ISO 27002:2022, בקרה 5.20 - טיפול באבטחת מידע במסגרת הסכמי ספקים

הנחיות כלליות בנושא בקרה 5.20

בקרה 5.20 מכילה 25 נקודות הנחיה שמצב ISO "ניתן לשקול" (כלומר לא בהכרח את כולן) על מנת לעמוד בדרישות אבטחת המידע של ארגון.

ללא קשר לאמצעים שננקטו, בקרה 5.20 קובעת במפורש ששני הצדדים צריכים לצאת מהתהליך עם "הבנה ברורה" של חובות אבטחת המידע שלהם זה כלפי זה.

1. יש לספק תיאור ברור המפרט את המידע שיש לגשת אליו בכל דרך, וכיצד יש לגשת למידע זה.
2. על הארגון לסווג את המידע שאליו יש לגשת בהתאם לתכנית הסיווג שפורסמה שלו (ראה בקרה 5.10, בקרה 5.12 ובקרה 5.13).
3. יש לתת את הדעת על תכנית הסיווג בצד הספק, וכיצד זה קשור לסיווג המידע של הארגון.
4. יש לסווג את זכויות שני הצדדים לארבעה תחומים עיקריים - משפטי, סטטוטורי, רגולטורי וחוזי. בתוך ארבעת התחומים הללו, חובות שונות צריכות להיות מתארות בצורה ברורה, כסטנדרט בהסכמים מסחריים, לרבות גישה ל-PII, זכויות קניין רוחני והתניות זכויות יוצרים. ההסכם צריך לכסות גם כיצד כל אחד מתחומי המפתח הללו יטופל בתורו.
5. כל צד צריך להיות מחויב לחוקק סדרה של בקרות במקביל המפקחות, מעריכות ומנהלות סיכון לאבטחת מידע רמות (כגון מדיניות בקרת גישה, ביקורות חוזיות, ניטור מערכות, דיווח וביקורת תקופתית). בנוסף, ההסכם צריך לתאר בבירור את הצורך של אנשי הספק לעמוד בתקני אבטחת המידע של הארגון (ראה בקרה 5.20).
6. צריכה להיות הבנה ברורה של מה מהווה שימוש מקובל ובלתי מקובל במידע, ונכסים פיזיים ווירטואליים משני הצדדים.
7. יש להפעיל נהלים העוסקים ברמות ההרשאה הנדרשות לאנשי צד הספק לגשת או לצפות במידע של ארגון (למשל רשימות משתמשים מורשים, ביקורת צד ספק, בקרות גישה לשרתים).
8. יש לשקול אבטחת מידע לצד תשתית ה-ICT של הספק עצמו, וכיצד זה קשור לסוג המידע שהארגון סיפק לו גישה, קריטריוני סיכון ומערך הבסיס של הדרישות העסקיות של הארגון.
9. יש לתת את הדעת באילו דרכי פעולה הארגון יכול לנקוט במקרה של הפרת חוזה מצד הספק, או אי עמידה בתניות פרטניות.
10. ההסכם צריך לתאר בבירור הסכם הדדי נוהל ניהול אירוע זה קובע בבירור מה צריך לקרות כאשר מתעוררות בעיות, במיוחד בנוגע לאופן שבו האירוע מועבר בין שני הצדדים.
11. יש לתת כוח אדם משני הצדדים הכשרה מספקת למודעות (כאשר הדרכה סטנדרטית אינה מספקת) על תחומי מפתח בהסכם, במיוחד בנוגע לתחומי סיכון מרכזיים כגון ניהול אירועים ומתן גישה למידע.
12. יש לתת תשומת לב מספקת לשימוש בקבלני משנה. אם הספק מורשה להשתמש בקבלני משנה, הארגונים צריכים לנקוט בצעדים כדי להבטיח שכל יחידים או חברות כאלה יהיו מיושרים לאותה מערכת של דרישות אבטחת מידע כמו הספק.
13. היכן שזה אפשרי מבחינה משפטית ורלוונטי תפעולית, ארגונים צריכים לשקול כיצד נבדקים אנשי הספקים לפני יצירת אינטראקציה עם המידע שלהם, וכיצד ההקרנה מתועדת ומדווחת לארגון, כולל אנשים שאינם מוקרנים ואזורים לדאגה.
14. ארגונים צריכים לקבוע את הצורך באישורי צד שלישי המאמתים את יכולתו של הספק לעמוד בדרישות אבטחת מידע ארגוניות, לרבות דוחות בלתי תלויים וביקורות של צד שלישי.
15. לארגונים צריכה להיות הזכות החוזית להעריך ולבקר נהלים של ספק, הנוגעים לבקרה 5.20.
16. לספקים צריכה להיות מחויבות למסור דוחות (במרווחים משתנים) המכסים את האפקטיביות של התהליכים והנהלים שלהם, וכיצד הם מתכוונים לטפל בכל נושא שהועלה בדוח כזה.
17. ההסכם צריך לנקוט בצעדים כדי להבטיח פתרון בזמן ויסודי של כל פגמים או עימותים המתרחשים במהלך מערכת היחסים.
18. במקרה הרלוונטי, על הספק לפעול עם מדיניות BUDR איתנה, בהתאם לצרכי הארגון, המכסה שלושה שיקולים עיקריים:
    
