאשר מדובר בארגונים נוקשים במגזר הציבורי.

עם זאת, בקרה 5.19 קובעת בבירור שארגונים צריכים להשתמש בהנחיה לעיל בעת יצירת קשרים עם ספקים, ולשקול אי-עמידה על בסיס כל מקרה לגופו.

כאשר לא ניתן להשיג תאימות מלאה, Control 5.19 נותן לארגונים חופש פעולה על ידי המלצה על "בקרות פיצוי" המשיגות רמות נאותות של ניהול סיכונים, בהתבסס על הנסיבות הייחודיות של הארגון.

שינויים מ-ISO 27002:2013

27002:2022-5.19 מחליף את 27002:2013-5.1.1 (מדיניות אבטחת מידע לקשרי ספקים).

27002:2022-5.19 דבק באופן כללי לאותם מושגים בסיסיים הכלולים בבקרה של 2013, אך מכיל מספר אזורי הדרכה נוספים אשר הושמטו מ-27002:2013-5.1.1, או לכל הפחות אינם מכוסים בפירוט רב כל כך, לְרַבּוֹת:

• בדיקה של ספקים על סמך סוג הספק ורמת הסיכון שלהם.
• הצורך להבטיח את שלמות המידע הספק על מנת לאבטח את הנתונים שלהם, ולהבטיח המשכיות עסקית.
• השלבים השונים הנדרשים בעת סיום יחסי ספק, לרבות ביטול זכויות גישה, הפצת IP, הסכמים חוזיים וכו'.

27002:2022-5.19 מפורש גם בהכרה באופי המשתנה ביותר של קשרי ספקים (בהתבסס על סוג, מגזר ורמת סיכון), ומעניק לארגונים מידה מסוימת של מרחב פעולה כאשר בוחנים את האפשרות של אי ציות לכל נקודת הנחיה נתונה. בהתבסס על אופי הקשר (ראה 'הנחיות משלימות' לעיל).

כיצד ISMS.online עוזר

שימוש ISMS.online אתה יכול:

• ליישם במהירות א מערכת ניהול אבטחת מידע (ISMS).
• נהל בקלות את התיעוד של ה-ISMS שלך.
• ייעול עמידה בכל התקנים הרלוונטיים.
• נהל את כל ההיבטים של אבטחת מידע, מניהול סיכונים ועד הדרכת מודעות לאבטחה.
• תקשר ביעילות בכל הארגון שלך באמצעות פונקציונליות התקשורת המובנית שלנו.

זה עניין פשוט של יצירת חשבון ניסיון בחינם וביצוע השלבים שאנו מספקים.

צור קשר עוד היום כדי הזמן הדגמה.