    a) סוג גיבוי (שרת מלא, קובץ ותיקיה וכו', אינקרמנטלי וכו')
    b) תדירות גיבוי (יומי, שבועי וכו')
    c) מיקום גיבוי ומדיה מקור (באתר, מחוץ לאתר)
19. עמידות הנתונים צריכה להיות מושגת על ידי הפעלה עם מיקום התאוששות מאסון הנפרד מאתר ה-ICT הראשי של הספק, ואינו נתון לאותה רמת סיכון.
20. על הספק לפעול עם א מדיניות ניהול שינויים מקיפה הנותנת הודעה מוקדמת לארגון על כל שינוי שעלול להשפיע על אבטחת המידע, ומספקת לארגון את היכולת לדחות שינויים כאמור.
21. בקרות אבטחה פיזיות (גישה לבניין, גישה למבקרים, גישה לחדר, אבטחת שולחן) יש לחוקק שרלוונטיים לסוג המידע שהם רשאים לגשת.
22. כאשר מתעורר צורך בהעברה מידע בין נכסים, אתרים, שרתים או מיקומי אחסון, על הספק לוודא שהנתונים והנכסים מוגנים מפני אובדן, נזק או שחיתות לאורך כל התהליך.
23. ההסכם צריך לפרט רשימה מקיפה של פעולות שיש לנקוט על ידי כל אחד מהצדדים במקרה של סיום (ראה גם בקרה 5.20), לרבות (אך לא רק):
    
    a) סילוק ו/או העברה של נכסים
    b) מחיקת מידע
    c) החזרת IP
    d) הסרת זכויות גישה
    e) חובות סודיות מתמשכת
24. בהמשך לסעיף 23, על הספק לתאר במדויק כיצד בכוונתו להשמיד/למחוק לצמיתות את פרטי הארגון ברגע שהוא לא נדרש יותר (כלומר במקרה של סיום).
25. אם בתום חוזה מתעורר צורך במסירת תמיכה ו/או שירותים לספק אחר שאינו רשום בהסכם, ננקטים צעדים על מנת להבטיח שהתהליך יביא לאפס הפרעה עסקית.

בקרות תומכות

• 5.10
• 5.12
• 5.13
• 5.20

הדרכה משלימה

כדי לסייע לארגונים בניהול קשרי ספקים, בקרה 5.20 קובעת שארגונים צריכים לשמור על א מרשם ההסכמים.

רשומים צריכים לפרט את כל ההסכמים עם ארגונים אחרים, ומסווגים לפי אופי הקשר, כגון חוזים, מזכרי הבנות ו הסכמי שיתוף מידע.

שינויים והבדלים מ-ISO 27002:2013

ISO 27002:2022-5.20 מחליף את 27002:2013-15.1.2 (טיפול באבטחה במסגרת הסכמי ספקים).

ISO 27002:2022-5.20 מכיל הנחיות נוספות רבות העוסקות במגוון רחב של נושאים טכניים, משפטיים ותאימות, כולל:

• נהלי מסירה
• הרס מידע
• סעיפי סיום
• בקרות אבטחה פיזיות
• שינוי הנהלה
• גיבויים ויתירות מידע

באופן כללי, ISO 27002:2022-5.20 שם דגש הרבה יותר על מה שמתרחש בסוף מערכת יחסים עם ספק, ומייחס הרבה יותר חשיבות לאופן שבו ספק משיג יתירות ושלמות נתונים במהלך ההסכם.

כיצד ISMS.online עוזר

ISO 27002 היישום פשוט יותר עם רשימת הבדיקה המפורטת שלנו שמנחה אותך לאורך כל התהליך, מהגדרת היקף ה-ISMS שלך ועד לזיהוי סיכונים ויישום בקרה.

צור קשר עוד היום כדי הזמן הדגמה.